Утечка у GovTech-компании: в открытом доступе оказались 42 миллиона документов

В интернете обнаружили базу данных компании CitySourced — американского разработчика программ для связи жителей с муниципальными службами. В ней находились около 42 миллионов документов и примерно 450 тысяч JSON-файлов. JSON — это формат структурированного хранения данных. База была открыта для любого пользователя, который знал, где её искать; после сообщения исследователя доступ закрыли.

Киберспециалист Jeremiah Fowler сообщил, что часть файлов содержала персональные данные в обычном, незашифрованном виде. В основном это были изображения жалоб жителей и сообщений о нарушениях муниципальных правил. Из ограниченной выборки Fowler извлёк имена, почтовые адреса, электронную почту и номера телефонов. Также в хранилище обнаружились тысячи внутренних записей, датированных периодом с 2016 по 2026 год.

Такие сведения полезны мошенникам не сами по себе, а в сочетании: зная имя, адрес и электронную почту человека, преступник может составить убедительное персональное фишинговое письмо. Украденные данные также могут продавать в даркнете — скрытой части интернета, где действуют нелегальные рынки, — или использовать как рычаг при переговорах о выкупе после атаки программой-вымогателем.

По словам Fowler, в репозитории были каталоги разных частей приложения: Api, Content, Customers, Data, Developers, FileStorage, json, Product, Public, Support, Widget, temp, Logs и другие. В архиве также находились файлы форматов .sdk и .exe. Исследователь отметил, что они выглядят неуместно и могут указывать на попытку разместить вредоносное ПО. Это предположение, а не подтверждение того, что заражение действительно произошло.

Название базы и содержимое файлов навели Fowler на вывод, что хранилище связано с CitySourced. Компания была основана в 2009 году и разрабатывает GovTech-программы — цифровые инструменты для государственных и муниципальных служб. С помощью её решений жители могут сообщать властям о местных проблемах, например о ямах на дорогах или неисправных уличных фонарях. В 2019 году CitySourced объединилась с Rock Solid Technologies, а в 2022 году её приобрёл поставщик государственных технологических решений Granicus.

Fowler отдельно подчёркивает: обнаружить открытую базу — не то же самое, что установить, кто именно владеет инфраструктурой и управляет ею. Он не смог определить, обслуживал ли хранилище сторонний подрядчик. После обращения исследователя компания закрыла доступ к базе. В CitySourced поблагодарили его за ответственное раскрытие уязвимости и сообщили, что Granicus изучила переданную информацию, провела внутреннюю проверку и принимает меры.

Неправильные настройки баз данных остаются одной из главных причин утечек. Одни компании ошибочно полагают, что за безопасность данных в облаке отвечает только провайдер; другие просто не замечают открытый доступ. Последствия могут включать репутационный ущерб и коллективные судебные иски.

Fowler советует разделять среды клиентов и внутренние данные, чтобы ошибка или взлом одного сегмента не открывали сведения других организаций. Хранилища, резервные копии и чувствительные данные следует шифровать и защищать от постороннего доступа. Изоляция клиентов, контроль доступа и шифрование создают базовый уровень защиты и способны уменьшить масштаб ущерба при инциденте.

Пользователям стоит исходить из того, что злоумышленникам уже могут быть известны некоторые сведения о них. После многочисленных утечек за последние годы полностью сохранить в тайне хотя бы имя и адрес электронной почты стало трудно. Поэтому к неожиданным письмам следует относиться настороженно — особенно если в них есть ссылки, вложения или настойчивые требования срочно что-то сделать.