Yappy пошел по стопам Rutube
Хакеры взломали еще один сервис «Газпром-медиа»
«Проукраинские» хакеры похитили данные пользователей подконтрольного «Газпром-медиа» сервиса Yappy, сообщают профильные Telegram-каналы и подтверждают источники «Ъ». В открытом доступе оказались таблицы на 2 млн строк, в них содержатся ФИО, мобильные телефоны, даты регистрации и другие данные пользователей сервиса. Эксперты предполагают, что злоумышленники получили доступ к данным через аккаунт одного из администраторов сервиса.
Фото: Эмин Джафаров, Коммерсантъ
Сегодня вечером несколько Telegram-каналов, специализирующихся на поиске утечек данных, сообщили, что российский сервис вертикальных видео Yappy подвергся атаке «проукраинских хакеров».
В частности, канал in2security сообщил об утечке четырех файлов с персональными данными пользователей социальной сети в целом на 2 млн строк.
Файлы, пишут администраторы канала, содержат такие данные, как мобильный телефон и дата регистрации пользователей, сведения об устройстве, с которого осуществлялся вход, типе соединения, связанные идентификаторы сторонних сервисов, например ID «ВКонтакте», и другую информацию. Канал Data1eaks добавляет, что утекшая база актуальна на 1 июля. Собеседник «Ъ» на рынке информационной безопасности подтверждает факт утечки.
«Газпром-медиа» объявил о запуске социальной сети Yappy с вертикальными видео в сентябре 2021 года. Она ориентирована на российских блогеров до 35 лет и разработана на основе приложения «Ямолодец», купленного компанией в 2020 году. Официально сервис запущен в ноябре 2021 года. Популярность платформы начала расти на фоне ухода с российского рынка зарубежных соцсетей из-за военных действий на Украине и блокировок. В июле «Газпром-медиа» заявил, что в первом полугодии ежемесячная аудитория платформы превысила 4 млн пользователей, а объем контента вырос более чем втрое.
Yappy — не первый медиаактив «Газпром-медиа», ставший жертвой хакеров. В мае масштабной атаке подвергся Rutube. Он оставался недоступен почти двое суток. Как сообщали в компании, было поражено более 75% баз и инфраструктуры основной версии сайта и 90% резервных копий и кластеров для восстановления баз данных (см. «Ъ» от 11 мая). В «Газпром-медиа» на момент сдачи материала на запрос «Ъ» не ответили.
Владелец Telegram-бота «Глаз бога» Евгений Антипов считает, что злоумышленники получили доступ к корпоративной сети через аккаунт администратора.
«В других, сторонних утечках можно найти корпоративную почту жертвы, как правило, она является логином. Там же — пароль. Если все совпадает, то злоумышленник заходит в систему под видом администратора и просто выгружает данные»,— объясняет господин Антипов.
По новому регулированию в области защиты персональных данных, в случае утечки персональных данных организация обязана в течение 24 часов сообщить об инциденте в Роскомнадзор и в течение 72 часов подать уведомление о результатах внутреннего реагирования, отмечает управляющий партнер юридической компании ЭБР Александр Журавлев: «Если же в компании произошла утечка, которая была обнародована СМИ и обнаружена Роскомнадзором до уведомления от компании, это может быть воспринято как факт сокрытия инцидента».
Минцифры между тем обсуждает введение оборотных штрафов за утечку персональных данных.
«Ранее предлагалось ввести штраф в размере 1% от годовой выручки и до 3%, если компания своевременно не сообщила об утечке в Роскомнадзор. В новой редакции документа такой порядок штрафов предусмотрен только для компаний, действия которых привели к утечке баз данных, содержащих более 100 тыс. записей»,— отмечает господин Журавлев.
Судя по тому, как активно продолжаются утечки данных и насколько возросло их число в последнее время, тенденция к усилению регулирующих мер со стороны государства сохранится, поэтому и введение штрафов не заставит себя ждать, считает эксперт. Штраф, добавляет он, можно будет снизить до фиксированного значения, если компания публично признается в том, что данные были похищены: «Также ей нужно будет активно помогать госорганам в расследовании причин происходящего и доказать, что причина инцидента не в том, что компания не обеспечила должный уровень информационной безопасности».