Крупнейшая утечка базы данных от Мегафона

**Erlang** » Пн 18 июл, 2011 18:33 »

Крупнейшая утечка СМС-сообщений у сотового оператора Мегафон

В открытый доступ попали около 8 тысяч посланий с номерами телефонов. Российский поисковик Яндекс, в котором при запросе и выдавался список, считает произошедшее ошибкой оператора, и Мегафон уже признал свою ошибку. К делу уже подключился Следственный комитет и юристы не исключают, что может быть возбуждено уголовное дело.

Мегафон признал утечку смс-сообщений со своего сайта. Как сообщил радиостанции «Эхо Москвы» руководитель управления бизнес-коммуникаций компании «Мегафон» Роман Проколов, причиной стала ошибка администратора сайта.

Проколов не сказал, какие меры будут приняты в отношении виновных в утечке. Представитель Мегафона, не уточнил, будут ли выплачены компенсации тем абонентам, чьи телефоны попали в открытый доступ.

Яндекс снимает с себя ответственность за публикацию смс-сообщений с номерами абонентов Мегафона. Как сообщил радиостанции «Эхо Москвы» пресс-секретарь Яндекса Очир Манджиков, причиной произошедшего стало погрешность на сайте Мегафона.

"Страницы, индексация которых запрещена администратором сайта в файле robots.txt, "Яндекс" не индексирует, даже если они находятся в открытой части интернета. Это соответствует всем общепринятым нормам и правилам взаимодействия в интернете", - рассказали РИА Новости в пресс-службе поисковика. В "Яндексе" поясняют, что в разделе отправки SMS на сайте "МегаФона" в момент индексации по какой-то причине отсутствовал файл robots.txt.

Манджиков добавил, что Яндекс сохранит рабочие отношения с Мегафоном. «Мы общаемся по этой ситуации, в максимально скором времени все страницы этого раздела будут недоступны для Яндекса», отметил Манджиков.

Сбой на сайте "МегаФона" позволил "Яндексу" индексировать SMS абонентов оператора, отправленных с помощью портала

МОСКВА, 18 июля. /ПРАЙМ/. На сайте сотового оператора "МегаФон" произошел сбой, который позволил поисковым роботам "Яндекса" проиндексировать отправленные с портала SMS-сообщения абонентов оператора. Об этом говорится в заявлениях обеих компаний.

Как сообщили агентству ПРАЙМ в пресс-службе "МегаФона", на сайте оператора произошел технический сбой, связанный с работой внешнего администратора сайта. Технические специалисты "МегаФона", обнаружив сбой на сайте, незамедлительно его устранили.

"Сбой коснулся крайне незначительной части SMS, отправленных с сайта оператора. При этом он не затронул SMS-сообщения клиентов, отправленные через телефоны и другие мобильные устройства. В настоящий момент ситуация находится под контролем, сбой полностью устранен, вся информация, попавшая в поисковую выдачу "Яндекса", удалена из всех запросов", - сообщили в пресс-службе.

В "Яндексе" агентству ПРАЙМ сообщили, что компания индексирует только открытую часть интернета — те страницы, которые доступны при переходе по ссылкам без ввода логина и пароля. Страницы, индексация которых запрещена администратором сайта в файле robots.txt, "Яндекс" не индексирует, даже если они находятся в открытой части интернета. Это соответствует всем общепринятым нормам и правилам взаимодействия в интернете.

"В разделе отправки SMS на сайте "МегаФона" в момент индексации по какой-то причине отсутствовал файл robots.txt. Насколько нам известно, сейчас администраторы сайта "МегаФона" уже установили robots.txt и закрыли этот раздел для индексации. В максимально скором времени все страницы этого раздела будут недоступны в результатах поиска "Яндекса", - сообщили в пресс-службе поисковика.

18.07.2011 17:58
© 2003-2011 ПРАЙМ
http://www.bit.prime-tass.ru/news/show. ... 7&id=81678

Мегафон: Ситуация с отправкой SMS с сайта оператора

18 июля 2011
На сайте оператора произошел технический сбой, связанный с работой внешнего администратора сайта. Технические специалисты «МегаФона», обнаружив сбой на сайте, незамедлительно его устранили.

Сбой коснулся крайне незначительной части SMS, отправленных с сайта оператора. При этом он не затронул SMS-сообщения клиентов, отправленные через телефоны и другие мобильные устройства.

