В Бразилии произошла масштабная утечка налоговых данных

В декабре 2018 года стало известно о масштабной утечке данных жителей Бразилии. Из-за ошибки в Apache в открытом доступе оказались идентификационные номера налогоплательщиков (Cadastro de Pessoas Físicas, CPF), принадлежащие 120 млн человек или 57% населения страны.

CPF является своего рода аналогом ИНН в России. Используя этот идентификатор, бразильцы и платящие налоги резиденты могут открывать счета и брать кредиты в банках, создавать собственные компании и т. п. К CPF привязана кредитная история и информация о трудовой деятельности человека.

Как сообщили в компании InfoArmor, специализирующейся на исследованиях в области информационной безопасности, из-за некорректной настройки веб-сервера Apache, обнаруженной в марте 2018 года, любой желающий мог получить доступ к большим архивам данным, которые хранились на нем.

Кто-то переименовал файл «index.html» в «index.html_bkp», раскрыв тем самым содержимое каталога и предоставив неограниченный доступ всем, кто знает имя файла. Директория содержала архивы размером от 27 Мбайт до 82 Гбайт. В них хранились персональные данные бразильцев, включая CPF, телефоны, адреса, информация о кредитах, данные о военной службе и др.

Утечку можно было бы предотвратить, если не переименовывать основной файл «index.html» или запретить настройку файла .htaccess. Однако ни одна из этих базовых мер кибербезопасности не была выполнена.

Недостаток был устранен в апреле 2018 года. Кому принадлежал тот веб-сервер Apache, который так бездарно настраивали, неизвестно.

По мнению экспертов, данная оплошность может привести к серьезным последствиям — искажению информации — как для страны в целом, так и для граждан в отдельности. Например, злоумышленники могут выставить Бразилию инициатором кибератак на различные страны, а украденные данные населения могут быть проданы и использованы для мошеннических целей.