Через два дня после эксклюзивное расследование CBC раскрыла масштабы взлома данных Crime Stoppers в Канаде, эксперты сейчас взвешивают долгосрочные последствия того, что может стать одним из самых опасных нарушений конфиденциальности в стране.
«Мне кажется, что это потенциально одна из самых опасных утечек данных, которые мы когда-либо видели в Канаде», — сказал Майкл Гейст, профессор права в Университете Оттавы и кафедра канадских исследований в области права Интернета и электронной коммерции.
Что касается канадского законодательства, говорит он, то и Crime Stoppers, организация, которая собирала данные, и Navigate360, компания, которую она наняла для управления ими, могут быть привлечены к ответственности.
“[How] Функции канадского закона о конфиденциальности заключаются в том, что ответственность несет организация, которая собирает личную информацию», — сказал Гейст. «И даже там, где они используют третьи стороны или субподрядчиков в рамках того, что происходит, они должны гарантировать, что независимо от того, кто получит доступ к информации, она будет иметь соответствующий уровень защиты».
Однако, по его словам, обеспечить соблюдение этих правил за рубежом (Navigate360 базируется в США) чрезвычайно сложно, а внутренние штрафы слабы.
«Подобные инциденты продолжают происходить. Существует реальная необходимость срочного решения канадского закона о конфиденциальности, который, к сожалению, устарел», – сказал он.
«И на вершине списка было действительно слабое правоприменение».
Эксперт опасается, что компания не знает истинных масштабов утечки
В основе взлома лежит Navigate360 и ее платформа управления подсказками P3. Все отделения Crime Stoppers, в том числе в Канаде и США, использовали P3 для обеспечения анонимности своих данных.
Информация была украдена в марте прошлого года коллективом хактивистов Internet Yiff Machine, который заявил, что хочет опровергнуть утверждение компании о том, что ее платформа является «анонимной» и «безопасной». CBC News проанализировала копию взломанных данных и обнаружила, что было раскрыто более 1,5 миллиона советов, отправленных канадским программам Crime Stoppers за последние 25 лет, а также десятки тысяч неотредактированных личных данных.
CBC неоднократно обращалась к Navigate360 и поделилась основными моментами своего расследования, но компания не ответила.
Разногласия усугубляются отчетами отделений «Стопперы по борьбе с преступностью в Торонто» и «Гвельф-Веллингтон», где Navigate360, судя по всему, изменил свою версию о том, сколько данных было украдено и что пострадало.
Согласно заявлению, сделанному в среду отделением в Торонто, Navigate360 сначала сообщила организации, что никакие канадские данные не были взяты, затем заявила, что Торонто не пострадало, а несколько месяцев спустя, наконец, объявила, что многолетние данные Торонто были скомпрометированы. Гвельф Веллингтон поделился аналогичным заявлением в четверг.
Полицейские службы Онтарио и других регионов Канады приостановили использование Crime Stoppers после публикации расследования CBC.
Эксперт по кибербезопасности Али Дегантанха, который просматривал образцы скомпрометированных данных в рамках первоначального расследования CBC, сказал, что вызывает тревогу то, что претензии Navigate360 к Toronto Crime Stoppers, похоже, изменились.
«Они, видимо, получили шесть разных [accounts] через семь месяцев от поставщика», — сказал он, добавив, что это вызывает серьезные опасения относительно способности компании расследовать взлом и исправить уязвимости, которые могли его привести.
Дегантанха, который уже более десяти лет проводит цифровые криминалистические расследования, сказал, что он также очень удивлен тем, как быстро Navigate360 вернула свою систему в рабочее состояние после взлома.
Массовая утечка данных привела к утечке неотредактированной личной информации Crime Stoppers за 25 лет, что поставило под угрозу личности тысяч канадских информаторов. Отделение Crime Stoppers в Торонто попросило общественность не присылать советы, пока проблема не будет решена.
В Toronto Crime Stoppers сообщили, что об утечке стало известно 18 марта; неделю спустя, 25 марта, Navigate360 сообщила организации, что система «безопасна и полностью работоспособна».
«Похоже, что там не проводилось полноценного расследования, — сказал Дегантанха, — которое можно было бы провести и сказать: «О, это затронуло только этих клиентов»».
Внутренняя памятка советует не звонить комиссару по конфиденциальности
Между тем, Гейст говорит, что информаторы, чья информация была раскрыта, могут быть ограничены в своих возможностях добиться справедливости.
«Что касается фактической компенсации пострадавшим лицам, действующий закон о конфиденциальности на самом деле не фокусируется на этом», – добавил он. «Если вы ищете реальную компенсацию, вам придется обратиться к другим механизмам, таким как групповые иски».
Помимо этого, еще одним способом может быть начало расследования комиссара по конфиденциальности, но Гейст предупреждает, что это может занять годы, и любые рекомендации на будущее не будут иметь юридической силы.
Торонто, Хэлтон и Гуэлф входят в число городов Онтарио, временно приостановивших программы подсказок Crime Stoppers после того, как расследование CBC News выявило массовую утечку данных, в результате которой хакеры могли использовать 1,5 миллиона подсказок за последние 25 лет.
Он отметил, что даже если канадский комиссар по вопросам конфиденциальности расследует этот вопрос, он сможет лишь вынести «необязательное заключение», предписывающее компании исправить недобросовестную практику — он не может заставить компанию выплатить компенсацию жертвам.
Тем не менее, даже несмотря на эти ограниченные полномочия, комиссар по конфиденциальности, возможно, уже был в центре внимания Канадской ассоциации по борьбе с преступностью (CCSA) в течение нескольких месяцев после взлома, согласно копии внутренней записки от 18 июня, полученной CBC.
«В настоящее время мы не считаем, что вы обязаны, и вам не следует в настоящее время обращаться к комиссару по конфиденциальности в вашем регионе», — инструктирует президент CCSA Дэвид Форстер, говоря, что его организация «ранее оценила, что они [the commissioner] не имеют юрисдикции над Crime Stoppers».
Crime Stoppers наиболее известна своими публичными обращениями, часто в сотрудничестве с полицией, с просьбой о помощи в нераскрытых преступлениях и продвижении расследований — и все это с обещанием анонимности для информаторов, которые с ними связываются. (Тайсон Кощик/CBC)
CBC обратился в CCSA за комментариями по поводу содержания меморандума. Мы также связались с комиссарами по конфиденциальности Канады и Онтарио, чтобы узнать, расследуют ли они утечку данных, получали ли они какие-либо жалобы от граждан и действительно ли они обладают юрисдикцией в отношении Crime Stoppers.
Мы также связались с комиссарами по конфиденциальности Канады и Онтарио, чтобы узнать, расследуют ли они утечку данных, получали ли они какие-либо жалобы от граждан и действительно ли они обладают юрисдикцией в отношении Crime Stoppers.
В публичном заявлении в четверг Форстер заверил общественность: «Navigate360 сообщила нам, что сторонние эксперты по кибербезопасности расследовали нарушение, выявили уязвимости и завершили устранение». Эти меры усиливают защиту текущих и будущих советов, сказал он.
Однако он отметил: «Они не могут отменить раскрытие уже полученной информации, что остается серьезной проблемой».
