Заявление по поводу сегодняшней утечки опубликовало Минцифры. В нём предположение про подрядчика, прозвучавшее ранее от Ростелекома, превратилось в официальную версию: «Сегодня на инфраструктуру подрядчика Ростелекома была совершена хакерская атака. Она никак не затронула Госуслуги. Все данные портала находятся под надёжной защитой».

Из этого следует, что атака была совершена сегодня. При этом злоумышленники (Silent Crow) утверждают, что находились в инфраструктуре жертвы не меньше месяца. Как отмечал канал «Утечки информации», информация в слитых таблицах датируется 20.09.2024.

Также внимания заслуживает второй абзац: «Чувствительные персональные данные частных клиентов компании-подрядчика также не утекли. Упомянутые в анонимных сообщениях интернет-ресурсы не предназначены для обслуживания клиентов-физических лиц. На них не хранятся и не обрабатываются персданные».

По прочтении у вас может сложиться впечатление, что персданные не утекли — они же не хранятся и не обрабатываются на упомянутых интернет-ресурсах! Однако в действительности это не означает, что персданных там нет: дампы содержат запросы клиентов, которые могут включать ФИО, телефоны, электронную почту. Собственно, вот и персданные.

Если подлинность данных подтвердится, то Роскомнадзор окажется в странной ситуации. Скорее всего, утечка повлечёт дело об административном правонарушении по ч. 1 ст. 13.11 КоАП (не верите мне? — депутат Антон Горелкин уверен, что виновные понесут наказание), в ходе которого Роскомнадзору нужно будет обосновывать, почему утечка была (точнее, почему имела место обработка персданных в случае, не предусмотренном законодательством Российской Федерации в области персональных данных, либо обработка персданных, несовместимая с целями сбора этих данных). При том, что его материнская организация, Минцифры, с самого начала заявила, что персданных там не должно быть.

И ещё один момент. В пресс-релизе использовано слово «чувствительные», которое довольно субъективно. Например, для клиентов утечка связки ФИО и электронной почты может быть и не очень чувствительной по сравнению с гипотетической утечкой банковских данных. А вот для бизнеса утечка даже такой связки может быть вполне чувствительной, особенно с учётом увеличения штрафов за допущение утечки (которое, правда, вступит в силу только в мае).