Что можно сделать с чужими госуслугами
Тянут на себя: мошенники взламывают аккаунты россиян на «Госуслугах»
Аккаунты россиян на портале госуслуг привлекают к себе внимание криминальных элементов. Взломанные учетные записи предлагают на продаже в даркнете, и число таких предложений растет тревожными темпами. Эксперты рассказали «Известиям», чем опасен взлом учетной записи, зачем мошенники охотятся за данными и сколько зарабатывают на их продаже.
Зачем они это делают
Мошенники стали чаще взламывать аккаунты россиян на портале госуслуг, сообщили в компании по производству систем борьбы с утечками данных DeviceLock. Кроме того, в даркнете зафиксировали рост продаж учетных записей по цене около 40 рублей за «новый» и 4–5 рублей за «использованный» профиль.
По словам опрошенных «Известиями» экспертов, растущий интерес мошенников к ресурсу напрямую связан с расширением спектра услуг, предлагаемых через «Госуслуги».
Взламывая или покупая аккаунты, мошенники получают доступ к огромному количеству информации о человеке. В личном кабинете содержатся паспортные данные пользователя, СНИЛС, ИНН, ОМС и ДМС, сведения об автомобиле и недвижимости, банковские карты и электронно-цифровая подпись, которая позволяет распоряжаться имуществом. Доступ к этим данным позволяет украсть деньги, провести различные операции и даже подарить недвижимость.
— Сегодня достаточно много услуг можно получить без личного присутствия, только по данным документов, чем и пытаются воспользоваться злоумышленники, — говорит руководитель службы информационной безопасности финтех-компании RBK.money Алексей Пронин. — Кроме того, информация из аккаунта на «Госуслугах» — просто подарок для тех, кто занимается социальной инженерией.
Преступник сможет позвонить человеку на мобильный телефон, назвать любые данные — для многих это станет убедительным аргументом в пользу того, что с ним говорит банковский сотрудник или полицейский, а затем похитить средства.
Покупка аккаунтов
По словам экспертов, чаще всего мошенники взламывают или покупают аккаунты на «Госуслугах» для дальнейшей компрометации абонента и получения финансовой выгоды либо перепродают персональные данные для рекламных целей.
— Аккаунты покупают в большом количестве, поскольку не каждый может принести прибыль, — объясняет «Известиям» ведущий инженер CorpSoft24 Михаил Сергеев. — А, например, взломав 100 тыс. аккаунтов в автоматическом режиме и продав их по 50 рублей за штуку, мошенники могут извлечь прибыль в районе 5 млн рублей.
Взлом подтвержденного аккаунта на «Госуслугах» очень опасен. Получив доступ в чужой личный кабинет, злоумышленник может оформить на имя настоящего владельца фиктивную компанию и взять несколько кредитов. Также известны случаи, когда злоумышленники получали обманным путем чужую электронную подпись, переоформляли жилье на другого человека и продавали его.
— Также аккаунты используются для мошенничества с использованием кредитования в сфере торговли, — рассказывает директор департамента информационной безопасности компании Oberon Евгений Суханов. — Часто интернет-магазины позволяют получить одобрение кредита для покупателя с помощью подтверждения личности через «Госуслуги».
В основном покупкой взломанных аккаунтов занимаются мошенники, которые хотят «легких денег», говорит юрист Венера Шайдуллина. Но иногда этим промышляют и коммерческие проекты — например, если нужно сформировать базу, получив доступ к персональным данным людей.
Каковы последствия взлома
Меньшее, с чем можно столкнуться после взлома аккаунта, — это необходимость посещения офиса «Мои документы» для восстановления доступа, говорит технический директор Trend Micro в России и СНГ Михаил Кондрашин. Если же злоумышленникам удастся реализовать свои планы, жертва может вскоре обнаружить, что на нее записаны штрафы или кредиты.
По словам Венеры Шайдуллиной, чаще всего мошенники оформляют на человека микрозаймы. Получив доступ к личным данным пользователя, им не составляет труда быстро создать профиль в онлайн-сервисах МФО.
— Проблема в том, что человек даже не будет знать об этом, — говорит эксперт. — Потом идет просрочка платежа, и МФО обращается за судебным приказом, возбуждает исполнительное производство. В результате человек узнает об обмане случайно: например, он собирается за границу, и в аэропорту его разворачивают, поскольку судебный пристав вынес ограничение на выезд за границу.
