СМИ: неизвестный слил персональные данные 10 тысяч пользователей «Умного голосования»

7 сентября нескольким редакторам «Хабра» прислали ссылку на статью неизвестного пользователя платформы Medium. Он утверждает, что якобы получил телефонные номера 10 тысяч пользователей приложения «Умного голосования» (ныне «Навальный») и в подтверждение прикрепляет эту базу в конце поста. На следующий день информация о сливе появилась на таких новостных сайтах, как «Газета.ru» и «Известия».

По словам автора материала, заверения главы штабов Навального Леонида Волкова о безопасности приложения «Умного голосования» оказались ложью. Неизвестный прикрепил к статье два файла, один из которых уже удалён с сервиса Dropmefiles. Он содержал данные с IP пользователей.

По второму файлу предоставлен список около 22 тысяч телефонных номеров, ФИО, дат рождения и почтовых адресов пользователей. Внушительная часть списка не содержит вообще никаких данных, кроме номеров телефонов. Один из пользователей Medium написал к посту неизвестного, что не увидел ни себя, ни своих друзей в этом списке, при том что у всех было установлено приложение. Сейчас этот комментарий удалён.

В эфире «Дождя» соратник Навального Иван Жданов заявил, что команда оппозиционера будет отходить от практики сбора персональных данных на всех своих ресурсах. На текущий момент при входе в «Умное голосование», переименованное в «Навальный», не требуется указывать никакой личной информации. Кроме того, Жданов указал, что команда начала поиск уязвимостей в собственных системах.

«Дождь» также сослался на зрителей канала, которым поступают угрозы от неизвестных. Все они были зарегистрированы в системе «Умного голосования». Злоумышленники называют себя членами Национально-освободительного движения и в угрозах заверяют, что знают места жительства адресатов. Само движение отрицает причастность к преследованиям.

20 августа этого года Роскомнадзор потребовал у Apple и Google удалить приложение «Навальный» из магазинов приложений. В качестве основания ведомство указало распоряжение Генеральной прокуратуры РФ о необходимости ограничения доступа к информационным ресурсам, связанным с ФБК. Компании не отреагировали на требования, все приложения ещё доступны в AppStore и Play Market.

2 сентября Роскомнадзор назвал отказ IT-компаний от удаления приложения вмешательством в российские выборы. Ведомство пригрозило им уголовной ответственностью по ст. 282.2 УК РФ за участие в деятельности экстремистских организаций.

6 сентября Леонид Волков сообщил о том, что Роскомнадзор приступил к блокировке сайта «Умного голосования». Сайт блокируют через оборудование для суверенного интернета — технические средства противодействия угрозам (ТСПУ). Волков добавил: «это хорошая новость: попытки прогнуть Google, чтобы тот просто удалил наш «экстремистский» сайт с хостинга appspot, провалились». Тем временем до выборов в Госдуму осталось 10 дней.

Пользователи «Хабра» несколько раз публиковали собственные проверки безопасности «Умного голосования». Первая часть вышла 21 июля этого года. В ней указано, что на несколько недель в середине этого лета были открыты базы ФБК. Эти дыры, по словам автора поста, уже заделаны. В июле уже сама команда Навального написала о работе над исправлением обнаруженных ошибок.

20 августа один из пользователей снова поднял вопрос о безопасности сайта и вероятности слива персональных данных «Яндексу». Через три дня вышли результаты проверки «Умного голосования». Пользователь поставил целью выяснить, проработала ли команда Навального найденные в последние два месяца недочёты.

Обновлено 14:50 по Московскому времени. Редакция «Хабра» ознакомилась с файлами спустя час после публикации статьи неизвестного пользователя. На тот момент файл с номерами весил 2,1 мегабайта по сравнению с 1,1 мегабайтами у текущего файла. Также тогда ещё не был удалён файл с зарубежными IP-адресами, якобы использующимися для обхода блокировок приложения «Навальный».

При сравнении с новым файлом с номерами телефонов мы выяснили, что автор удалил следующие поля:

atlantic_last_name;atlantic_first_name;atlantic_path_name;atlantic_dob;sber_last_name;sber_first_name;sber_path_name;sber_dob;sber_email;rtk_last_name;rtk_first_name;rtk_path_name;rtk_email