Из Центрального реестра населения Дании — национальной базы данных, в которой каждому жителю присваивается пожизненный номер CPR, используемый во всех сферах, от банковских операций до здравоохранения, — в результате несанкционированных запросов были похищены личные данные примерно 8,8 миллиона человек. Были раскрыты имена, адреса, номера CPR и другие идентифицирующие данные, касающиеся как ныне живущих жителей, так и эмигрировавших, и умерших. Администрация CPR зафиксировала подозрительную активность вечером 2 октября, но к тому моменту запросы уже выполнялись незаметно в течение примерно десяти дней. Компания, ответственная за учетную запись, которая была использована злоумышленниками, была заблокирована в системе, а датская полиция начала расследование.
Что делает этот инцидент особенно поучительным, так это характер атаки. Злоумышленники не взломали CPR напрямую. Они действовали через частную датскую компанию, которая имела законный, авторизованный доступ к поиску по реестру, — и использовали этот доверенный канал для выполнения запросов, выходящих далеко за рамки того, чем должна была заниматься эта компания. В этом и заключается сложная проблема централизованных систем идентификации: центральная база данных настолько безопасна, насколько безопасен самый слабый из привязанных к ней сторонних логинов, а в современной государственной инфраструктуре таких логинов очень много. Эта схема должна показаться знакомой всем, кто читал наш отчет об утечке данных из Canvas, когда миллионы записей о студентах утекли через поставщика образовательных технологий, который уже находился внутри защищенной зоны.
Для обычных людей этот вывод имеет неприятные практические последствия. Вы не можете влиять на то, будут ли ваши идентификационные данные храниться в государственном реестре, и не имеете возможности проверять каждую третью сторону, которой ваша страна предоставляет лицензию на поиск в этом реестре. Единственное, что вы можете контролировать, — это объем информации, которую вы раскрываете повсюду: приложения, знающие ваше местоположение; браузер, разглашающий ваши идентификаторы в сети; трекеры, которые незаметно составляют ваш профиль на основе ежедневного просмотра веб-страниц и продают его дальше. Недавний запрет Федеральной торговой комиссии (FTC) на продажу компанией Kochava точных данных о местоположении точно подчеркнул этот момент с коммерческой точки зрения: как только ваши данные попадают в оборот, вы теряете любую реальную возможность контролировать, где они в конечном итоге окажутся.
Свести к минимуму объем данных, покидающих ваше устройство, — это единственное, что может реально сделать каждый пользователь. Браузер Incognito — лучший бесплатный браузер для Android, обеспечивающий конфиденциальность, — построен именно на этом принципе: он блокирует трекеры, отслеживающие ваши действия на разных сайтах, очищает сессию сразу же после закрытия приложения и не сохраняет на вашем устройстве никаких данных, которые третьи лица могли бы позже получить. Он не сможет предотвратить запрос из-за рубежа к государственному реестру в Копенгагене. Но он уменьшит след, который вы оставляете в той части вашей жизни, которая гораздо более уязвима — той, в которую вы попадаете каждый раз, открывая браузер. Вы можете бесплатно установить Incognito Browser в магазине Google Play.