В настоящий момент ситуация находится под контролем, сбой полностью устранен, вся информация, попавшая в поисковую выдачу «Яндекса», удалена из всех запросов.

http://msk.corp.megafon.ru/press/inform ... -1652.html

Erlang писал(а):"В разделе отправки SMS на сайте "МегаФона" в момент индексации по какой-то причине отсутствовал файл robots.txt. Насколько нам известно, сейчас администраторы сайта "МегаФона" уже установили robots.txt и закрыли этот раздел для индексации.

Ну круть!
robots.txt как средство защиты :ovacia:

Т. е. информация не доступна только поисковикам теперь :cool:

WiKi:
Стандарт исключений для роботов (robots.txt) — файл ограничения доступа к содержимому роботам на http-сервере. Файл должен находиться в корне сайта (то есть иметь путь относительно имени сайта /robots.txt). При наличии нескольких поддоменов файл должен располагаться в корневом каталоге каждого из них. Данный файл дополняет стандарт Sitemaps, который служит прямо противоположной цели: облегчать роботам доступ к содержимому.
Использование файла добровольно. Стандарт был принят консорциумом W3C 30 января 1994 года в списке рассылки robots-request@nexor.co.uk и с тех пор используется большинством известных поисковых машин.
Файл robots.txt используется для частичного управления индексированием сайта поисковыми роботами. Этот файл состоит из набора инструкций для поисковых машин, при помощи которых можно задать файлы, страницы или каталоги сайта, которые не должны индексироваться.
Файл robots.txt может использоваться для указания расположения файла и может показать, что именно нужно, в первую очередь, проиндексировать поисковому роботу.
robots.txt

Роскомнадзор проверит, нарушил ли "Мегафон" закон о персональных данных при утечке SMS

МОСКВА, 18 июля. /ПРАЙМ/. Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций /Роскомнадзор/ проверит, является ли утечка SMS-сообщений абонентов "Мегафона", отправленных с сайта оператора, нарушением закона о персональных данных. Об этом сообщил РИА Новости помощник руководителя ведомства Михаил Воробьев.

Роскомнадзор является уполномоченным органом по защите прав субъектов персональных данных.

"Роскомнадзор в настоящее время анализирует поступившую информацию с целью определить, имело ли место нарушение законодательства о персональных данных", - сказал Воробьев.

В понедельник стало известно, что при определенном запросе крупнейший российский поисковик "Яндекс" выдает список из примерно 8 тысяч SMS, отправленных с сайта "Мегафона". Помимо текстов сообщений, доступны мобильные номера адресатов. Инцидент вызвал бурное обсуждение среди пользователей рунета. Названия компаний "Мегафон" и "Яндекс" попали в главные мировые темы сервиса микроблогов Twitter.

18.07.2011 17:47
© 2003-2011 ПРАЙМ
http://www.bit.prime-tass.ru/news/show. ... 7&id=81677

**Связной (С)** » Пн 18 июл, 2011 19:45 »

А чего СМС вообще делали на сайте и http-сервере?!

**Erlang** » Пн 18 июл, 2011 22:26 »

Связной (С)
да фиг знает.
Думаю проблема с бесплатно "Отправить СМС с сайта".
Похоже Админы накосячили, и накосячили по крупному - раз СМИ так поднялись и Пресс-служба отработала.

**Destroyed** » Пн 18 июл, 2011 22:30 »

Если Роскомнадзор занялся поиском нарушений в сфере персональных данных, то это говорит о его полной некомпетентности. Нет там ФИО, т.е. данные обезличены, а следовательно нет и нарушения в сфере персональных данных, но есть другое нарушение - 126-ФЗ. Тайну связи еще никто не отменял, а оператор связи признал, что сообющения разглашены.

Эхххх, похоже в надзоре не осталось кадров, раз полезли в сферу персональных данных вместо связной. Мода видимо такая.

**Erlang** » Пн 18 июл, 2011 22:31 »

Связной (С)

думаю пару дней подождать и...
- спокойно насладиться мнением авторитетных людей по безопасности.
- Даже если купят - разве кроме Авторитетных Экспертов нет? :sneky:

Выждать пару дней и читать...

**Связной (С)** » Вт 19 июл, 2011 04:59 »

Destroyed писал(а): Нет там ФИО, т.е. данные обезличены

ФИО не ограничиваются ПД - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу... ФЗ "О персональных данных" от 27.07.06 г. N 152-ФЗ

**Erlang** » Вт 19 июл, 2011 06:48 »

Destroyed писал(а):Если Роскомнадзор занялся поиском нарушений в сфере персональных данных

А услугу СМС заодно проверить в рамках лицензии :-k:

Видимо Абонентам, чьи данные утекли, нужно в суд подавать.
Глядишь и тут "зеленые" повернуться правильной стороной после "Интернов на Кипре" ;-)

**Подвижный** » Вт 19 июл, 2011 09:00 »

Destroyed писал(а):Эхххх, похоже в надзоре не осталось кадров, раз полезли в сферу персональных данных вместо связной. Мода видимо такая.

