С 19 по 23 октября злоумышленники отправили около 11 млн запросов к электронным госуслугам Молдовы и выгрузили данные, связанные примерно с 750 тыс. идентификационных номеров. Утечка данных госреестров Молдовы началась с сервисов, которые не требовали входа: сведения из них открыли доступ к связанным государственным системам.

Почему премьер говорит о кампании, а не о разовом сбое

Правительство Молдовы проверяет, не стоит ли за атакой иностранное государство. В среду премьер-министр Василе Тофан заявил: «Наша страна стала целью скоординированных масштабных кибератак. Речь не идёт об изолированном инциденте». Слова премьера со ссылкой на местные СМИ приводит Дарина Антонюк в The Record (Recorded Future News).

Представитель правительства Думитру Чорич допускает, что взлом входит в кампанию гибридных атак. Ни страну, ни группу власти публично не назвали. С 2022 года Молдова, которая граничит с Украиной и Румынией, не раз обвиняла Россию в попытках дестабилизировать проевропейское правительство президента Майи Санду, но к этому инциденту такие обвинения официально не относятся.

Утечка данных госреестров Молдовы: какие данные утекли

Агентство электронного управления (AGE) раскрыло инцидент за день до заявления премьера. Не по каждому из примерно 750 тыс. ID утекли все категории данных, но список широкий:

• ФИО, дата и место рождения, родственные связи;
• статус медицинской страховки, социальные выплаты, пенсии, сведения об инвалидности;
• водительские права, фотографии, владение транспортом.

Номера банковских счетов, налоговые долги и история госвыплат, по формулировке AGE, «могли быть доступны»: доступ к ним не подтверждён. Данные банковских карт, по словам властей, не пострадали. Следов изменения официальных записей не нашли, но исключить подмену пока нельзя.

750 тыс. ID при населении около 2,4 млн дают примерно 31 %, но это не доля пострадавших: неясно, сколько номеров уникальны, и оценка AGE может измениться. 11 млн запросов за пять суток означают в среднем около 25 запросов в секунду, то есть автоматический перебор.

Как сервис без входа открывает соседние системы?

По описанию AGE, злоумышленники воспользовались уязвимостями в сервисах, которые не требовали аутентификации, а добытые сведения применили, чтобы получить данные из связанных государственных систем. Ни CVE, ни продуктов и версий агентство не раскрыло.

Аутентификация отвечает на вопрос «кто ты», авторизация на вопрос «что тебе можно». Публичная форма проверки статуса может работать без логина, но обязана ограничивать и состав возвращаемых полей, и то, по чьему идентификатору их можно запросить. В OWASP API Security Top 10 такой провал называется BOLA (API1:2023): сервер отдаёт чужую запись по подставленному ID. Подтверждений, что в Молдове сработал именно BOLA, нет, но свои системы разумно проверять по этой модели.

Вторая половина цепочки опаснее: если внутренний API доверяет любому вызову из своей сети, один открытый сервис ведёт к реестрам, которые из интернета напрямую не видны.

Простой госуслуг: чем он обошёлся бизнесу

Власти перекрыли несанкционированный доступ 23 октября. AGE проверило 82 цифровые госуслуги и временно отключило уязвимые, а вместе с ними больше 30 государственных информационных систем и админ-панелей.

Встали онлайн-заявки на строительные разрешения, ветеринарные разрешения на перевозку, оформление ввоза лекарств и регистрация в сфере пищевой безопасности. В воскресенье и во вторник злоумышленники снова пытались проникнуть в системы, обе попытки не удались. Большинство пострадавших сервисов уже защитили, доступ к ним возвращают постепенно, после дополнительных проверок.

Что закладывать в свои цифровые услуги после такого кейса?

Проверяйте, что именно отдаёт каждый публичный метод и каждый межсистемный вызов, а не только наличие логина.

• Метод «посмотреть статус» не отдаёт реестровые атрибуты, лишние поля отсекаются на сервере, а не прячутся во фронтенде.
• ID из одного контура не открывает соседнюю систему без отдельной проверки прав; у каждого сервиса своя учётная запись с минимальными правами.
• Rate limit и WAF замедляют перебор, но не исправляют ошибку авторизации.
• Мониторинг считает уникальные идентификаторы на клиента, IP и ASN и объём отданных данных.

Из практики. На тестировании безопасности API мы регулярно находим справочные методы, которые возвращают больше полей, чем показывает интерфейс. Обработчики, которые проверяют у номера документа только формат, быстрее всего выявляет аудит исходного кода.

Разбирая похожий инцидент, сначала сохраните сырые логи шлюза, WAF и межсистемных вызовов. Запросы, успешные ответы и уникальные объекты считайте отдельно: 11 млн запросов не равны 11 млн записей.

Чем опасны данные из госреестра для обычного человека?

Правительство предупредило: похищенные данные могут использовать в схемах от имени банков и ведомств, чтобы выманить пароли, коды подтверждения или деньги. Дату рождения, родственников и сведения об инвалидности нельзя сменить, как пароль. Коды не называйте никому, а на звонок «из банка» отвечайте перезвоном по номеру с карты или с официального сайта.

Служба поддержки компании не должна подтверждать личность по реестровым данным. Проверить, как сотрудники поведут себя при таком звонке, помогает тестирование социальной инженерии.

Частые вопросы

Утекли ли данные банковских карт жителей Молдовы?

По словам властей, нет. Номера счетов, налоговые долги и история госвыплат при этом могли быть доступны злоумышленникам.

Какие услуги пострадали от отключений?

Среди прочих онлайн-заявки на строительные разрешения, ветеринарные разрешения на перевозку, оформление ввоза лекарств и регистрация в сфере пищевой безопасности.

Можно ли считать реестры неизменёнными?

Следов изменения официальных записей не нашли, но исключить подмену пока нельзя.

Если ваши сервисы отдают персональные данные через публичные API или связаны с соседними системами, HirexTech проверит, где на самом деле проходит граница доступа. Подробнее о тестировании безопасности веб-приложений.