Секретов не осталось

В ночь с 4 на 5 июля интернет-пользователи поняли, что могут найти в «Яндексе» и открыть чужие документы, если задать область поиска docs.google.com и заполнить строку поиска: тексты, электронные таблицы и проч., убедились «Ведомости». Там были документы и с информацией, похожей на персональные данные, – имена, фамилии, телефоны и электронная почта; «Яндекс» выдавал даже результаты по запросу «пароли». Около 01.00 5 июля поиск по «Google документам» в «Яндексе» стал невозможен. Представитель «Яндекса» отказался объяснить почему.

У «Яндекса» что-то сломалось, уверен бывший сотрудник «Яндекса»: раз компания отключила возможность поиска по документам Google, она считает случившееся проблемой. Роскомнадзор, сообщил его представитель, направил официальный запрос в «Яндекс» об индексации документов Google.

Когда появилась возможность искать в «Google документах», представитель «Яндекса» сообщить отказался. Зимой 2017 г. ее не было, помнит руководитель департамента системных решений Group-IB Антон Фишман. Вероятно, она возникла не только что, но раньше не было широкой огласки, считает директор департамента Digital Security Глеб Чербов.

Зато функция поиска по «Google документам» работает у самого Google: вечером в четверг поисковик выдавал документы, например, по запросу «пароли». Сервис работает корректно, указал представитель Google на сообщение в его официальном блоге: поисковые системы могут индексировать или те документы, которые их владельцы сами сделали публичными, или ссылки на документы, владельцы которых сделали их доступными для поиска и просмотра. Отдельные документы до сих пор можно найти в Google и других поисковиках, знает бывший сотрудник «Яндекса» и объясняет, что люди могли сами опубликовать их в интернете. Но это не внутренние документы компаний, которые были доступны в поиске «Яндекса», указывает он.

В документах Google действительно есть несколько уровней приватности. По умолчанию к настройкам приватности есть доступ только у пользователя – он может дать другим людям возможность просмотра, комментирования или редактирования документа.

Обычно в поисковых системах стоит запрет на поисковую выдачу документов, которые нельзя найти регулярным способом (к ним не ведет ни одна ссылка), объясняет бывший сотрудник поиска «Яндекса». Если в настройках выбран режим доступа по ссылке или «общедоступно для поиска и просмотра», содержание документа может индексироваться: поисковый робот проходит по сайтам, копирует их цифровой образ, а затем выдает по запросам, объясняет замруководителя лаборатории компьютерной криминалистики Group-IB Сергей Никитин. А если документ или страница индексированы, они какое-то время будут в кэше вне зависимости от того, что права доступа к документу или странице изменены или контент был удален, указывает руководитель российского исследовательского центра «Лаборатории Касперского» Юрий Наместников: так будет, пока робот не попробует обновить информацию о странице или документе. «Яндекс» индексирует открытую часть интернета – страницы, которые доступны при переходе по ссылкам без логина и пароля, заверил представитель компании Илья Грабовский, страницы, индексация которых запрещена администратором сайта в файле robots.txt, «Яндекс» не индексирует, даже если они в открытой части интернета.

В Facebook появились публикации со ссылкой на открытые «Яндексом» в «Google документах» данные. Например, якобы инструкция по найму персонала в «Тинькофф банк», где ставятся этнические и этические ограничения для кандидатов на работу. Представитель банка признал, что текст в сервисе опубликовал сотрудник «Тинькофф банка» – с неясными для банка намерениями. Правила в тексте прямо противоречат политике найма «Тинькофф банка», подчеркнул представитель банка.

В Facebook обнаружилась публикация о списке избирателей с персональными данными и прочими отметками, необходимыми для работы в избирательной кампании, – но без самого документа: автор поста заявил, что не станет распространять чужие данные.

Телеканал «360» нашел презентацию стратегии продвижения в России нового продукта Pepsi Lime. Получить комментарии представителя Pepsi не удалось.

«Яндекс» напрямую не виноват, солидарны эксперты: разработчики любого сайта могут запретить его индексацию и полностью, и частично и тогда поисковики не смогут выдать их пользователям по запросу, уверен аналитик InfoWatch Сергей Хайрук. Правильно разграничивать доступ – задача владельцев веб-сервисов, подтверждает Наместников. Эксперты советуют пользователям перепроверять настройки приватности.

В большинстве компаний с развитой информационной безопасностью пользование публичными облачными сервисами ограничено и строго контролируется, знает Хайрук. Случай с «Яндексом» можно отнести к киберрискам, от них можно страховаться, говорит представитель «Альфастрахования» Юрий Нехайчук: если бы после утечки информации пострадавшая компания – страхователь получила пул исков, был бы страховой случай. Расходы пришлось бы возмещать страховой компании: и затраты на IT-расследование случившегося, и расходы на минимизацию репутационного ущерба,  и, возможно, расходы на юристов, составлявших отчет регулятору о случае. Кроме того, страховщику, вполне вероятно, пришлось бы возмещать  и  ущерб по требованиям третьих лиц, пострадавших от утечки, продолжает Нехайчук: Google, вероятно, застрахован от киберрисков по международной страховой программе.

Представители «Детского мира», «Магнита» и ВТБ заверили, что их сотрудники в корпоративных целях не пользуются «Google документами». Представители Райффайзенбанка, Сбербанка, «Сбербанк страхования», банка «ФК Открытие», «М.видео» и «Эльдорадо» указали, что их сотрудникам не разрешено пользоваться никакими публичными облачными хранилищами и сервисами. Московский кредитный банк сообщил, что использует публичные сервисы только для общения сотрудников с некоторыми вендорами и без передачи конфиденциальной информации. Представитель страховой компании «РЕСО-гарантия» сказал, что ее сотрудникам запрещено входить в облачные хранилища со служебных компьютеров.-

В подготовке статьи участвовали Данис Юмабаев, Наталья Ищенко, Анна Третьяк