Утечка данных в Ф-1: личные данные гонщиков на виду

На кибербезопасность в мире Формулы-1 тратятся миллионы долларов, но, как оказалось, иногда достаточно одной уязвимости, чтобы личные данные всех гонщиков утекли, как вода сквозь пальцы. Даже чемпионы этого элитного автоспорта оказались не защищены от банальных хакерских лазеек.

Исследователи по кибербезопасности Ян Кэрролл, Галь Нагли и Сэм Карри заявили, что взломали сайт Международной автомобильной федерации – это та самая FIA, регулирующая всё в Формуле-1, – и получили полный доступ к паспортам, водительским удостоверениям и другим данным абсолютно всех гонщиков из стартового списка. Эти данные, в том числе персональные сведения (PII – Personally Identifiable Information), оказались доступны из-за уязвимости на сайте, предназначенном для подачи заявок на получение суперлицензии FIA. Без этой лицензии никто не сможет выйти на трассу Формулы-1. Чтобы продлить её, пилоты ежегодно заполняют свои данные на портале… который оказался дырявым.

Любой желающий мог создать там аккаунт и даже попытаться «отредактировать» свои сведения. Именно так и сделали исследователи. В процессе они заметили, что сервер возвращает больше информации, чем ты сам вбил: имя, e-mail, дату рождения и — внимание! — «роль». Роль давала доступ к разным уровням: гонщик, сотрудник FIA или даже админ. С помощью банальной хакерской уязвимости типа Mass Assignment, которая известна каждому студенту-айтишнику, исследователи просто поменяли свою роль на «админ» и получили права на всё, что существует на сайте.

В результате – полный доступ ко всем заявкам, сканам документов и даже к внутренней переписке FIA по вопросам лицензирования. Можно было узнать не только, кто когда водит болид, но и номер паспорта каждого гонщика плюс личные контакты.

В FIA подтвердили: да, летом произошёл киберинцидент на портале по категоризации гонщиков. Данные части пилотов оказались под угрозой, но оперативно были предприняты меры: уязвимость закрыли, случай доложили регуляторам по защите данных, а пострадавших уведомили. Другие цифровые сервисы FIA формально не пострадали.

Руководители FIA уверяют, что вложили солидные суммы в кибербезопасность и продолжают внедрять первоклассные средства защиты и политику безопасности-«по умолчанию» для всех новых цифровых проектов.

Тем временем, для Формулы-1 вопросы информационной безопасности стоят так же остро, как и борьба за поул-позишн на старте. Практически у каждой команды свой партнёр по кибербезопасности: Williams охраняет Keeper Security, у Ferrari — Bitdefender, у Red Bull — 1Password и так далее. Остаётся лишь признать: даже если у тебя в партнёрах лучшие специалисты, подставить тебя может всего лишь один незащищённый сайт самого главного надзорного органа.