Утечка данных в INSS привела к раскрытию 2,8 млн номеров CPF; 98 % из них принадлежат умершим лицам

Недавняя утечка данных из системы Национального института социального страхования (INSS) затронула 2,8 миллиона идентификационных номеров физических лиц (CPF), сообщила во вторник (26) компания Dataprev, государственное предприятие, ответственное за обработку данных системы социального страхования. Эта информация была обнародована на заседании Национального совета по социальному обеспечению (CNPS). По данным компании, около 98% данных, к которым был получен доступ, принадлежали уже умершим людям. Тем не менее, в ходе инцидента с нарушением безопасности, произошедшего в апреле, были раскрыты данные примерно 52 тысяч живых застрахованных лиц. Обнародованная сейчас цифра превышает первоначальную оценку, представленную специалистами Национального института социального страхования, в которой упоминалось около 2 миллионов затронутых записей. По данным Dataprev, несанкционированный доступ касался идентификационных номеров CPF и дат рождения застрахованных лиц. Государственная компания пояснила, что один и тот же CPF мог быть запрошен более одного раза, что помогает объяснить высокий объем зарегистрированных запросов. По данным компании, не было ни неправомерной выплаты пособий, ни автоматического оформления кредитов, удерживаемых из заработной платы. Предварительное расследование указывает на то, что проблема возникла из-за сбоя в системе приложения Meu INSS. По словам Эдмара дос Сантоса Феррейры-младшего, представителя Dataprev в CNPS, область, которая должна была требовать входа в систему, была доступна без аутентификации. «Это был запрос, который находился в интерфейсе, требующем входа в систему, но он принимал ответ, как если бы вы находились в общедоступной среде», — заявил он. Инцидент, по его словам, длился всего один день. Dataprev сообщила, что ошибка была исправлена сразу же после ее выявления. Компания также заявила, что разрабатывает новые меры безопасности для предотвращения массовых одновременных запросов. «В качестве дополнительной меры защиты Dataprev внедрила новые механизмы безопасности с ограничениями доступа», — сообщила государственная компания. В своем заявлении INSS сообщил, что процесс назначения пособий включает в себя различные этапы проверки и обеспечения безопасности. «Назначение любого пособия сопровождается рядом мер безопасности. INSS усилил свои внутренние меры контроля, чтобы обеспечить большую безопасность при анализе выплат», — заявила автономная администрация. Утечка была обнаружена 22 апреля, но стала достоянием общественности только на прошлой неделе. По данным Dataprev и INSS, в Национальное управление по защите данных (ANPD) обратились сразу после обнаружения проблемы. Этот случай вызвал обеспокоенность среди экспертов по кибербезопасности из-за объема утечки данных. Хотя правительство утверждает, что не было случаев неправомерного предоставления пособий, эксперты предупреждают, что утечка информации может быть использована для мошенничества и финансовых махинаций. База данных INSS содержит личную информацию пенсионеров, получателей пособий и бенефициаров социальных программ, включая данные о трудоустройстве и регистрационные данные. Это не первый случай нарушения безопасности, связанный с системами INSS. В 2024 году институт подтвердил другой инцидент, в результате которого была раскрыта конфиденциальная информация о пенсионерах и бенефициарах программ социальной помощи. Тогда правительство также заявило, что усилило механизмы защиты систем социального обеспечения.