Кроме того, добавляет Алексей Пронин, с помощью данных из личного кабинета «Госуслуг» мошенники могут попытаться получить доступ к онлайн-кабинетам банков, трейдинговых платформ и вывести оттуда деньги. Также они могут зарегистрировать на человека SIM-карту, открыть счет или оформить виртуальную кредитку.
Более редкие способы использования аккаунта на «Госуслугах» — получение субсидий или дистанционное участие в правосудии, которое также не требует личной явки и перепроверки.
— Можно инициировать фальшивый судебный спор, по которому жертва просудит то или иное имущество, — говорит адвокат Виктория Бессонова. — В дальнейшем ей будет трудно доказать свою непричастность к процессу.
Защитить аккаунт
Сам по себе сервис «Госуслуг» надежно защищен от взлома. Однако всегда остается человеческий фактор: легкомысленность и чрезмерная доверчивость граждан. По словам главы компании Servicepipe Артема Избаенкова, самый распространенный способ кражи аккаунтов на «Госуслугах» — фишинговые письма. Это сообщения, внешне похожие на официальные уведомления сервиса, но пришедшие с другого, замаскированного адреса.
— Цель их отправки — сделать так, чтобы пользователь передал свои данные, в том числе авторизационные. Для этого мошенники часто используют уведомления о назначении выплат или субсидий, — говорит собеседник «Известий».
Защититься от взлома аккаунта можно, используя двухфакторную авторизацию, при которой зайти на страницу можно только при введении кода из SMS. Также очень важно внимательно относиться к переходу по ссылкам из любых сообщений электронной почты — уведомления от «Госуслуг» могут приходить только с адреса no-reply@gosuslugi.ru.
Кроме того, добавляет ведущий инженер CorpSoft24 Михаил Сергеев, необходимо соблюдать технику компьютерной безопасности: не устанавливать софт из неизвестных источников, не передавать доступ к аккаунтам третьим лицам, не заходить на сайты, внешне похожие на «Госуслуги» — только домен gosuslugi.ru.
— Используйте сложные уникальные пароли для каждого сайта и сервиса, следите за безопасностью своей электронной почты, к которой привязаны онлайн-банки, личные кабинеты, социальные сети и другие сервисы. Не заходите в аккаунт с чужих устройств, через публичные сети Wi-Fi, — отмечает Михаил Пронин.
Не будет лишним и периодически анализировать историю входов в свою учетную запись, добавляет эксперт в области информационной безопасностью Сергей Белов. Обнаружив входы, которых не совершали, следует сразу изменить пароль.
Пользователи «Госуслуг» заявили об оформленных на них кредитах после взлома аккаунтов. Как защититься от мошенников
Пользователи «Госуслуг» рассказывают, что мошенники взламывают их аккаунты, потом оформляют на их имя кредиты и обналичивают деньги. В итоге россияне остаются должны банкам и микрофинансовым организациям десятки и сотни тысяч рублей. Рассказываем, почему взлом аккаунтов оказался возможен и как защитить себя от мошенников.
Что случилось
Житель Петербурга лишился и доступа в аккаунт на «Госуслугах», и более 400 тысяч ₽. Свою историю он рассказал на портале «Пикабу». На преподавательницу в декрете Анастасию Павлович неизвестные оформили займы на 20,5 тысячи ₽. Аккаунт Ларисы Геннадьевны на портале Госуслуг взломали, подали заявки на кредиты, но деньги мошенники получить не успели.
Сценарий везде один и тот же: сначала пользователь получает сообщения о смене номера телефона и электронной почты, привязанных к аккаунту, потом пытается связаться с поддержкой портала, чтобы решить проблему. Тем временем мошенник отправляет заявки на кредиты в разные банки и МФО.
Если заявку одобряют, неизвестный с поддельным документом идёт в банк и получает деньги. В паспорте указаны ФИО, номер, прописка со взломанного аккаунта, а фото и подпись — другие. В итоге пострадавший должен банку деньги, которые он даже не видел.
Как мошенники взламывают «Госуслуги» и оформляют кредиты
Новой возможностью пользуются и мошенники. Для оформления кредита на ничего не подозревающих граждан им достаточно взломать чужую учётную запись на «Госуслугах». Пароли от аккаунтов злоумышленники подбирают или берут из слитых баз.
И это проблема не «Госуслуг», это проблема любого интернет-ресурса, для входа на который достаточно логина и пароля, отмечает Лукацкий.
