Ввели в поисковик слово "секс"? Поздравляем, ваше имя теперь в списке "потенциальных нарушителей", а данные родных — в чужих руках

Хакерская атака на компанию RemoteCOM, которая занимается цифровым надзором за людьми, находящимися под условным или досрочным освобождением, обернулась масштабной утечкой данных. Участник взлома, известный под псевдонимом wikkid, заявил, что проникновение оказалось «одним из самых простых», которые ему доводилось проводить.

Архив с конфиденциальной информацией оказался на киберпреступном форуме, а его анализ Straight Arrow News (SAN) показал — под угрозу попали сотрудники уголовно-исполнительной системы и лица, находящиеся под надзором в 49 штатах США.

RemoteCOM рекламирует себя как поставщика «ведущего сервиса мониторинга компьютеров, смартфонов и планшетов для управления клиентами, находящимися под судом или пробацией». Среди утекших файлов оказались адреса агентств, работающих с системой, контактные данные более 800 надзорных офицеров и сведения о 80 действующих и бывших сотрудниках самой компании.

В отдельном документе «officers» содержатся почти 7 тысяч анкет с именами, должностями, номерами телефонов, рабочими адресами и электронными ящиками специалистов, связанных с использованием RemoteCOM. Файл «clients» раскрывает данные почти 14 тысяч людей, включая фамилии, IP-адреса, домашние адреса и телефоны, а также указывает кураторов, ответственных за контроль их активности. При этом в некоторых случаях программное обеспечение устанавливали не только на устройства самих поднадзорных, но и на телефоны их близких.

В основу работы RemoteCOM положено приложение SCOUT, которое позиционируется как инструмент слежки за лицами, совершившими преступления различного характера — от сексуальных преступлений и наркоторговли до терроризма и киберпреступлений. Согласно попавшему в сеть руководству, программа фиксирует нажатия клавиш, сообщения, электронные письма, геолокацию и другую активность на устройствах. Она также умеет делать скриншоты, ограничивать доступ к сайтам и уведомлять офицеров о вводе определённых ключевых слов.

Система формирует отчёты и оповещения, которые напрямую отправляются сотрудникам надзорных органов. Так, исследователи отмечают, что среди сотен тысяч оповещений встречались сигналы о потенциальных нарушениях и «заметной информации» на компьютерах людей, обвинённых в терроризме и хранении оружия. Известны примеры, когда триггером для уведомления становились слова «Nazi» или «sex».

Экономическая составляющая работы SCOUT тоже стала достоянием общественности. Документы указывают, что установка программы обходится условно-досрочно освобождённым в $50 за каждый компьютер и $30 за смартфон, а ежемесячное сопровождение оценивается в $35. Эти затраты ложатся на самих поднадзорных, что вызывает дополнительное напряжение в среде тех, кто и без того находится под ограничениями.

Серьёзность произошедшего подчеркивают эксперты по цифровым правам. В Electronic Frontier Foundation отметили, что ситуация демонстрирует, насколько уязвимыми становятся данные, когда их собирают и хранят коммерческие компании, работающие по контрактам с государством. По словам EFF, речь идёт не только о рисках для личной жизни осуждённых, но и об угрозе для работников уголовно-исполнительной системы, чьи данные оказались в открытом доступе. SAN уведомила RemoteCOM о проблеме, однако реакция последовала лишь после публикации — представители компании заявили, что начали оценку последствий утечки.

В сумме архив содержит десятки тысяч записей, отражающих как личную, так и служебную информацию. Помимо персональных данных, там присутствуют сведения о характере правонарушений, в том числе метки для тех, кого считают «технически подкованными». Подобные ярлыки могут влиять на методы надзора и объём ограничений, применяемых к таким людям. Случай с RemoteCOM стал наглядным примером того, как технологические инструменты контроля, призванные усиливать безопасность, сами превращаются в источник риска, когда оказывается подорвана их защита.