Это точно, зарплату инспекторам платить нужно нормальную, тогда и люди толковые будут оставаться...работа там интересная.

а еще у нас сейчас тренд СМИ КОНТЕНТ и все в этом роде. СВЯЗЬ не в фаворе...хотя все завязано на связистах...не будет связистов не будет контента интернета а соответственно электронных сми...надеюсь что после выборов руководство регулятора и надзора возглавят связисты.

**Erlang** » Вт 19 июл, 2011 09:10 »

Подвижный писал(а):Это точно, зарплату инспекторам платить нужно нормальную, тогда и люди толковые будут оставаться...работа там интересная.

"Молодые инспектора" говорят спасибо.
Военный пенсионер совсем не против повышения оплаты.
_ Он даже готов на 1/3 больше проверять

**Destroyed** » Вт 19 июл, 2011 10:13 »

Связной (С) писал(а):Destroyed писал(а):
Нет там ФИО, т.е. данные обезличеныФИО не ограничиваются ПД - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу... ФЗ "О персональных данных" от 27.07.06 г. N 152-ФЗ

C этим категорически не согласен. Идентификация лица идет по ФИО. Обезличивание как раз и происходит путем удаления ФИО.

1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

Кто бы мне объяснил, как без ФИО сопоставить любую информацию с физическим лицом. А вот 126-ФЗ как раз в тему

4. Сведения о передаваемых по сетям электросвязи и сетям почтовой связи сообщениях, о почтовых отправлениях и почтовых переводах денежных средств, а также сами эти сообщения, почтовые отправления и переводимые денежные средства могут выдаваться только отправителям и получателям или их уполномоченным представителям, если иное не предусмотрено федеральными законами.

А тут сведения о передаваемых по сетям электросвязи сообщениях выдавались любому роботу поисковика и впоследствии любому лицу. Ляп еще тот со стороны оператора связи.

**Erlang** » Вт 19 июл, 2011 10:24 »

Destroyed писал(а):А тут сведения о передаваемых

Слушай - давай ограничемся Связными вопросами
Много вопросов Лицензиаиов к Роскомнадзору.

P.S.
Ну и тут почти "Горячая линия Росконадзора"

**Фердинанд** » Вт 19 июл, 2011 10:52 »

В Роскомнадзоре считают, что появление в свободном доступе в интернете SMS-сообщений отдельных абонентов сотовой связи свидетельствует о признаках нарушения закона "О связи", Правил оказания услуг связи, а, следовательно, и лицензионных условий. "Оператор обязан соблюдать тайну связи. За нарушение тайны связи предусмотрена административная ответственность", - подчеркнул Воробьев.
Это к вопросу о ПД

**Связной (С)** » Вт 19 июл, 2011 12:05 »

Destroyed писал(а):C этим категорически не согласен.

С ФЗ поспорьте... :frend:

Destroyed писал(а):как без ФИО сопоставить любую информацию с физическим лицом.

... напр. зная №тел -> ищем в базе адресов... :book:

**Destroyed** » Вт 19 июл, 2011 13:03 »

и что мы найдем в базе данных адресов по номеру телефона? И где эта база адресов?

Сами посудите, если трактовать ФЗ о ПД как Вы, то получим, что любое слово есть некая информация о каком-то лице.

1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

Т.е. ПД это все, если это все можно зауши притянуть к какому-то ФИО, например притянуть взяв некую адресную базу, а потом оказывается что база мягко говоря ошибается и номер телефона в базе на ФИО1 на самом деле уже на ФИО2. Неувязочка.

ПД - это физлицо (ФИО) и все что под этим ФИО написано.

Простой пример.

На сайте по усыновлению детей указано, ребенок, 10 лет, рост 100, вес 100, блондин, математический склад ума и т.д.
Вопрос - это ПД или как? По мне это обезличенная информация, хотя можно найти ребенка 9 лет 11 месяцев, 99 роста, 99 веса, неглупого блондина и сказать. что разглашена информация именно об этом ребенке.