Госдума разрабатывает законопроект, который позволит россиянам добровольно отказаться от выдачи кредитов на их имя. Соответствующую заявку можно будет подать через «Госуслуги». Когда человеку действительно понадобится кредит, он может отозвать свой запрет, оформить заём и затем вновь установить ограничение на новые кредиты.
Когда этот механизм детально проработают и внедрят, пока неизвестно.
Как защитить аккаунт на «Госуслугах» от мошенников
Вот три совета, которые, по словам Алексея Лукацкого, позволят максимально защитить аккаунт на «Госуслугах»:
1. Включить двухфакторную аутентификацию, то есть вход на портал не только по логину и паролю, но и одноразовому СМС-коду.
2. Удалить банки, МФО и тому подобные организации из числа тех, у которых есть доступ к персональным данным с «Госуслуг».
3. Регулярно, раз в полгода-год, менять пароли. Не только на «Госуслугах», но и на других сервисах. Ключевой момент в паролях, по мнению эксперта, — это их длина. Нужно устанавливать как можно более длинные пароли — свыше 12–14 знаков. В них необязательно включать множество специальных символов и цифр, главное, чтобы это не было какое-то известное слово или очевидное сочетание имени-фамилии. Такой пароль подобрать практически невозможно.
Как включить СМС-подтверждение на «Госуслугах»
1. Зайти в меню «Настройки и безопасность».
2. В левом меню выбрать пункт «Вход в систему».
3. Кликнуть на ссылку «Настроить» в окне с разделом «Вход с подтверждением по СМС».
4. В появившейся строке ввести пароль от аккаунта и нажать кнопку «Включить».
Теперь на портал нельзя зайти без одноразового СМС-кода, который приходит на телефон пользователя.
Как отозвать ненужные согласия на портале Госуслуг
1. Кликнуть на иконку со своими именем и фамилией.
2. В меню выбрать пункт «Согласия». Откроется список ведомств и компаний, которым предоставлено согласие на обработку персональных данных.
3. Кликнуть на согласие, которое нужно отозвать. На открывшейся странице внизу нажать кнопку «Отозвать согласие».
Что делать, если аккаунт взломан
Если неизвестные взломали аккаунт, пострадавшему нужно восстановить к нему доступ. Это можно сделать в МФЦ, отделении банка или почты, туда нужно подойти с паспортом. Ближайшее отделение можно найти на карте от «Госуслуг».
Если мошенники уже успели оформить кредит, нужно идти в полицию и писать заявления. Сейчас в банках стоят камеры видеонаблюдения, поэтому высока вероятность, что злоумышленников найдут, считает адвокат Евгения Колесникова.
Другое мнение — у бизнес-консультанта по безопасности Cisco Systems Алексея Лукацкого. По его словам, камеры — не самый эффективный механизм в выслеживании мошенников. Дело в том, что злоумышленники используют разные схемы для обналичивания незаконно похищенных средств. Часто для этого нанимают студентов или других граждан, которым предлагают просто процент за их «помощь». «Даже если поймают того, кто снимает деньги, это будет не тот человек, который организовал всю мошенническую схему. Найти мошенников, к сожалению, практически невозможно», — считает Алексей Лукацкий.
Хорошая новость в том, что пользователь «Госуслуг», на чьё имя набрали кредитов, может доказать свою непричастность к этим займам. Тогда платить по чужим долгам не придётся. Так, Анастасия Павлович, которая без своего ведома оказалась должна 20,5 тысячи ₽, сейчас ждёт заседания суда, который снимет с неё долговые обязательства. Чтобы доказать свою невиновность, преподавательница предоставила перечень мест и времени, в которое злоумышленники входили под её именем на портал (данные предоставили «Госуслуги»), а также выписки из своих банков о том, что на её счета не поступали никакие деньги. Полиция выяснила, в каком банке на имя девушки открыли кредитку, а также установила, что взламывал «Госуслуги» и брал кредиты один и тот же человек.
Чем грозит взлом аккаунта на «Госуслугах» и могут ли мошенники оформить через него кредит?
Лента новостей
Все новости »
Соцсети обошла история жителя Петербурга. Он рассказал о том, как лишился и доступа в аккаунт и более 400 тысяч рублей
«Мошенники взломали мой личный кабинет на портале «Госуслуги», изменили контактные данные (телефон, электронную почту) и пароль» — так начинает свою историю пользователь из Петербурга ylozy. Его запись на портале «Пикабу» (и не только там) стала популярной и собрала десятки тысяч просмотров.
