Нарушение целостности, утечка и хакерские атаки: уязвимая жизнь данных избирателей

• Hausa
• українська
• عربى
• Español
• ខ្មែរ
• Português
• English

Что такое нарушение целостности, утечки и хакерские атаки?

На сегодняшний день данные избирателей являются такой же мишенью злоумышленных хакерских атак, как, скажем, данные кредитных карточек, и также уязвимы из-за плохо защищённой цифровой инфраструктуры. На самом деле проблема уже достигла мирового масштаба. В то время, как по всему миру СМИ широко освещали вопросы хакерских атак и нарушения целостности информации во время выборов путём рассекречивания писем1, приобщения государства к кампаниям по дезинформации2 или незащищённой инфраструктуры (как, например, слабые места в программном обеспечении в кабинках для голосования3 данные избирателей также находятся в зоне риска. Сведения могут стать жертвой зловредной хакерской атаки, случайной утечки плохо настроенных параметров безопасности или физической кражи оборудования. Несмотря на суть влияния, скомпрометированные данные избирателей обычно включают в себя конфиденциальную или личную информацию. Насколько сведения об избирателях могут быть политическим активом, настолько де они могут быть и ответственностью.

Согласно отчёту Центра стратегических и международных исследований и компании McAfee, хакеры похитили свыше трёх миллиардов учётных данных в Интернете и других видов конфиденциальной информации; две трети жертв даже не подозревают, что их данные скомпрометированы4. Одним из наиболее известных случаев является нарушение конфиденциальности данных кредитным агентством Equifax, которое раскрыло персональные данные о финансах 143 млн. американских потребителей; хакерская атака на клиентские записи корпорации Yahoo, которая зацепила более миллиарда пользователей; а также "утечка данных в ведущей южноафриканской компании [, что] привело к потерям [личной информации] около 31 млн. лиц, в т.ч. президента, министра финансов и главы полиции. Эти сведения включали доходы, адреса и телефонные номера"5.

Какие именно данные используются?

Скомпрометированные данные избирателей в целом охватывают сведения из двух возможных источников:

↘ Официальные избирательные реестры: Хотя ситуации в разных странах различны, большинство таких реестров содержит набор имён, дат рождения и актуальных мест проживания, которые сообщаются избирателями самостоятельно или автоматически обновляются государственными или правительственными органами. В зависимости от национальных структур официальными реестрами управляют на общенациональном или де местном уровне. В США (это зависит от штата) такая информация хранится в электронных таблицах и может быть отправлена по электронной почте тем, кто приобрёл досье избирателей6. Реестры компилируются в централизованном государственном реестре, как в Великобритании, откуда и разрешено их получение в разных форматах электронных таблиц, а также в печатном виде7.

↘ Досье избирателей: Политические партии или консультанты политической информации создают внутренне организационные избирательные досье для целей кампании. Такие досье обыкновенно содержат контактные сведения, взятые, в основном, из публичных или правительственных записей, таких так перепись населения или регистрация избирателей которые можно дополнить - часто так и происходит - наборами информации от третьих лиц. Эти данные получают из разных источников: начиная сведениями о потребителях и их поведении, доступных онлайн и офлайн или же полученных от продавцов данных, продолжая кредитными сведениями от кредитных учреждений8, и заканчивая данными, поступившим в результате опросов волонтёрами компаний. Часто, избирательными досье управляют платформы запатентированного программного обеспечения, которые специализируются на агитационных технологиях.

Немного примеров

↘ Нарушение целостности Гонконг: В мае 2017 года во время AsiaWorld-Expo были похищены два ноутбука, принадлежавшие Управлению по вопросам регистрации и проведения выборов Гонконга. Устройства содержали информацию обо всех 3,78 млн. зарегистрированных избирателя[ Гонконга, "в т.ч. их имена, адреса, номера паспортов, телефонные номера и географические округи, в которых их зарегистрировали"9. Более того, в тех ноутбуках хранились имена 1 194 избирателей Избирательного комитета Гонконга. Хотя, как сообщают, эти сведения были зашифрованы, детективы, которые расследуют факт кражи, не исключают вероятность того, что это происшествие - результат правонарушения одного из сотрудников10.

