Главное в материале

  • В конце октября 2026 года в Telegram пользователи сообщали о доступности данных граждан (ПИНФЛ, адрес, паспорт) через ботов
  • Киберцентр при МВД и ДХХ начал проверку, результаты к началу ноября не объявлены
  • Эксперт Акмал Содиков: большинство утечек происходит на стороне серверов, а не в самих приложениях

Что произошло

В конце октября 2026 года в соцсетях распространились сообщения о том, что персональные данные граждан Узбекистана — ЖШШИР (ПИНФЛ), адреса и паспортные данные — оказались в открытом доступе. Некоторые пользователи сообщали, что нашли свои данные в Telegram-ботах, и публиковали скриншоты в подтверждение. Gazeta.uz ранее собрал эти сообщения в отдельный материал, а теперь опубликовал большое интервью со специалистом по кибербезопасности Акмалом Содиковым о том, как происходят такие утечки.

Проверка без результатов

После этих сообщений Киберцентр при МВД и Службе государственной безопасности объявил о начале проверки. Однако, как отмечает Gazeta.uz, к первой неделе ноября официальные результаты так и не объявлены, и неизвестно, на какой стадии находится расследование.

Откуда утекают данные

По словам Содикова, большинство утечек происходит не в самом приложении, а на стороне сервера. Основные причины: ошибки авторизации в API (когда сервер не проверяет право пользователя на запрос чужих данных — по его словам, это самая распространённая уязвимость в мире), неправильно настроенные хранилища — открытые без пароля базы данных, резервные копии и тестовые серверы, действия инсайдеров, а также сторонние сервисы — аналитические и рекламные SDK, SMS-шлюзы, облачные сервисы. Значительная часть Telegram-сервисов «пробива», отметил эксперт, работает именно через инсайдеров.

Чем опасна утечка и что делать

Главный риск для человека, чьи данные раскрыты, — социальная инженерия: мошенник, зная Ф.И.О., номер телефона и ПИНФЛ, может убедительно представиться сотрудником банка или госоргана и выманить SMS-код или данные карты. Возможны также попытки оформить микрозайм на чужое имя и перевыпустить SIM-карту. Содиков советует никому не сообщать SMS-коды и данные карты (настоящий банк или госорган их не запрашивает, тем более через Telegram), включить двухфакторную аутентификацию в банковских приложениях и на my.gov.uz, периодически проверять кредитную историю, попросить оператора ограничить перевыпуск SIM-карты и при подозрительных ситуациях обращаться в банк и правоохранительные органы.

Удалить данные из интернета нельзя

Эксперт подчеркнул, что полностью удалить уже утёкшие данные из интернета практически невозможно: после копирования они расходятся по десяткам каналов и архивов. Блокировка отдельных каналов и жалобы платформам лишь сокращают распространение. Платные услуги по «скрытию данных», по его словам, скрывают результат только в конкретном сервисе, а их оплата фактически финансирует этот рынок. Поэтому основной акцент, считает Содиков, должен быть на снижении последствий: с учётом того, что данные уже открыты. Пострадавший может обратиться в суд, а оператор данных несёт ответственность за причинённый ущерб.

Что эксперт предлагает изменить

Содиков предложил для работающих с персональными данными приложений в Узбекистане ряд мер: обязательный независимый пентест перед запуском (для приложений, интегрированных с государственными базами, — ежегодно), минимизацию и маскировку данных, проверку авторизации в каждом запросе к API, шифрование при передаче и хранении, аудит доступа (по его словам, это самое эффективное средство против «пробива»), открытый канал для сообщений об уязвимостях и чёткие сроки уведомления о инцидентах. Он подчеркнул, что эти требования не должны оставаться на бумаге, а за нарушение должна наступать реальная ответственность.