Maqolani tinglash
27 million o'zbek fuqarosining shaxsiy ma'lumotlarini qo'llarida ushlab turishlarini da'vo qilayotgan tahdid aktyorlari, noma'lum talablar bajarilmasa, arxivni ochiq sotuvga qo'yishlarini ogohlantirdi — ular belgilagan muddat 2-noyabr kuni soat 08:00. Kirish imkoniyatini isbotlash maqsadida ular Raqamli texnologiyalar vazirining shaxsiy ma'lumotlarini e'lon qildi. Tahdid qilinayotgan ma'lumotlar to'plami to'liq ismlar, telefon raqamlari, shaxsiy identifikatsiya raqamlari (JSHSHIR), uy manzillari, pasport ma'lumotlari va biometrik fotosuratlarni o'z ichiga oladi.
Ushbu da'vo ijtimoiy tarmoqlarda paydo bo'ldi va nomi oshkor etilmagan o'zbek vazirligi platformasida dasturchi tomonidan sentyabr oyining oxirida aniqlangan kritik xavfsizlik kamchiligi haqidagi alohida batafsil ma'lumot bilan bir vaqtga to'g'ri keldi. Zaiflikning CVSS jiddiylik ko'rsatkichi 10 dan 8,6 ni tashkil etdi. Blogger Umid G'afurov tomonidan ommaviy ravishda ulashilgan ma'lumotlarga ko'ra, ushbu kamchilik har qanday foydalanuvchiga autentifikatsiyasiz va so'rovlar chastotasini cheklashsiz taxminan 40 million kishiga — amalda O'zbekistonning barcha ro'yxatdan o'tgan aholisi va xorijiy fuqarolariga — oid yozuvlarni sanab chiqish imkonini berdi. Fosh etilgan maydonlar qatoriga to'liq ismlar, fotosuratlar, tug'ilgan sanalar, ID-karta va xorijiy pasport seriyalari hamda raqamlari, tug'ilganlik guvohnomasi ma'lumotlari, JShShIRlar, ta'limga qabul ma'lumotlari, ro'yxatdan o'tish manzillari va kadastr raqamlari kiradi.
Eshitishni istamagan vazirlik
Dasturchianing vazirlikni ogohlantirishga urinishlari darhol qarshilikka duch keldi. Ma'lumotlarga ko'ra, qo'ng'iroq markazi operatori: "Siz qandaydir xakermisiz? Ofisga keling, hamma narsa yaxshi ekanini ko'rsataman", — deb javob berdi. Tadqiqotchi alohida rasmiy kanal orqali texnik xodimlarga murojaat qilishga va muammoni vazirlikda bevosita tushuntirishga muvaffaq bo'lganida, rasmiylar kamchilikdan allaqachon xabardor ekanliklarini, ammo uni shoshilinch deb hisoblamasliklarini aytdi va yaqinda yakunlangan xavfsizlik auditlariga ishora qildi.
Dastlabki xabardan besh kun o'tgach ham zaiflik bartaraf etilmagan edi. Shundan so'ng dasturchi O'zbekiston Kiberxavfsizlik markaziga mas'uliyatli oshkor qilish to'g'risida hisobot topshirdi. U markazda qulay anonim onlayn murojaat mexanizmi mavjud emasligini ta'kidladi; hisobotlar faqat Telegram orqali, telefon yoki markazning ofisiga shaxsan tashrif buyurish yo'li bilan qabul qilinadi. Markaz xatoliklar uchun mukofot to'lamaydi — so'rov bo'yicha faqat minnatdorchilik xati taqdim etiladi; bartaraf etish uchun kafolatlangan muddatlar belgilanmaydi, o'rniga rasmiy bildirishnomalar mas'ul idoraga yo'naltiriladi.
Vazirlik platformasidagi zaiflik Kiberxavfsizlik markazi xabardor qilingandan faqat sakkiz kun o'tgach bartaraf etildi — u ham dastlab faqat qisman. Markaz xodimlari dasturchining o'zidan vazirlik ma'lumotlarga kirishni haqiqatan ham cheklaganligini tekshirishni so'radi. Shuningdek, ular unga bunday hodisalarni ommaviy oshkor qilish amaldagi qonun bo'yicha taqiqlanganligini ogohlantirdi; qonun esa, ularning ta'rifiga ko'ra, bunday holatlarni hal etishga hali tayyor emas.
Taxminan 2 milliard dollarlik potentsial zarar
Dasturchi 40 million yozuvdan iborat ma'lumotlar bazasi firibgarlар qo'liga tushgan taqdirda, noqonuniy kredit arizalari va shaxsga asoslangan boshqa suiiste'mollardan kelib chiqadigan potentsial iqtisodiy zarar har bir kishi uchun taxminan 50 dollarga — milliy miqyosda esa taxminan 2 milliard dollarga yetishi mumkinligini taxmin qildi.
Bu voqea O'zbekistonda davlat tomonidan saqlanadigan shaxsiy ma'lumotlar xavfsizligiga nisbatan kuchayib borayotgan tashvishni yanada oshirdi. Hokimiyat organlari transport vositasi va yo'l xavfsizligi yozuvlarini saqlovchi, ilgari Safe Road nomi bilan tanilgan SAFE Service platformasidan ma'lumotlar sizib chiqqanligi haqidagi xabarlarni alohida tekshirmoqda. Tafsilotlar ommaga ma'lum bo'lgan paytda darknet tahdidi yoki vazirlik zaifligiga oid rasmiy bayonot chiqarilmagan edi.