Сторонний сайт UK Visa Portal, помогающий оформлять электронные разрешения на въезд в Великобританию, оставил в открытом доступе паспорта и селфи как минимум 100 000 заявителей
Причина утечки — неверно настроенное облачное хранилище Amazon, а не действия хакеров
Часть загруженных селфи содержала геометки, по которым можно установить домашний адрес владельца
Вместо устранения проблемы владельцы сайта прислали журналистам юристов и PR-агентство
Сервис UK Visa Portal, предлагающий платную помощь в оформлении виз и электронных разрешений на въезд в Великобританию, допустил утечку десятков тысяч сканов паспортов и селфи-фотографий пользователей, оплативших эту услугу.
Источник изображения — techcrunch.com
Анонимный источник уведомил редакцию о том, что сайт раскрывал как минимум 100 000 документов людей, загрузивших паспорта и селфи в рамках подачи заявки.
Сайт не связан с правительством Великобритании: некоторые пользователи жаловались, что по ошибке заплатили комиссию этой компании вместо того, чтобы воспользоваться официальным ресурсом GOV.UK.
В открытом доступе оказались не только сканы страниц паспорта с полным именем, номером документа, гражданством, датой и местом рождения, датами выдачи и окончания срока действия, но и селфи, а в некоторых случаях — сопутствующие данные с домашним адресом и контактами заявителей.
Утечку устранили только к утру среды — спустя несколько часов после публикации первого материала об инциденте. Из-за высокой чувствительности данных технические подробности уязвимости не раскрывались до момента её устранения, чтобы не создавать дополнительный риск для пострадавших.
Руководство UK Visa Portal так и не ответило редакции напрямую. Вместо того чтобы устранить проблему после обращения, компания подключила к переписке своих юристов и представителей PR-агентства.
Подобные истории происходят регулярно: в последние месяцы компании по всему миру допускают публичное раскрытие удостоверяющих личность документов, и чаще всего причиной становится неправильная настройка инфраструктуры, а не целенаправленная атака. Проблема особенно чувствительна на фоне того, что всё больше стран вводят обязательную онлайн-верификацию личности и возраста.
Из-за молчания компании остаётся неясным, уведомит ли она пострадавших пользователей и регуляторов, как того требуют законы о раскрытии утечек в ряде юрисдикций США и Европы — в частности, в Великобритании и ЕС компании обязаны сообщать о серьёзных инцидентах с персональными данными в течение 72 часов.
Технически утечка произошла из-за публично доступного облачного хранилища Amazon (bucket), где UK Visa Portal хранил загруженные пользователями сканы паспортов и селфи.
Полный список файлов внутри хранилища напрямую не отображался, но сами файлы оставались доступны любому, кто знал точный веб-адрес. По словам источника, ошибка в бэкенде сайта позволила получить перечень всех файлов, хранившихся в bucket.
Подлинность утечки подтверждена: журналисты связались с частью пострадавших и убедились, что раскрытые данные соответствуют действительности. Источником утечки оказался именно UK Visa Portal, также известный под названиями UK Visit и ETA-Pass.
Часть загруженных фотографий содержала точные геометки съёмки — в отдельных случаях этого было достаточно, чтобы установить домашний адрес человека, сделавшего снимок.
На сайте UK Visa Portal нет формы для сообщения об уязвимостях и отсутствуют контакты руководства. После обращения по адресу техподдержки редакции предоставили имя и почту сотрудника, представленного как менеджер компании — Майкла Тейлора (Michael Taylor), но он не ответил.
Позже с редакцией связались юристы американской компании BakerHostetler и представители PR-агентства FTI Consulting, запросив подробности об утечке. Когда их попросили подтвердить полномочия представлять UK Visa Portal, они отказались это сделать, и содержательного ответа от самой компании так и не последовало.
После публикации первого материала и закрытия доступа к хранилищу редакция направила юристам ряд уточняющих вопросов: сколько времени bucket оставался открытым, велись ли логи доступа к файлам и кто в компании отвечает за кибербезопасность. Ответа не поступило.
По доступной информации, UK Visa Portal управляется компанией Active Leadgen LLC, зарегистрированной, по её собственным данным, в Объединённых Арабских Эмиратах; независимо подтвердить эту информацию не удалось.
Для оформления электронного разрешения на въезд в Великобританию (ETA) обращаться к посредникам не обязательно: заявка подаётся напрямую через официальный сайт правительства Великобритании GOV.UK, а официальный сбор составляет 20 фунтов стерлингов — сторонние сервисы, как правило, берут ощутимую наценку сверх этой суммы. Это особенно актуально для заявителей из СНГ, которые нередко ищут помощь с оформлением документов через сторонние сайты в поисковой выдаче.
