#ЗаТелеком - это частный канальчик "Скитальца по сетям". Тут только про телеком - что было, что будет и чем сердце успокоится. Новости, инсайты и инсайды.
По поводу утечки данных с QR-кодами
1. Как я понимаю, это буквально утечка — не взлом и не слив. Просто нужно было написать парсер, который по известному url методом перебора ходил бы забрать выдаваемый json и аккуратно складывал в кармашек.
Вот тут у Литаврина подробнее: twitter.com/litavri…94236163
…и баг-репорт они отправляли еще в августе прошлого года.
2. То, что слив произойдёт — вот, вообще никто не сомневался. Вообще по любым государственным информационными ресурсам вопрос утечки стоит не в «если», а «когда». Виной тому банальный перекос законадательства, который всячески анально обещает покарать абсолютно любого оператора ПД, кроме госчиновников. Ну а как вы хотели, если все, абсолютно все, без исключений, законы писали чиновники?
3. Не было еще ни одного случая, когда за утечку персданных пострадал хоть один чиновник. Ну, тут будет аналогично. Не вижу ни одной причины, чтоб в данном случае что-то было бы по-другому.
4. Хорошо, хоть, нашелся кто-то достаточно прозорливый и в базе утечки нет полных имен-фамилий, паспортных данных и прочего — они немного замаскировали данные, что затрудняет использование утечки в лоб.
5. Но при наличии других БД, которые утекли чуточку ранее, есть возможность обогащения — с помощью SQL, регулярок и немного русского матерного, потенциально можно взять БД Госуслуг и сопоставить данные из QR-БД с Гослуслугами. Что из этого можно получить практически — не знаю. Но мошенники люди талантливые и сами сообразят. Ну, на вскидку — можно получить данные тех, кто привит (имеет QR) и методом исключения получить БД людей, которые точно не имеют QR. И как-то начать их шантажировать, например. Ожидаем вала звонков колл-центров, которые из «службы безопасности сбербанка» переквалифицируются в ментов, выписывающих штраф по телефону.
6. С другой стороны, скорее всего пострадают как раз антиваксеры со своим маленьким мозгом. Но это уже естественный отбор. Хоть и жалко их, конечно.
как честные люди, мы подробно зарепортили это в @Rostelecom_News и в @minsvyaz_news 10 и 13 августа 2021 года. нам не ответили ничего. дыру с json закрыли где-то в сентябре, но тот же самый перебор с представлением браузером работал как минимум до 15 декабря