Özbekistonda şaxsiy ma’lumotlar sizilişi: tekşiruv boşlandi, natijalar hozirça yöq

Nima böldi

2026-yil oktyabr oxirida ijtimoiy tarmoqlarda Özbekiston fuqarolarining şaxsiy ma’lumotlari — JSHShIR (PINFL), manzillar va pasport ma’lumotlari — oçiq kiriş mumkin holatga tuşib qolgani haqida xabarlar tarqaldi. Ayrim foydalanuvçilar öz ma’lumotlarini Telegram-botlarda topganini aytib, buni tasdiqlaş uçun skrinşotlar e’lon qildi. Gazeta.uz avval bu xabarlarni alohida materialga jamlagan edi, endi esa kiberxavfsizlik mutaxassisi Akmal Sodiqov bilan bunday ma’lumot sizişlari qanday sodir bölişi haqida katta suhbat çop etdi.

Natijasiz tekşiruv

Bu xabarlardan söng IIV huzuridagi Kibermarkaz va Davlat xavfsizligi xizmati tekşiruv boşlanganini e’lon qildi. Biroq Gazeta.uz qayd etganidek, noyabrning birinçi haftasiga qadar rasmiy natijalar e’lon qilinmadi va tergov qaysi bosqiçda ekanligi noma’lum.

Ma’lumotlar qayerdan siziladi

Sodiqovning aytişiça, sizişlarning aksariyati ilovaning özida emas, balki server tomonida sodir bö'ladi. Asosiy sabablar: API’dagi avtorizatsiya xatolari (server foydalanuvçining boşqa kişiga tegişli ma’lumotlarni söraş huquqini tekşirmaydi — mutaxassisning sözlariga köra, bu dunyodagi eng keng tarqalgan zaiflik), notöğri sozlangan saqlaş tizimlari — parolsiz oçiq qoldirilgan ma’lumotlar bazalari, zaxira nusxalar va test serverlari, insayderlarning harakatlari, şuningdek, uçinçi tomon xizmatlari — analitik va reklama SDK’lari, SMS-şlyuzlar, bulutli xizmatlar. Telegramdagi «probiv» xizmatlarining salmoqli qismi aynan insayderlar orqali işlaşini mutaxassis qayd etdi.

Siziş qançalik xavfli va nima qiliş kerak

Ma’lumoti oşkor bölgan odam uçun asosiy xavf — ijtimoiy muhandislik: firibgar F.I.Sh., telefon raqami va PINFLni bilgan holda bank yoki davlat organi xodimi sifatida işonçli körinişda taniştirib, SMS-kod yoki karta ma’lumotlarini olişga harakat qilişi mumkin. Şuningdek, boşqa kişi nomiga mikroqarz rasmiylaştiriş va SIM-kartani qayta çiqarişga urinişlar ham mumkin. Sodiqov SMS-kodlar va karta ma’lumotlarini heç kimga bermaslikni (haqiqiy bank yoki davlat organi ularni söramaydi, ayniqsa Telegram orqali), bank ilovalarida va my.gov.uz’da ikki bosqiçli autentifikatsiyani yoqişni, kredit tarixini vaqti-vaqti bilan tekşirib turişni, operatorga SIM-kartani qayta çiqarişni çeklaşni söraşni, şubhali holatlarda esa bank va huquqni muhofaza qiluvçi organlarga murojaat qilişni maslahat beradi.

Ma’lumotlarni internetdan öçirib bölmaydi

Mutaxassis allaqaçon sizib çiqqan ma’lumotlarni internetdan töliq öçiriş amalda imkonsizligini ta’kidladi: nusxa olingandan keyin ular önlabe kanallar va arxivlar böylab tarqaladi. Ayrim kanallarni bloklaş va platformalara şikoyatlar faqat tarqalişni biroz çeklaydi. «Ma’lumotlarni yaşiriş» böyiça pullik xizmatlar, uning sözlariga köra, natijani faqat bitta aniq xizmatda yaşiradi, ular uçun tölov esa aslida bu bozorni moliyalaştiradi. Şu bois asosiy e’tibor, Sodiqovning fikriça, oqibatlarni kamaytirişga qaratilişi kerak: ma’lumotlar allaqaçon oçiq bölgani hisobga olinadi. Jabr körgan şaxs sudga murojaat qilişi mumkin, ma’lumotlar operatori esa yetkazilgan zarar uçun javobgar bö'ladi.

Mutaxassis nimani özgartirişni taklif qiladi

Sodiqov Özbekistonda şaxsiy ma’lumotlar bilan işlaydigan ilovalar uçun bir qator çoralarni taklif qildi: işga tuşirişdan oldin majburiy mustaqil pentest (davlat bazalari bilan integratsiyalaşgan ilovalar uçun — har yili), ma’lumotlarni minimallaştiriş va maskirovka qiliş, API’ga har bir sörovda avtorizatsiyani tekşiriş, uzatiş va saqlaşda şifrlaş, kiriş auditi (uning sözlariga köra, bu «probiv»ga qarşi eng samarali vosita), zaifliklar haqida xabar beriş uçun oçiq kanal va hodisalar haqida xabar berişning aniq muddatlari. U bu talablar qoğozda qolmasligi va buziş uçun haqiqiy javobgarlik yuzaga kelişi kerakligini ta’kidladi.