Слушай - давай ограничемся Связными вопросами

Сорри за офтоп, завязываю.
Только один остался вопрос - Мегафон vs Роскомнадзор. Будет ли наказан оператор или Мегаоператору все как с гуся вода.

**Связной (С)** » Вт 19 июл, 2011 13:18 »

Destroyed писал(а):если трактовать ФЗ о ПД как

Не нужно гадать и трактовать, смотрите перечисленное:

Destroyed писал(а):персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

Destroyed писал(а):притянуть к какому-то ФИО

Заметьте, что "Ф,И,О":

его фамилия, имя, отчество

Destroyed писал(а):это ПД или как?

Следуя по перечислению в ФЗ - да :shuffle:

Роскомнадзор направил "Мегафону" официальный запрос с требованием разъяснить причины предоставления доступа неограниченному кругу лиц к текстам SMS-сообщений, сообщил РИА Новости помощник руководителя ведомства Михаил Воробьев.

В понедельник стало известно, что при определенном запросе крупнейший российский поисковик "Яндекс" выдает список из примерно 8 тысяч SMS, отправленных с сайта "Мегафона". Помимо текстов сообщений, доступны мобильные номера адресатов.
По словам Воробьева, Роскомнадзор, являющийся уполномоченным органом по защите прав субъектов персональных данных, также запросил у оператора сведения о мерах, принимаемых для обеспечения конфиденциальности и безопасности персональных данных абонентов.
В Роскомнадзоре считают, что появление в свободном доступе в интернете SMS-сообщений отдельных абонентов сотовой связи свидетельствует о признаках нарушения закона "О связи", Правил оказания услуг связи, а, следовательно, и лицензионных условий. "Оператор обязан соблюдать тайну связи. За нарушение тайны связи предусмотрена административная ответственность", - подчеркнул Воробьев.
Он напомнил, что в настоящее время Роскомнадзор анализирует информацию об утечке SMS с целью определить, имело ли место нарушение закона "О персональных данных".
"Специалисты выясняют, можно ли на основании появившейся в открытом доступе информации идентифицировать субъекта персональных данных – то есть конкретного человека", - пояснил представитель ведомства.
http://www.bit.prime-tass.ru/news/show.asp?id=81683

**Destroyed** » Вт 19 июл, 2011 14:09 »

"Специалисты выясняют, можно ли на основании появившейся в открытом доступе информации идентифицировать субъекта персональных данных – то есть конкретного человека", - пояснил представитель ведомства.

Из новостей

Вчера выяснилось, что если ввести интернет-адрес этого сервиса в поисковую строку на «Яндексе», то прямо в поисковых результатах отображаются примерно 8000 sms с телефонными номерами абонентов «Мегафона», по которым они отправлены

Сорри Эрланг, но очень интересно, как можно идентифицировать по номеру Б и привязать к этому

персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

Хотя пусть специалисты работают, на то они и специалисты, чтоб работать ;-)

ps А что мешает идентифицировать таким образом - позвонить и спросить - А скем я говорю ;-)

**Alexey_21** » Вт 19 июл, 2011 14:40 »

Получается содержание сообщений, отправленных с сайта "Мегафона" сохранялось. Раз этому же URL поисковик мог зайти ещё раз, значит текст СМС откуда-то вытаскивается... Для какой цели интересно.

**Erlang** » Вт 19 июл, 2011 14:47 »

Alexey_21 писал(а): Раз этому же URL поисковик мог зайти ещё раз, значит текст СМС откуда-то вытаскивается...

выше меня читали?

**Alexey_21** » Вт 19 июл, 2011 14:59 »

Про роботов читал. Но не понимаю в какое время поисковик индексировал эти страницы. Я ввожу номер абонента, текст сообщения, "капчу" (цифры на картинке), отправить. Всё после этого, имхо, текст не должен был сохранится на сайте. А он оказался в кэше поисковика, как?

**Связной (С)** » Вт 19 июл, 2011 19:25 »

Alexey_21 писал(а): А он оказался в кэше поисковика, как?

Мнение:

Отправляя SMS через сайт оператора связи надо иметь в виду, что все эти сообщения сохраняются в отдельной базе данных. Скорее всего, это делается для их пропуска по фильтрам СОРМ - товарищи в погонах хотя знать кто и кому пишет. И о чем Потом весь этот "словесный мусор" удаляется, но это происходит не сразу. И в этот момент, когда SMSка уже отправлена, но еще не прошла через сито СОРМ или прошла, но не была удалена, эти тексты и были "просмотрены" поисковым роботом компании "Яндекс".

http://www.ibusiness.ru/25467