Об инциденте сообщило издание TechCrunch. Журналисты выяснили, что сайт UK Visa Portal публично открывал доступ к документам пользователей, которые загружали свои паспорта и фотографии для оформления британской иммиграционной визы или электронного разрешения на въезд.
Актуально Безопасность приложения ЕС для верификации возраста оказалась под угрозой из-за хакерского взлома
По словам анонимного информатора, в сети могли оказаться по меньшей мере 100 тысяч документов. TechCrunch проверил подлинность данных – журналисты связались с несколькими пострадавшими, и те подтвердили, что их документы действительно принадлежат им.
Среди обнародованных материалов были фотографии паспортов, селфи и другие данные, которые обычно используют для подтверждения личности при оформлении визовых заявок. Такие утечки особенно опасны из-за риска кражи личности, финансового мошенничества и использования документов в схемах социальной инженерии.
Сайт не связан с правительством Великобритании
UK Visa Portal не имеет отношения к правительству, но несмотря на это некоторые пользователи ошибочно платили сервису деньги, думая, что обращаются к официальной государственной платформе GOV.UK.
Подобные посреднические сервисы работают в "серой зоне" – они предлагают помощь с заполнением заявок, но часто не объясняют достаточно четко, что не представляют государство. Поэтому пользователи могут платить дополнительные сборы за услуги, которые на самом деле доступны непосредственно через правительственные сайты.
В случае UK Visa Portal проблема оказалась значительно серьезнее – компания фактически оставила конфиденциальные документы без надлежащей защиты.
Компания не ответила на предупреждение журналистов
Журналисты попытались сообщить компании о проблеме еще до публикации материала. Однако сайт не имел отдельного механизма для сообщений о кибербезопасности или контактов ответственных за защиту данных лиц.
Авторы статьи обратились на электронный адрес поддержки, указанный на сайте, но в ответ получили письма не от руководства сервиса, а от юристов и PR-представителей компании. Издание объяснило, что из-за чувствительности данных не может передавать детали по электронной почте поддержки, ведь нет гарантии, что информацию не используют злоумышленники.
TechCrunch просил организовать прямой контакт с менеджментом компании, однако ответа так и не получил. На момент публикации материала проблема оставалась нерешенной.
Почему такие утечки особенно опасны
Утечки паспортов и биометрических данных с фото относятся к самым опасным типам компрометации персональных данных. В отличие от пароля, паспорт невозможно просто заменить одним кликом, а фотографии документов часто используют для открытия банковских счетов, криптовалютных аккаунтов или прохождения верификации на различных сервисах.
Особую угрозу представляет и то, что злоумышленники могут комбинировать такие данные с другими утечками информации. Это позволяет создавать убедительные мошеннические схемы или фальшивые цифровые личности.
В последние годы киберэксперты неоднократно предупреждали о росте количества сервисов-посредников, которые собирают чрезмерный объем персональных данных без достаточного уровня защиты. Из-за популярности электронных виз и цифровых разрешений на путешествия количество подобных платформ только увеличивается.