Филиппины: В 2016 году вебсайт Избирательной комиссии Филиппин стал жертвой кибератаки, которую со временем назвали "одной из самых больших краж данных, связанной с правительством"11. Параллельно, вебсайт продолжал функционировать, имея при этом полную, объёмом в 340 Гб базу данных 55 млн. зарегистрированных избирателей12. Другой отчёт увеличил число пострадавших от утечки до 70 млн. лиц. Похищенные данные, в т.ч. имена, даты рождения, адреса, адреса электронной почты, полные имена родителей и некоторые паспортные данные, а также текстовые маркеры отпечатков пальцев, - все было опубликовано онлайн. Об атаках на вебсайт и взлом данных заявили организации Anonymous Philippines и LulzSec Philippines13.

↘ Утечка Ливан: В апреле 2018 года сообщили, что посольства Ливана обнародовали персональные данные своих граждан, которые живут за границей. Посольство Ливана в ОАЭ отправило электронное письмо ливанцам, проживающих в этой стране, с прикреплённой электронной таблицей, содержащей персональные данные более чем 5000 граждан, зарегистрированных для голосования на ближайших выборах, с просьбой подтвердить их регистрационную информацию. Посольство Ливана в Гааге отправило более 200 адресатам подобные электронные письма и таблицы с конфиденциальной информацией ливанских избирателей в Нидерландах. Более того, человек, который занимался отправкой этих писем, ввёл все электронные адреса в поле "копии", вместо поля "скрытые копии". В обоих случаях персональная информация из таблиц содержала полное имя каждого из избирателей имена матери и отца, пол, дату рождения, вероисповедание, семейное положение и адреса14.

Мексика: В 2016 году исследователь вопросов безопасности Крис Викери нашёл мексиканские избирательные списки с записями о 87 млн. мексиканских избирателях в одной плохо настроенной базе данных в публичном облаке Amazon Web Services15. Утечку таких сведений, как имена, адреса даты рождения и номера внутренних паспортов, было обнаружено благодаря честным распространенным практикам по IT безопасности. По окончанию внутреннего расследования, Национальный избирательный институт оштрафовал мексиканскую политическую партию Movimiento Ciudadano на $1,8 млн за халатность и неспособность надлежащим образом защитить копии списка16.

США: В 2017 году, исследователи вопроса кибербезопасности из компании UpGuard обнаружили неправильно настроенную базу данных, которая содержала информацию 198 млн. американских избирателей. Эти сведения содержали полное имя конкретного человека, его дату рождения, домашний адрес и адрес для переписки, телефонные номера, зарегистрированную партию, расовую принадлежность, сообщённую самостоятельно, регистрационный статус и даже входит ли он в федеральный список "Не звонить". "Смоделированная этническая принадлежность" и "смоделированное вероисповедание" потенциальных избирателей включены в качестве поля для данных. Утечка включала информацию от агитационных фирм Deep Root Analytics, TargetPoint Consulting, Inc. и Data Trust - все имели договора, заключённые с Национальным комитетом Республиканской партии. Плохо защищённую базу данных размером 1,1 Тбайт было обнаружено в открытом доступе на сервере Amazon. В конце концов, утечка раскрыла подробности про почти 200 млн. зарегистрированных американских избирателей17.

↘ Хакерские атаки

Турция: В 2016 году безымянный хакер вывесил файл размером в 6,6 Гбайт, который можно запросто загрузить под названием "База данных граждан Турции"; оказалось, что он содержит персональные данные каких-то 50 млн. граждан, в т.ч. их имена, адреса, имена родителей, места рождения и национальные идентификационные коды18. Хотя похоже на то, что пострадавшую информацию опубликовали в 2008 году, Исик Матер, турецкий активист по вопросам конфиденциальности, в журнале “Wired” заявил: "Я нашёл своё имя в списке и увидел данные всей моей семьи... Не имеет значение то, что эти сведения 2008 года, так как у меня до сих пор то же имя, та же фамилия, тот же домашний адрес и, естественно, тот же номер паспорта; это значит, что раскрытые данные остаются актуальными для меня и для многих других, а это делает утечку очень серьёзной"19.