По словам блогера, сразу же после взлома в банки «Открытие» и «Тинькофф» от имени мошенников полетели заявки на выпуск кредитных карт и получение займов. На следующий день в отделении Сбербанка была открыта кредитная карта на 420 тысяч рублей. Деньги были переведены на карту Промсвязьбанка, оттуда — в Газпромбанк, где была оформлена уже дебетовая карта, с которой мошенники и сняли всю кредитную сумму.
Мужчине звонили из микрофинансовых организаций, где аферисты, судя по всему, тоже пытались получить кредиты. За полторы недели пострадавший несколько раз пытался вернуть свой аккаунт на «Госуслугах» и номер своего мобильного телефона, который мошенники постоянно пытались заблокировать.
Можно ли, взломав аккаунт на «Госуслугах», оформить кредит в банке? Есть ли доступ в банк через этот государственный сервис? Год назад Минкомсвязь и Центробанк анонсировали новую функцию — оформление кредита через «Госуслуги» без визита в банк. Сообщалось, что в проекте участвуют 20 банков и несколько страховых компаний.
Но на практике эту функцию взяли в работу микрофинансовые организации. Именно они рекламируют в интернете кредиты через «Госулуги». Зайдя на их сайт, можно авторизоваться через «Госуслуги», но, кроме фамилии, имени и отчества, компания никаких других данных не получит и доступа к вашему аккаунту иметь не будет. Это как авторизоваться на любом сайте через аккаунт в Facebook или профиль в Google, объясняет гендиректор компании «Киберполигон» Лука Сафонов.
Лука Сафонов гендиректор компании «Киберполигон» «У сайта госуслуг есть портал сквозной аутентификации, который называется ЕСИА, он сделан для удобства и позволяет вам на доверенных сайтах, которые входят в эту систему, авторизоваться с помощью подтвержденной учетной записи. Если у вас учетная запись подтверждена на «Госуслугах», вы можете зайти в Сбербанк, если у вас там нет аккаунта, на сайты Департамента информационных технологий правительства Москвы под доменами mos.ru и так далее. Но это равносильно авторизации с помощью Facebook, «ВКонтакте»: это просто механизм авторизации, он передает ключ и подтверждает, что действительно этот человек имеет такую-то запись в Facebook либо этот человек имеет подтвержденную запись в «Госуслугах», и там автоматически доставляется ваша фамилия и так далее. Но подтверждение вашей платежеспособности по кредиту и так далее — это очень спорный вопрос».
Что касается конкретной истории петербуржца, на котором теперь висит кредит в 400 с лишним тысяч рублей, можно сказать, что взлом аккаунта на «Госуслугах» тут ни при чем. Карты с деньгами выдавали в обычном отделении по поддельному паспорту, а сами паспортные данные можно найти где угодно, не только на «Госуслугах».
Но как получилось так, что банки не распознали фальшивый документ? Пострадавший обратился в полицию. По его словам, возбуждено уголовное дело. Адвокат Евгения Колесникова считает, что найти мошенников будет легко — по видеокамерам в отделениях банков.
Евгения Колесникова адвокат «Изымаются записи с камер видеонаблюдения в банке и устанавливается лицо, которое непосредственно приходило и получало [кредит]. В кассе банка всегда стоит видеокамера. Когда лицо получало деньги в кассе банка, тоже можно установить. И если денежные средства переводились на карту и данное лицо снимало с карты, то в банкоматах также стоят камеры, точно так же можно эту информацию получить».
Сам пострадавший общаться с Business FM по телефону отказался, хотя в интернете пишет, что журналисты его историей совсем не интересуются.
Как защитить себя от мошенников, крадущих данные на сайте Госуслуг
Содержание
В наш продвинутый век цифровых технологий защита аккаунта становится столь же важной, как защита кошелька. Эксперты рассказывают, как сделать так, чтобы вашими личными кабинетами и аккаунтами не могли воспользоваться мошенники.
Недавно появилась информация, что мошенники «открыли» новый вид обмана: взламывая аккаунт на сайте Госуслуг, они пользуются личными данными пользователей, чтобы взять кредиты. Причем действуют разными методами, чтобы обманом получить логины и пароли. Например, сообщают «от имени портала» об откреплении от поликлиники и предлагают пройти повторную регистрацию, чтобы исправить эту ситуацию. Заполняя анкету, пользователь указывает логин и пароль, в результате чего мошенники получают доступ к его личному кабинету.
