Утечка данных Crime Stoppers названа «одной из самых опасных» в истории Канады. Что будет дальше?
Спустя два дня после того, как эксклюзивное расследование CBC раскрыло масштабы хакерской атаки на канадскую организацию Crime Stoppers («Остановим преступность»), эксперты оценивают долгосрочные последствия этого инцидента, который может стать одним из самых серьезных провалов в сфере защиты персональных данных в стране.
«По моему мнению, это потенциально одна из самых разрушительных утечек данных, которые мы когда-либо видели в Канаде», — заявил Майкл Гайст, профессор права Оттавского университета и руководитель Канадского исследовательского центра в области интернета и электронной коммерции.
По его словам, согласно канадскому законодательству, ответственность могут нести как сама Crime Stoppers (организация, собиравшая данные), так и Navigate360 — компания, нанятая для их хранения и обработки.
«Канадские законы о конфиденциальности устроены так, что ответственность несет та организация, которая собирает личную информацию, — пояснил Гайст. — И даже если в процессе задействованы третьи лица или субподрядчики, именно инициатор сбора должен гарантировать надлежащий уровень защиты, независимо от того, кто в итоге получает доступ к данным».
Однако Гайст отмечает, что привлечь к ответственности американскую компанию Navigate360 будет крайне сложно, а наказания, предусмотренные внутренним законодательством Канады, слишком мягкие.
«Подобные инциденты продолжают происходить. Назрела острая необходимость пересмотра канадских законов о конфиденциальности, которые безнадежно устарели, — добавил он. — Главная проблема заключается в крайне слабом механизме правоприменения».
В центре скандала оказалась компания Navigate360 и ее платформа для обработки анонимных обращений граждан — P3. Эту систему использовали все подразделения Crime Stoppers, в том числе в Канаде и США.
В марте прошлого года хакерская группировка Internet Yiff Machine украла эти данные. Взломщики заявили, что хотели опровергнуть утверждения компании об «анонимности» и «безопасности» ее платформы. Анализ утечки, проведенный журналистами CBC News, показал, что в открытом доступе оказались 1,5 миллиона сообщений, отправленных канадцами в Crime Stoppers за последние 25 лет. В массиве данных содержались десятки тысяч личных сведений без какой-либо редактуры.
Журналисты CBC неоднократно пытались связаться с Navigate360, чтобы ознакомить их с результатами расследования, однако компания так и не ответила.
Ситуация усугубляется заявлениями филиалов Crime Stoppers в Торонто и Гуэлф-Веллингтоне, которые утверждают, что Navigate360 постоянно меняла версию о том, какой объем данных был похищен и что именно пострадало.
Согласно опубликованному в среду заявлению отделения в Торонто, изначально разработчик сообщил, что канадские данные не затронуты. Позже заявили, что утечка обошла Торонто стороной, и лишь спустя несколько месяцев признали, что скомпрометирован архив за несколько лет. Аналогичное заявление выпустил в четверг и филиал Гуэлф-Веллингтона.
Эксперт по кибербезопасности Али Дехгантанха, который анализировал образцы украденных данных в ходе расследования, назвал противоречивые заявления Navigate360 пугающими.
«Судя по всему, за семь месяцев филиал получил от поставщика шесть разных версий произошедшего», — отметил он. По его словам, это вызывает серьезные сомнения в способности компании провести расследование взлома и устранить уязвимости.
Дехгантанха, занимающийся расследованием цифровых преступлений более десяти лет, также выразил удивление тем, как быстро Navigate360 заявила о полном восстановлении работоспособности системы после хакерской атаки.
В торонтском подразделении Crime Stoppers сообщили, что узнали об утечке 18 марта. Уже через неделю, 25 марта, Navigate360 отрапортовала, что система «безопасна и полностью работоспособна».
«Не похоже, что было проведено полноценное расследование, которое позволило бы с уверенностью сказать: „Пострадали только эти клиенты“», — подчеркнул Дехгантанха.
Тем временем Майкл Гайст предупреждает, что информаторы, чьи данные оказались в сети, имеют крайне ограниченные возможности добиться справедливости.
«Действующее законодательство о конфиденциальности практически не предусматривает выплату компенсаций пострадавшим лицам, — пояснил он. — Если вы хотите получить реальное возмещение ущерба, придется использовать другие механизмы, например, коллективные иски».
Еще один вариант — инициировать расследование Комиссариата по вопросам конфиденциальности. Но это может занять годы, а любые рекомендации ведомства в итоге не будут иметь обязательной юридической силы. Гайст отметил, что комиссар может лишь вынести «необязывающее предписание» с требованием исправить недостатки, но не вправе заставить компанию выплачивать компенсации жертвам.
Однако даже эти ограниченные полномочия комиссара, похоже, вызывали беспокойство у руководства Канадской ассоциации Crime Stoppers (CCSA) в месяцы, последовавшие за кибератакой. Об этом свидетельствует копия внутренней служебной записки от 18 июня, оказавшаяся в распоряжении CBC.
«В настоящее время мы не считаем, что вы обязаны или должны обращаться к региональному комиссару по вопросам конфиденциальности», — проинструктировал коллег президент CCSA Дэвид Форстер. Он пояснил, что организация «ранее пришла к выводу, что уполномоченный не имеет юрисдикции над Crime Stoppers».
Журналисты обратились в CCSA за комментариями по поводу этой записки.
В своем публичном заявлении, сделанном в четверг, Форстер попытался успокоить общественность: «Компания Navigate360 сообщила нам, что независимые эксперты по кибербезопасности расследовали утечку, выявили уязвимости и завершили их устранение».
По его словам, эти меры повысили уровень защиты текущих и будущих сообщений от информаторов. Тем не менее он признал: «Они не могут обратить вспять раскрытие уже похищенной информации, и это остается серьезной проблемой».
