Экс-директор Агентства электронного управления (AGE) Николета Коломеец призналась, что для устранения проблем с кибервзломом госструктура пригласила не спецов Moldtelecom, а частную компанию – Orange.
Скандал с утечкой данных сотен тысяч молдаван разгорается с новой силой. Самое интересное в этой истории даже не то, что государство не заметило атаку на собственные сервисы. А то, как спокойно об этом рассказывают те, кто должен был эту атаку предотвратить. Николета Коломеец, уже бывшая глава AGE, в подкасте – не на общественном телеканале, заметьте, а в расслабленной беседе – призналась: понадобился «кто-то более технически подкованный».
«Я сказала, что, вероятно, нужен кто-то более технически подкованный, с несколько большей технической экспертизой. Это была одна из причин, по которой мы начали искать поддержку извне», – говорит она.
И нашли. Не Moldtelecom, который вроде как государственный. А Orange – частного мобильного оператора.
Как всё происходило?
Картина вырисовывается безрадостная. О том, что данные граждан утекают, AGE узнало не от своих «радаров», а от самих граждан. Люди начали звонить в поддержку и говорить: «Я не обращался к документам гражданского состояния, что-то не так». И только после этого специалисты заметили подозрительную активность.
«После этого мы заметили то, чего не сигнализировали и не предоставляли ни наши внутренние радары, ни внешние радары других учреждений. Это не было обнаружено», – признаёт Коломеец.
То есть, внутренние системы мониторинга молчали. Внешние – тоже. Атака шла, данные утекали, а ответственные за цифровизацию Молдовы, судя по всему, пребывали в блаженном неведении. По некоторым данным, о происходящем стало известно лишь на четвёртый день атаки.
«Они предложили помощь, и мы подписали соглашение»…
Дальше – больше. Когда стало ясно, что своими силами не справиться, AGE обратилось к Orange. По словам Коломеец, компания предложила помощь бесплатно, и стороны подписали соглашение о тестировании периметра.
«Мы очень рады, что пришли коллеги из Orange. Они предложили помощь, мы подписали соглашение о сотрудничестве между AGE и ними для тестирования периметра», – поясняет она.
Коломеец не скрывает, что у частников ресурсов больше, чем было у государства.
«Они способны помочь нам быстрее тестировать, выявить больше из того, что, возможно, ранее мы не выявили в проведённых тестированиях, и помочь команде устранить и предотвратить другие уязвимости. И сделать это бесплатно, и прийти с большими ресурсами, чем были у нас и чем мы успевали делать вместе с Агентством по кибербезопасности», – говорит бывшая глава AGE.
«За эти вещи я им глубоко признательна», – добавляет она.
Признательность – дело хорошее. Только вот вопрос: почему режимный объект, где хранятся персональные данные сотен тысяч граждан, оказался доступен работникам частного мобильного оператора? И почему государственное агентство не смогло обойтись своими силами и силами Агентства по кибербезопасности?
Дырявые сервисы
И это ещё не всё. Коломеец рассказала и о том, что некоторые из атакованных сервисов были разработаны на основе дефектной архитектуры. Хотя ранее они проходили тесты безопасности.
«Эти сервисы, которые подверглись атаке, – это сервисы, которые были разработаны давно. Это довольно старые сервисы, это сервисы, у которых за спиной не было связной, хорошо сделанной архитектуры. Кто-то когда-то получил за это деньги, но, впрочем», – говорит она.
Более того, проверки, проведённые весной этого года, никаких критических уязвимостей не выявили.
«Были проведены сканирования безопасности этих сервисов. Тесты показали, что всё в порядке», – утверждает Коломеец.
Всё в порядке. А потом выяснилось, что не в порядке. И данные утекли. И пришлось звать Orange.
Коломеец критикует и то, как были спроектированы некоторые цифровые госуслуги – они раскрывают пользователям больше информации, чем нужно.
«Некоторые из них раскрывают слишком много данных без смысла на интерфейсе, только потому, что когда-то кто-то так настаивал», – говорит она. Правда, уточнить, сделала ли она что-либо за время своего мандата для устранения этих пробелов, экс-директор не смогла или не захотела.
В итоге – сотни тысяч граждан, чьи данные попали в чужие руки. Государственное агентство, которое не заметило атаку. Частная компания, которую допустили к чувствительной инфраструктуре. И бывшая директор, которая с «глубокой признательностью» рассказывает об этом в подкасте.
Коломеец, напомним, отпустили в отставку с почестями. А вопросы остались. И главный из них: если государство не может защитить свои собственные базы данных, то что оно вообще может защитить?