В некоторых ситуациях люди смогли отстоять свою правоту и отказаться от взятых обманным путем кредитов, но в любом случае это стоило им немало нервов и времени. Как избежать таких проблем и что вообще произошло? Мы разобрались в этой ситуации.
Что можно сделать, чтобы обезопасить себя?
В Минцифры, курирующем сайт Госуслуг, сообщили, что для защиты пользователей уже полностью поменяли алгоритм изменения учетных записей, усилили меры, связанные со вторым фактором подтверждения.
При этом для защиты своих данных пользователям также необходимо соблюдать некоторые рекомендации:
Минцифры России осуществляет непрерывный мониторинг ресурсов с доменными именами, внешне похожими на доменное имя www.gosuslugi.ru. Их написание схоже с gosuslugi, propusk, posobie и т. п. При этом на большинстве обнаруженных доменов не размещено какого-либо контента. По результатам анализа часть ресурсов блокируется, остальные состоят на контроле до выявления неправомерного контента или действий.
Блокировка ресурсов в интернете осуществляется в соответствии с правилами регистрации доменных имен Координационного центра национального домена сети Интернет и международными нормами, прописанными в нормативных актах ICANN (международного регулятора в сфере доменных имен и IP-адресов).
В чем могла быть проблема?
Зачастую подобные ситуации связаны с поведением пользователей, которые невольно дают возможность мошенникам получить свои данные.
Сергей Кузьменко, старший специалист по тестированию цифровых продуктов Роскачества:
– Появившиеся в СМИ сообщения о взломе мошенниками аккаунтов Госуслуг, по-видимому, являются информационным вбросом или ситуацией, неправильно понятой представителями СМИ. Технические специалисты в августе уже подробно разбирали практическую невозможность взломать сам сервис Госуслуг, в том числе как методом перебора пароля (после нескольких неудачных попыток логина сервис проводит проверку на бота), так и специальными средствами (сервис в этом случае блокирует пользователя).
Отсюда следует вывод, что взлом возможен только в результате ситуации попадания в фишинговую схему, когда человеку приходит письмо или ссылка с просьбой под каким-то предлогом зайти на Госуслуги, а на самом деле это фальшивая страница, передающая логин и пароль жертвы мошенникам. Однако эта схема сработает без ведома человека, только если у него не подключена двухфакторная аутентификация (2ФА, подтверждение входа по телефону) либо если телефон также заражен вирусом, перехватывающим СМС и передающим мошеннику.
Таким образом, хотя к самому порталу Госуслуг претензий нет, рекомендуется на Госуслугах (как и во всех остальных доступных сервисах) подключить 2ФА и использовать сложные уникальные пароли, а также использовать антивирус и избегать перехода по подозрительным ссылкам во избежание потенциальных эксцессов.
Подведем итог!
Соблюдайте осторожность и пользуйтесь советами специалистов, тогда никто не получит доступ к вашему аккаунту и не сможет воспользоваться вашими данными для мошеннических действий.
Следите за новостями, подписывайтесь на рассылку.
При цитировании данного материала активная ссылка на источник обязательна.
Взлом госуслуг: мифы и реальность
В последнее время в СМИ обсуждаются множественные случаи взлома портала «Госуслуги». В этой статье я постараюсь выяснить что из этого миф и выдумки, а что является правдой, а для этого придется самому взломать госуслуги.
Внимание! Данный текст является описанием возможности в экспериментальных целях. Напоминаем, что повтор подобных действий может привести к нарушению законодательства.
Для экспериментов я использовал свой собственный аккаунт, содержащий доступ к моим данным и данным моего юр лица. Доступ осуществляется как с помощью связки логин/пароль + смс, так и ЭЦП. В ходе экспериментов я буду выключать те или иные функции безопасности аккаунта (чего вам делать крайне не рекомендую) и проверять изменения и возможность захвата аккаунта. Также я зарегистрирую новый аккаунт для проверки функций безопасности, настроенных по-умолчанию.
Верхний аккаунт физ. лицо, защищен при помощи 2FA, нижний, юр. лицо, защищен при помощи ЭЦП.
Миф первый. Взлом аккаунта
Онлайн-мошенники начали взламывать аккаунты граждан на сайте госуслуг и через них брать кредиты и микрозаймы, предупредили опрошенные РБК эксперты. РБК.
Я предполагаю что журналисты имели ввиду брутфорс аккаунтов, только не знали как это называется. Что ж, проверим насколько аккаунт защищен от атак грубой силы.
