Старший брат следит за тобой. Как защитить себя в цифровом мире

КЕЙС Весной 2019 г. российский корреспондент BBC менее чем за 2000 рублей смог приобрести выписку со своими паспортными данными и копии заявлений о выдаче документов, в том числе первого заявления, написанного им в конце 1990-х по достижении 14-летнего возраста. Файлы журналист получил спустя сутки после того, как заплатил за услугу анонимному хакеру[469].

Если же злоумышленникам удастся завладеть сканом водительских прав (либо использовать информацию из базы данных ГИБДД), они могут создать дубликат – «зеркальные права». Злоумышленник с «зеркальными правами» может совершать правонарушения, а сотрудники правоохранительных органов попытаются привлечь к ответственности владельца настоящих прав[470].

Публикация фотографий с билетами на авиарейс тоже опасная затея, так как кроме фамилии и имени на них присутствуют такие данные, как код бронирования (PNR) и номер бонусной карты, если таковая используется.

Примечание. На сайтах некоторых авиакомпаний кода бронирования и фамилии достаточно для доступа в личный кабинет или регистрации на рейс через интернет[471], а также для использования чужих «бонусных миль»[472].

Даже если кода бронирования в явном виде на билете нет, с помощью специальных утилит его можно извлечь из обязательно имеющегося на нем штрих– или QR-кода. Код бронирования может содержать, например, детальную информацию о маршруте; о тех, кто летит вместе с владельцем билета; сведения об оплате (вплоть до номера банковской карты[473]), а также в некоторых случаях адрес регистрации, номер телефона, дату рождения и паспортные данные. Хакеры могут получить доступ к информации о пассажире по фотографии его билета, так как при аутентификации на сайте авиаперевозчика запрашиваются автоматически присваиваемые при регистрации фамилия (в качестве логина) и код бронирования (пароль). Все данные, необходимые хакеру для успешного входа в систему, печатаются на билете, а также на бирках, приклеиваемых к багажу (которые также можно фотографировать).

Примечание. Хакер также может перебирать коды бронирования брутфорсом (многие сайты не ограничивают количество попыток), используя в качестве логина наиболее распространенные фамилии. Это несложно, так как код PNR состоит из шести символов в верхнем регистре без нулей, единиц и специальных символов, а некоторые компании к тому же используют несовершенные алгоритмы генерации кодов (например, помещают одинаковые символы в начале кодов, сгенерированных в определенный день, или постоянно используют одни и те же символы для конкретных авиалиний).

Вряд ли хакер воспользуется чужим билетом, чтобы вылететь вместо настоящего владельца, но вполне может подшутить, например, купив билеты на другие рейсы[474], изменив дату вылета, аннулировав обратный билет или сменив данные владельца на данные преступника из базы правоохранительных органов. Или, определив по коду бронирования, что некий известный человек летит в компании с кем-то еще, но скрывает эту информацию от общественности, злоумышленник может обнародовать эти сведения либо шантажировать жертву в обмен на молчание.