Обзор "Телеком в России 2007" подготовлен	При поддержке

Данные клиентов операторов под угрозой

Телекоммуникации — особая отрасль. Гигантские сети крупнейших операторов связи соседствуют с небольшими сетями игроков поменьше, взаимодействуют друг с другом, доверяют данные и конфиденциальную информацию. Естественно, проблемы безопасности выходят при этом на первый план, обязуя операторов защищать данные клиентов.

Специфика защиты информации в телекоммуникационных компаний проявляется, прежде всего, в характере тех данных, которые необходимо защищать. Например, если говорить о топливно-энергетическом комплексе или промышленности, то наибольшую ценность для организации представляют технологические секреты, интеллектуальная собственность и коммерческая информация. В телекомах ситуация несколько иная. Дело в том, что многие операторы связи предоставляют услуги населению, а это автоматически приводит к накоплению больших объемов персональных данных клиентов компании. Где вся эта информация хранится? В базах данных, находящихся в ИT-инфраструктуре оператора. При этом кража такой информации чревата сразу несколькими негативными последствиями. Во-первых, компания получает удар по репутации. Это проявляется в оттоке существующих клиентов и трудностях в привлечении новых. Во-вторых, фирма нарушает требования ФЗ «О персональных данных». Это может привести к отзыву лицензии, судебным издержкам, дополнительному ущербу для имиджа. Наконец, в перспективе, это приведет к нарушению рекомендаций «Базового уровня», что однозначно скажется на отзыве лицензии.

Белорусский телеком не обязан защищать данные

В сентябре 2006 года произошла утечка базы данных белорусского сотового оператора Velcom. Местные журналисты купили в интернете текстовый файл с информацией о 2 млн абонентах этого оператора. В нем содержались номера мобильных телефонов и ФИО клиентов. При этом белорусская пресса сразу же накинулась на Velcom, вспомнив, что базы данных этой компании регулярно становятся достоянием общественности: с 2002 года вышло как минимум 6 вариантов, причем каждый раз информация дополнялась. Между тем, аналогичные данные компании МТС в белорусском интернете по-прежнему отсутствуют.

Столкнувшись с волной критики, оператор Velcom не стал отмалчиваться и сделал ряд заявлений. Во-первых, компания сообщила, что белорусские законы не защищают персональные данные граждан. Следовательно, никаких юридических претензий к Velcom быть не может. Во-вторых, оператор заявил, что уже вычислил источник утечки. Им оказался белорусский банк, которому была передана база данных клиентов (номер телефона и ФИО каждого абонента) «для возможности проверки работниками [банка] правильности указанных реквизитов при оплате услуг связи». Другими словами, Velcom попытался оправдаться. В-третьих, сотовая компания настаивает, что банк должен был сохранять базу в тайне, так как это зафиксировано в договоре. Поэтому теперь Velcom готовит банку претензию и «рассматривает возможность предъявления иска о защите деловой репутации». К чему такое разбирательство может привести на практике, покажет время. Правда, эксперты InfoWatch отмечают, что инсайдеры слишком часто уходят от ответственности.

Питерский провайдер рискует бизнесом

В конце октября 2006 года в интернете появилась приватная БД хостинг-оператора Valuehost.ru, содержащая логины и пароли к 101 тыс. сайтов. Фирма инициировала внутреннее расследование, но конкуренты сразу же начали активно отбирать у Valuehost клиентов.

Товар, представленный в ряде электронных магазинов (www.plati.ru, www.zaplati.net и www.privet.in) назывался просто и со вкусом — «База данных Valuehost.ru со всеми логинами и паролями». Информация о размещении базы датирована концом сентября 2006 года. Как уверяет продавец, скрывающийся под псевдонимом Money-monster, всего за 8886 рублей любой желающий получит логины и пароли к 101 тыс. сайтов (70 тыс. пользователей). То есть покупатель сможет изменить содержание сайтов, как ему заблагорассудится.

Между тем, обстановка вокруг питерской компании продолжала накаляться. Многие пользователи решили просто сменить хостинг-оператора, то есть расторгнуть договор с Valuehost и заключить новый с конкурентами. Однако не все так просто, за разрыв договора и смену DNS, старый оператор требует сумму, эквивалентную 30 долларам США. В ответ на это  юристы портала LawMix.ru вызвались помочь пострадавшим отстоять свое право бесплатно отказаться от услуг ненадлежащего качества. Ведь предоставление услуг хостинга подчиняется закону «О защите прав потребителей». На LawMix.ru бесплатно помогают оформить иск, а за вознаграждение берутся вести дело в суде. Все заявки принимаются через электронную почту.

По мнению аналитического центра InfoWatch, питерской компании следовало заранее позаботиться о защите своей базы данных. Однако, уже допустив утечку, Valuehost вообще не следовало цепляться к клиентам и требовать компенсации. В результате неумелых действий руководства инцидент приобрел скандальную известность. Однако время настоящих проблем, похоже, еще не пришло.

История получила развитие 1 декабря, когда «Лаборатория Касперского» опубликовала предупреждение о массовом заражении веб-сайтов Valuehost троянской программой Psyme. Все началось с жалобы посетителя сайта www.5757.ru, предоставляющего ныне популярные SMS-услуги. Установленный Антивирус Касперского, как положено, четко отработал попытку проникновения на компьютер, однако информация об инциденте все же дошла до «Лаборатории». И хорошо, что дошла. Дальнейшие исследования выявили 470 инфицированных сайтов, причем все они являлись клиентами провайдера.

Между тем, Psyme — это не какой-нибудь хулиганский вирус, а нечто гораздо более серьезное. Эта вредоносная программа принадлежит к классу Trojan-Downloader, которая, по сути, открывает для злоумышленников ворота для доступа к зараженному компьютеру. С ее помощью можно устанавливать других зловредов, превратить компьютер в зомби для рассылки спама или участия в распределенной хакерской атаке, снимать любую информацию, в том числе коды доступа к банковским счетам и многое другое.

Очевидно, что массовое заражение сайтов одного и того же хостинг-провайдера возможно только в том случае, если у преступников есть приватная база данных компании. По мнению экспертов InfoWatch, злоумышленники либо воспользовались базой, которая свободно продавалась в интернете, либо сами являются инсайдерами.

Как комментирует этот инцидент, Денис Зенкин, директор по маркетингу компании InfoWatch: «Утечка логинов и паролей уже сама по себе бросает тень на репутацию оператора. Однако использование украденной информации для массового заражения сайтов ставит под угрозу уже весь бизнес Valuehost, так как пострадать могут не только клиенты компании, но и посетители их веб-сайтов. Думаю, это может быть одна из тех утечек, которая будет стоить компании всего бизнеса».