Для начала попробуем сбрутить известный мне пароль, добавив его в пару десятков других. В результате через несколько попыток получаю отлуп в виде капчи (формально конечно reCAPTCHA):
Ввод пароля к новому аккаунту
Ок, еще можно попробовать взять заведомо валидный или часто встречающийся пароль и попробовать сбрутить логин под эту связку.
Брутфорс по имени пользователя
К моему сожалению на третьей попытке получаем капчу (.
Как еще злоумышленники могут получить пароль учетной записи? С помощью фишинга и т.н. credential stuffing, используя «утекшие» или скомпрометированные на других ресурсах учетные записи пользователей.
Пример фишинг-сайта
Провести успешные атаки на аккаунт с ЭЦП не удалось.
Выводы: взлом аккаунтов на самих госуслугах это миф. Пользовательские аккаунты могут быть захвачены в результате фишинговой/credential stuffing атаки.
Рекомендации: включить 2FA, не использовать одинаковые пароли.
Миф второй. Может быть уязвимо веб-приложение?
Интернет-пользователи пожаловались на хакеров, которые взломали их аккаунты на «Госуслугах» и дали согласие на обработку персональных данных для одного из сервисов «Единой России». В партии считают это информационной атакой. Взлом мог затронуть значительное количество пользователей, полагают эксперты по кибербезопасности. Forbes.ru.
Ну раз эксперты говорят что значительное число, значит скорее всего взломали сайт. Ок, давайте проверим на прочность само веб-приложение и веб-сервисы.
Анализ служебных заголовков, проверка возможности предиктивности кук или сессионных ключей не привели к возможности перехвата чужого аккаунта.
GET /health/?_=0.37814359301759837&pageId=overview&event=/api/pay/v1/informer/fetch/&timing=987&referrer=https://www.gosuslugi.ru/&result=0&new-lk=true HTTP/1.1 Host: www.gosuslugi.ru Cookie: userSelectedLanguage=ru; usi_portal=rBApZWEatnY7Ga/NXc+tAg==; TS01725984=01474e7625a71dda9f8456d6ce5cd5dc41ef0a96249ef858efe85de5e983f9201abd763e4e56ecc2246ef9c01435f9883b192ef137e28d0929808520b579d93803ed91d91568b1f83ebc088aca999ee10393da247ae222a208b24e0ed85c09d5ee5fca8e25; TS01f05634=01474e7625fcda3a0e24f4b7579b3dbc89b2cf6aeba3b975dc39efce481f1bfe2918eb3adfa394893f39f8222c918bca249796ef5fbaecc29e0a0a4aae58505c8c8ec858d8e168be74c3f657bf3a654508289c4f7fd57bbb17edf1f090f3cce2d572ff98b9ba8d695b141102f50f102b58b4f2e76b; userSelectedRegion=25401000000; ns-nlb=ffffffffaf18361245525d5f4f58455e445a4a423660; timezone=3; login_value=XXXX; bs=gixPqiaMdSyF7xRHfD4UZzuqvbvnKGgr4PaZjoLtbsbfPyLSltE-tX-dNcSlExYQjoOu7fUiZIzJAZzADA79buS_BYfmP_AKZTDfpYmhDmizTmEdLUwKP-eNbP2nskZFob2l-LRt5B5FDxy3_93mZkvgj9rQQRVj5ziqe031VV8R4aby8VczbjfodDDo6toZCc8h2usCjiA9Cj6SYyOpPyKbeIZ9XqeTS0PRiEelzghwOkpYvEl7WnP8KO69YNO8UeYbIWFZMYKrMkSfJI6guzamRhlNhGpOtllbU0Di5KR1LQDnSWd44ylThA-68cFPNERdhCJ2PkWrByIYVFx9G-6W-deh_Icd-bouk7yZyRu95