США: В октябре 2018 года две компании, которые занимаются расследованием киберпреступлений, сообщили, что приблизительно 35 млн. регистрационных подробностей об американских избирателях были выставлены на продажу на известном теневом хакерском форуме. Данные включали в себя обновлённые по состоянию на 2018 г. регистрационные сведения избирателей по крайней мере из 19 штатов. В дальнейшем исследователи сообщили, что участники форума объединились с целью общего финансирования выставленной цены за отдельные базы данных. В то время как досье избирателей этих штатов считаются "публичными" и доступными для продажей, большинство штатов ограничивают доступ уполномоченных организаций, таких как кампании или исследователи, и запрещают повторную публикацию. Больше того, исследовательская группа установила, что благодаря природе доступной информации нелегальные продавцы "могут иметь постоянный доступ и/или контакты с правительственными должностными лицами в каждом штате"20.

Как узнать, затрагивает ли это меня?

Как правило, нарушение целостности данных избирателей, их утечка и хакерские атаки менее освещаются в СМИ; при этом внимание общественности часто сосредоточена на кампаниях по распространению недостоверной информации государством или партиями21, на общегосударственных или даже мелких выборах22. Достаточно часто проблема скомпрометированных сведений избирателей рассматривается в блогах специалистов, исследователей вопросов кибербезопасности или узкопрофильными вебсайтами, что усложняет для некомпетентной в данной сфере аудитории получение информации о времени и месте факта нарушения целостности их конфиденциальных данных, не говоря об отсутствии понимания, задевает ли это их вообще. Однако, в больших резонансных случаях, таких как утечка данных 200 млн. американских избирателей в 2017 году, именно новости остаются наиболее доступным источником информации.

Выводы

↘ Утечка данных избирателей, хакерские атаки на них или нарушение их целостности ещё не признаны источником происхождения сведений для политических кампаний. Но природа получения информации в приведённых случаях означает, до существует незначительное представление о роли которую утечки, атаки и покушения отыгрывают во время выборов. Однако, насколько нам известно, в СМИ есть отчёты особенно политически мотивированный хакеров, таких как Андрес Сепульведа из Латинской Америки23, и о случаях, когда скомпрометированные данные избирателей использовали для срыва избирательного процесса24.

↘ Ширина, глубина и контекст этих нарушений целостности, сливов данных избирателей и атак на них различны в каждой ситуации что усложняет разработку единого суждения об их последствиях в полном объёме. В некоторых случаях звучали заявления, что скомпрометированная информация была устаревшей, а потому, вероятно, менее ценной; в других - что атаки на данные являются достаточно серьёзными. Например, в октябре 2018 года, исследователь вопросов безопасности смог получить доступ к незащищённому устройству для хранения сведений с выходом в Интернет, принадлежавший Rice Consulting - фирме, которую финансировала США и нанимала Демократическая партия25. Наряду с персональными данными спонсоров: от номеров телефонов до имён, электронных почт и почтовых адресов, - эта база содержала сведения о договорах, записях встреч, резервные копии рабочих столов и информацию о сотрудниках. Стоит отметить, что этот случай также затрагивал детали NGP, пакета программного обеспечения для управления базами данных избирателей, которым пользовалась и Демократическая партия.

↘ Напоследок, ценность данных пользователей значительна, особенно когда они публикуются в открытом Интернете. В целом, существует достаточно слабое представление о том, как хранят защищают и управляют этими сведениями. Политические кампании, консультанты данных и предоставители услуг обязаны осторожно работать с подведомственными им данными. Изменения в законодательстве ЕС касательно защиты данных считают предприятие, которое управляет сведениями, ответственным не только за утечку информации, но и за своевременное уведомление. Согласно опросам, проведённым в отрасли агитацией, эксперты по вопросам кибербезопасности до сих пор предупреждают о том, что "большинство в этой отрасли не воспринимает угрозу [цифрового вмешательства в выборы] достаточно серьёзно", а практики плохой защиты отдельными консультантами являются "слабым звеном" в сохранении данных избирателей и целостности выборов26.