Зазвичай ми довіряємо офіційним міським застосункам, але, як показує нещодавній інцидент із братиславською системою паркування PAAS, не завжди варто. Телефонні номери понад 17 тисяч користувачів більше року були у вільному доступі в інтернеті.
Що сталося?
Дані користувачів міського застосунку для оплати паркування PAAS у Братиславі витекли в мережу. Файли з телефонними номерами та назвами мобільних операторів понад рік були доступні будь-кому у відкритому репозиторії на GitHub — платформі для розробників, де міська влада публікує технічну документацію та вихідний код своїх програм.
На проблему першим звернув увагу кандидат у мери Ľubomír Geci, який і повідомив про знахідку в соцмережах. Він завантажив та проаналізував дані: після видалення дублікатів у файлі виявилося 17 616 унікальних телефонних номерів. Щоб даними одразу не скористалися шахраї, точне посилання на файли він не публікував.
Реакція магістрату та розслідування
Магістрат Братислави офіційно визнав витік даних. За їхніми словами, доступ до файлу заблокували одразу ж, щойно отримали повідомлення про проблему — 22 жовтня.
«Ми негайно зайнялися остаточним видаленням файлу зі сховища платформи GitHub. Водночас ми перевірили всі інші публічні папки, при цьому не виявили жодних інших витоків», — заявили представники магістрату.
Міська влада стверджує, що провела ретельну перевірку всіх своїх цифрових сховищ, але інших скомпрометованих даних не знайшла. Попри це, інцидентом вже займається Управління із захисту персональних даних Словацької Республіки (Úrad na ochranu osobných údajov SR). Відомство з'ясовує ступінь порушення законодавства та можливі наслідки.
Чим це загрожує користувачам?
Наразі немає доказів, що цією базою вже скористалися шахраї, але ризики для користувачів високі. Телефонні номери — це саме те, що потрібно зловмисникам для фішингу та спаму. Користувачам застосунку PAAS варто бути особливо пильними найближчим часом.
Основні загрози:
- Фішингові SMS-повідомлення. Шахраї можуть надсилати фальшиві повідомлення про нібито несплату за паркування з посиланням на підроблений платіжний шлюз.
- Підозрілі дзвінки. Зловмисники можуть телефонувати, представляючись співробітниками банку, поліції або самої системи PAAS, намагаючись виманити дані платіжних карток чи доступи до банківських рахунків.
- Спам та небажана реклама. Номери з бази можуть бути продані для масових рекламних розсилок.
Що робити та як себе захистити?
Найкращий захист зараз — це обережність. Якщо ви користуєтеся системою PAAS, дотримуйтесь цих правил безпеки:
- Не довіряйте невідомим повідомленням. Ніколи не переходьте за посиланнями в SMS, якщо ви не впевнені у відправнику. Інформацію про штрафи чи заборгованість завжди перевіряйте безпосередньо в офіційному застосунку PAAS.
- Нікому не повідомляйте дані картки. Співробітники банків чи державних установ ніколи не запитують PIN-код, CVV-код чи повний номер картки телефоном.
- Перевіряйте інформацію. Якщо вам телефонують щодо фінансових питань, завершіть розмову та самостійно зателефонуйте на офіційну гарячу лінію вашого банку чи відповідної служби.
- Будьте скептичними. Якщо пропозиція чи вимога звучить занадто підозріло або вимагає негайних дій — це, ймовірно, шахрайство.
Як повідомляють словацькі медіа, розслідування інциденту триває, а користувачам радять залишатися пильними.