ln9Zfl-17jTJOgoMfZt5F34jGEza78RytYza5QTYljyzFZxeFq_U8ddwfI3chscFwURN5cgfTyXy8aiY_w3Eyasu2reh9WzrCBbehn1hw|MTYyOTE0MTMzNg|U0gxQVMxMjhDQkM|yqpAYnGPY4EpY3wDXOJpBA|ZKg3q_Wol4sWJx38nbEUv0Lf9XE; NSC_q00qhvtubu=ffffffffaf18375345525d5f4f58455e445a4a423660; acc_t=eyJ2ZXIiOjEsInR5cCI4IkpXVCIsInNidCI6ImFjY2VzcyIsImFsZyI6IlJTMjU2In0.eyJuYmYiOjE2MjkxNDEzNDcsInNjb3BlIjoiaHR0cDpcL1wvZXNpYS5nb3N1c2x1Z2kucnVcL3Vzcl9pbmY_bW9kZT13Jm9pZD0xMTUzNjYzNDkzIGh0dHA6XC9cL2VzaWEuZ29zdXNsdWdpLnJ1XC91c3Jfc2VjP21vZGU9dyZvaWQ9MTE1MzY2MzQ5MyBvcGVuaWQgaHR0cDpcL1wvZXNpYS5nb3N1c2x1Z2kucnVcL3Vzcl90cm0_bW9kZT13Jm9pZD0xMTUzNjYzNDkzIiwiaXNzIjoiaHR0cDpcL1wvZXNpYS5nb3N1c2x1Z2kucnVcLyIsInVybjplc2lhOnNpZCI6IjE2ODg2NTU4LTk0YTAtNDEyYS05MWM2LWFmNjExZDgzNDA3MiIsInVybjplc2lhOnNial9pZCI6MTE1MzY2MzQ5MywiZXhwIjoxNjI5MTc3MzQ3LCJpYXQiOjE2MjkxNDEzNDcsImNsaWVudF9pZCI6IlBHVSJ9.UJiZPWQ_WpX6GB_U9SNQQJqgCVHKn0YmuAx5lCCqkfxV2nx7KYqtU3X6_IXRoCvNE2HHRdtYJkQ2WRzD7wjbUxuutHsByMLy-YNzIW-eR4ts8bWMwChykIifQoyp6wuliLSihBIkpoqBsRYf7CyxXZqWvyDupWEkQkwFfHc_r4VbO0IN89nedrcjPuVQsRMIhsle8Zwhlr9OU-whvBxIPQsHJFZTPB4HuuNfZbjR1l4f5MyqqulYh5njfj0rk7oPgYimAtF5lU5GuJMtDmggRLj7dbRg95kRTMtbJrgJD2FEP2nNBh-ez_y8sZX3SppnYGCy6ga9V_OW1C6ylKNjhA; u=1153663493; nau=b1d60b0a-cfea-5cfb-47b3-73f3beb22879; marked_as_delivered=eyJ2ZXIiOjEsInR5cCI6IkpXVCIsInNidCI6ImFjY2VzcyIsImFsZyI6IlJTMjU2In0.eyJuYmYiOjE2MjkxNDEzNDcsInNjb3BlIjoiaHR0cDpcL1wvZXNpYS5nb3N1c2x1Z2kucnVcL3Vzcl9pbmY_bW9kZT13Jm9pZD0xMTUzNjYzNDkzIGh0dHA6XC9cL2VzaWEuZ29zdXNsdWdpLnJ1XC91c3Jfc2VjP21vZGU9dyZvaWQ9MTE1MzY2MzQ5MyBvcGVuaWQgaHR0cDpcL1wvZXNpYS5nb3N1c2x1Z2kucnVcL3Vzcl90cm0_bW9kZT13Jm9pZD0xMTUzNjYzNDkzIiwiaXNzIjoiaHR0cDpcL1wvZXNpYS5nb3N1c2x1Z2kucnVcLyIsInVybjplc2lhOnNpZCI6IjE2ODg2NTU4LTk0YTAtNDEyYS05MWM2LWFmNjExZDgzNDA3MiIsInVybjplc2lhOnNial9pZCI6MTE1MzY2MzQ5MywiZXhwIjoxNjI5MTc3MzQ3LCJpYXQiOjE2MjkxNDEzNDcsImNsaWVudF9pZCI6IlBHVSJ9.UJiZPWQ_WpX6GB_U9SNQQJqgCVHKn0YmuAx5lCCqkfxV2nx7KYqtU3X6_IXRoCvNE2HHRdtYJkQ2WRzD7wjbUxuutHsByMLy-YNzIW-eR4ts8bWMwChykIifQoyp6wuliLSihBIkpoqBsRYf7CyxXZqWvyDupWEkQkwFfHc_r4VbO0IN89nedrcjPuVQsRMIhsle8Zwhlr9OU-whvBxIPQsHJFZTPB4HuuNfZbjR1l4f5MyqqulYh5njfj0rk7oPgYimAtF5lU5GuJMtDmggRLj7dbRg95kRTMtbJrgJD2FEP2nNBh-ez_y8sZX3SppnYGCy6ga9V_OW1C6ylKNjhA; ns-nlb-ds=ffffffffaf18365645525d5f4f58455e445a4a423660 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:91.0) Gecko/20100101 Firefox/91.0 Accept: */* Accept-Language: ru-RU,ru;q=0.8,en-US;q=0.5,en;q=0.3 Accept-Encoding: gzip, deflate Dnt: 1 Referer: https://lk.gosuslugi.ru/ Sec-Fetch-Dest: script Sec-Fetch-Mode: no-cors Sec-Fetch-Site: same-site Te: trailers Connection: close
Ничего интересного обнаружить не удалось, далее проверим сайт на уязвимости по OWASP TOP 10. Для этого я попытался использовать OWASP ZAP и Burp Suite Pro в режиме активных сканеров и получал ожидаемую капчу и блокировку WAF’ом.
