В Дагестане осудили пятерых участников схемы, позволившей чиновникам получить доступ к аккаунтам 6000 жителей Каспийска на «Госуслугах» и голосовать от их имени. Среди виновных оказались два заместителя главы города и начальник отдела информационной безопасности мэрии. Все пятеро избежали колонии.
Каспийский городской суд вынес приговор по делу о массовом неправомерном доступе к учётным записям граждан. Суд установил, что весной 2023 года сотрудники администрации решили искусственно увеличить число участников голосования за благоустройство городских территорий. Для выполнения установленных показателей чиновники организовали получение персональных данных жителей, создание временных паролей и вход в чужие личные кабинеты.
Инициатором схемы стал начальник отдела межведомственного взаимодействия и информационной безопасности администрации Каспийска. Специалист, в обязанности которого входила защита информации, предложил первому заместителю главы города использовать базу жителей, зарегистрированных на «Госуслугах». Руководитель согласился и поручил другому заместителю мэра организовать получение необходимых сведений.
Далее к схеме подключился начальник проектного отдела МФЦ Республики Дагестан. Сотрудник воспользовался служебным положением и обратился к программисту компании «Вебсистемс», имевшему законный доступ к информационной системе «АИС Логистика». Разработчик выгрузил сведения о 6000 жителях Каспийска, включая логины и СНИЛС, после чего сформировал временные пароли для входа в их личные кабинеты на государственном портале.
Ни один из владельцев учётных записей не давал согласия на подобные действия. Полученные данные передали начальнику отдела информационной безопасности мэрии, который организовал голосование от имени горожан. Для подключения использовали служебные IP-адреса городской администрации и одной из местных школ. Таким образом, незаконные действия выполнялись через интернет-подключения муниципальных учреждений.
Примечательно, что участникам схемы не потребовалось взламывать серверы или использовать неизвестные уязвимости программного обеспечения. Программист уже обладал разрешённым доступом к информационной системе, а чиновники воспользовались его полномочиями для получения чужих данных. Подобные случаи относятся к категории инсайдерских угроз, когда сотрудник или подрядчик намеренно злоупотребляет предоставленными ему правами.
Технический механизм создания временных паролей в опубликованных материалах суда не раскрывается. Неизвестно, какие именно процедуры восстановления доступа использовали участники схемы, требовалось ли дополнительное подтверждение личности и каким образом проходила авторизация в личных кабинетах. Поэтому считать произошедшее доказательством обхода двухфакторной аутентификации или наличия уязвимости в самих «Госуслугах» оснований нет.
Первый заместитель главы администрации Каспийска получил два года ограничения свободы с запретом занимать должности на государственной службе и в органах местного самоуправления в течение двух лет. Аналогичное наказание суд назначил заместителю главы города. Начальника отдела информационной безопасности приговорили к одному году ограничения свободы и лишили права занимать соответствующие должности на такой же срок.
Начальнику проектного отдела МФЦ и программисту компании «Вебсистемс» назначили по полтора года ограничения свободы. Всех пятерых признали виновными по части 3 статьи 272 УК РФ, предусматривающей ответственность за неправомерный доступ к компьютерной информации, в том числе совершённый группой лиц по предварительному сговору или с использованием служебного положения.
Назначенное наказание не предполагает помещения осуждённых в исправительную колонию. Согласно статье 53 УК РФ, ограничение свободы может включать запрет покидать место проживания в определённое время, выезжать за пределы муниципального образования или менять место жительства без согласования с надзорным органом. Конкретные ограничения устанавливает суд. Приговор может быть обжалован в Верховном суде Дагестана.
Незаконное голосование проходило в рамках федерального проекта «Формирование комфортной городской среды». В мае 2023 года жители Каспийска выбирали общественные территории, которые предстояло благоустроить. Для местных властей количество участников служило одним из показателей проведения голосования. Именно стремлением выполнить установленные показатели суд объяснил действия чиновников, получивших доступ к чужим аккаунтам.
При этом опубликованные судебные материалы не позволяют установить, сколько голосов фактически подали с использованием полученных учётных данных и повлияли ли действия чиновников на окончательные результаты выбора территорий. Не сообщается также, уведомляли ли 6000 жителей о постороннем доступе к их личным кабинетам и проводилась ли проверка возможного использования полученных сведений для других операций.
Для владельцев затронутых аккаунтов потенциальная опасность не ограничивается подачей голоса за благоустройство. Учётная запись «Госуслуг» связана с персональными сведениями и доступом к государственным услугам, поэтому посторонняя авторизация требует проверки даже спустя продолжительное время. Пользователь может самостоятельно проверить историю входов и действий в личном кабинете, завершить подозрительные сеансы и изменить пароль при обнаружении неизвестной активности.
Дело в Каспийске показывает отдельную проблему безопасности государственных информационных систем. Даже при отсутствии технического взлома доступ сотрудников и подрядчиков к персональным данным способен стать инструментом массовых злоупотреблений. В данном случае специалист по информационной безопасности участвовал в организации незаконных действий, а программист с законными полномочиями обеспечил получение данных тысяч граждан. Судебное разбирательство подтвердило, что источником угрозы оказались люди, которым доверили работу с информацией.