Ок, автоматика нам не помогла, поищем «руками». В течение пары часов потыкав формы и параметры удалось обнаружить self-XSS в third-party сервисе, но раскрутить эту уязвимость до приемлемого вектора не удалось, да и уязвимость «такая себе», что ее зачастую не валидируют и в bug bounty программах.
Self-XSS. Можно выстрелить себе в ногу.
# Rostelecom Cybersecurity Center responsible for vulnerability management and incident response Contact: mailto:infosec@gosuslugi.ru
# Our OpenPGP key Encryption: https://gosuslugi.ru/.well-known/pgp-key.txt
Expires: Sun, 21 Jul 2026 08:00:00 +0300
Дальнейшие попытки для выявления более серьезных векторов нещадно карались защитными средствами. Были выявлены несколько вроде как устаревших js-библиотек, но проэксплуатировать эти уязвимости не представлялось возможным. Также было выявлено несколько мелких логических уязвимостей.
Выводы: взлом сайта госуслуги является мифом. Даже если высококвалифицированный злоумышленник и сможет что-то найти, то при попытке эксплуатации/обхода средств защиты получит бан и пативен от команды SOC.
Рекомендации: внедрение bug bounty программы для выявления логических уязвимостей.
Миф третий. Утечка данных
Но эксперты по кибербезопасности уверены: произошла утечка информации с серверов портала. Благодаря этому аферисты легко могут подменить данные для входа в систему и получить доступ к любому аккаунту. Vesti.ru
Опять послушаем экспертов и попробуем поискать утечки. В первую очередь используем google-dork’и.
Поиск pdf-файлов.
Ничего полезного найти не удалось, поэтому решено было продирбастить каталоги и файлы, вдруг разработчики оставили что-то критичное. Пришлось немного оттюнить выхлоп ffuf, чтобы отсеять лишнее.
Ffuf отработал, нашлось немного (
При анализе найденных файлов не удалось найти какую-то критичную информацию.
Даже в комментариях к коду разработчики не оставили никаких «пасхалок».
Поиск по github’у и внешним источникам тоже не дал вразумительного результата.
В основном попадались сервисы обращений, какие-то скраперы и т.д.
Проверка теневых форумов также не выявила возможностей получить/купить доступ или аккаунты.
Ничего интересного найти не удалось.
Выводы: Массовая утечка аккаунтов это миф. В публичном доступе на момент публикации статьи отсутствуют данные о каких-либо утечках.
Рекомендации: использовать средства мониторинга внешних источников.
Миф четвертый. Берем кредит на госуслугах
Особое возмущение Ивана Цыбина вызвал тот факт, что с помощью портала «Госуслуг» можно подтвердить личность любому кредитному учреждению и брать займы. Fontanka.ru
Ок, проверим что же это такое. Найдем сайт (их тысячи) оформления кредита и попробуем авторизоваться через госуслуги.
Авторизация в сервисе.
Действительно, авторизоваться в сервисе можно с помощью госуслуг, но в тоже время это можно сделать и через соцсети/почту и т.д.
При наличии 2FA авторизации необходимо ввести еще и смс и только тогда сторонний сайт получит доступ к вашим данным.
Выводы: выдача кредитов госуслугами это миф. Кредиты выдают микрозаймовые организации.
Рекомендации: по умолчанию всем пользователям включить использование дополнительных средств верификации/MFA.
Цифровая гигиена
Защитите свои данные.
Тем более что и на самих госуслугах это крайне рекомендуют.
Используйте сложный, уникальный пароль от аккаунта.
Включите двухфакторную аутентификацию по смс/с помощью специального приложения.
Включите историю входов и активностей.
Расскажите про это и проверьте настройки у ваших родственников/знакомых чтобы обезопасить их данные.