खात्याची लढाई. जेफ्रीच्या कॉफी चेनचे संस्थापक व्हीकॉन्टाक्टेवर खटला भरत आहेत

एमटीएस ग्राहक ओळख प्रणालीमधील असुरक्षिततेमुळे फसवणूक करणाऱ्यांनी उद्योजक अॅलेक्सी मिरोनोव्हचे व्हीकॉन्टाक्टे पृष्ठ चोरले. सोशल नेटवर्कने ते कधीही त्याच्या मालकाला परत केले नाही आणि त्याच्याकडून अशक्यतेची मागणी करत आहे. आता तो यासाठी व्हीकॉन्टाक्टेवर खटला भरत आहे. सेंटर फॉर डिजीटल राइट्स तर्फे त्याचे प्रतिनिधित्व केले जाते.

अॅलेक्सी मिरोनोव्ह हे जेफ्रीच्या कॉफी चेनचे संस्थापक आहेत. मॉस्को आणि प्रदेशांमधील कॉफी शॉप्सची ही फ्रेंचायझी आहे. अॅलेक्सीने अनेकदा व्हीकॉन्टाक्टेवरील सहकारी आणि भागीदारांशी संवाद साधला आणि तेथे 50 हून अधिक सदस्य असलेल्या त्याच्या नेटवर्कसाठी एक अतिशय लोकप्रिय सार्वजनिक पृष्ठ राखले.

नोव्हेंबर 2018 मध्ये, पहाटे, जेव्हा अलेक्सी चीनमध्ये व्यवसायाच्या सहलीवर होता, तेव्हा त्याचे व्हीकॉन्टाक्टे पृष्ठ हॅक केले गेले. त्याला व्हीकॉन्टाक्टे, व्हॉट्सअॅपकडून एसएमएस आणि एमटीएस ऑपरेटरकडून एक संदेश प्राप्त झाला, ज्यामध्ये म्हटले होते की दुसर्या नंबरवर फॉरवर्ड करणे सेट केले आहे. अलेक्सीने फॉरवर्डिंग सेट केले नाही, म्हणून तो ताबडतोब काळजीत पडला आणि एमटीएसला कॉल केला. खरोखरच एक पुनर्निर्देशन आहे हे त्यांनी त्वरित निर्धारित केले नाही. अॅलेक्सीच्या कॉलनंतर केवळ दोन तासांनी ऑपरेटर ते बंद करू शकला. फॉरवर्डिंग कसे आणि केव्हा सक्रिय झाले याचा डेटा MTS ला कधीच सापडला नाही.

अॅलेक्सीने सोशल नेटवर्क्स आणि इन्स्टंट मेसेंजर्समध्ये प्रवेश तपासला आणि पाहिले की तो यापुढे त्याचा फोन नंबर वापरून लॉग इन करू शकत नाही. हॅकर्सनी त्याच्या खात्याशी दुसरा नंबर जोडला. व्हॉट्सअॅपमुळे ही समस्या लवकर सुटली. फॉरवर्डिंग रद्द केल्यानंतर लगेच, मेसेंजरने योग्य मालकाकडे खात्याचा प्रवेश पुनर्संचयित केला.

अॅलेक्सीने व्हीकॉन्टाक्टे समर्थनाला पृष्ठ परत करण्यास सांगितले आणि त्याच्या पासपोर्टचा फोटो पाठविला. संध्याकाळी त्याला एक एसएमएस आला की अर्ज नाकारला गेला आहे, कारण सध्याच्या मालकाने प्रवेशाच्या अधिकाराची पुष्टी केली आहे.

एका तांत्रिक सहाय्य तज्ञाने सांगितले की अॅलेक्सी स्वेच्छेने त्याच्या पृष्ठावरील प्रवेश तृतीय पक्षांना हस्तांतरित करू शकतो, म्हणून ते त्याचा प्रवेश पुनर्संचयित करणार नाहीत. अॅलेक्सीने हॅकिंगची परिस्थिती स्पष्ट केली, परंतु त्याला एमटीएसकडून पुष्टीकरण पत्र पाठवण्यास सांगितले गेले, ज्यामध्ये ऑपरेटर हॅक झाल्याची पुष्टी करेल. अॅलेक्सीने एमटीएसकडून एक पत्र दिले. यानंतर हे पत्र पोलिसांनी प्रमाणित करावे, अशी मागणी व्हीकॉन्टाक्टे प्रशासनाने केली. ही आवश्यकता पूर्ण करणे फार कठीण आहे कारण पत्रे आणि स्वाक्षरी करणार्‍यांची ओळखपत्रे प्रमाणित करणे हे पोलिसांचे काम नाही. अॅलेक्सी केवळ त्याच्या व्हीकॉन्टाक्टे कर्मचार्‍यांना वैयक्तिकरित्या असे करण्यास सांगून हॅक केलेले पृष्ठ अवरोधित करण्यास सक्षम होते. पान अजून परत आलेले नाही. अलेक्सीने फक्त एकच गोष्ट साध्य केली ती म्हणजे त्याचे खाते ब्लॉक करणे. आता स्कॅमर किंवा तो स्वत: याचा वापर करू शकत नाही.

VKontakte समर्थन सेवा एक वेगळी कथा आहे. केवळ अधिकृत वापरकर्ते VKontakte समर्थन सेवेशी संपर्क साधू शकतात. याचा अर्थ असा की आपण आपल्या पृष्ठावरील प्रवेश गमावल्यास, आपण एक नवीन तयार करणे आवश्यक आहे किंवा समर्थनात लिहिण्यासाठी आपल्या मित्रांना त्यांच्या पृष्ठांवर प्रवेश करण्यास सांगणे आवश्यक आहे. अॅलेक्सीने त्याच्या पत्नीच्या पृष्ठावरील समर्थन सेवा तज्ञांशी पत्रव्यवहार केला आणि यामुळे त्यांना त्रास झाला नाही, जरी वापरकर्ता करार इतर कोणाला लॉगिन आणि पासवर्ड हस्तांतरित करण्यास परवानगी देत ​​​​नाही.

पृष्‍ठ हॅक केल्‍याने आणि खाते आणि सार्वजनिक पृष्‍ठावरील प्रवेश गमावल्‍याने अ‍ॅलेक्‍सीची व्‍यवसाय प्रतिष्ठा आणि त्‍याच्‍या मालमत्तेच्‍या हितसंबंधांचे नुकसान झाले. हे सांगायला नको की यामुळे मोठ्या प्रमाणात वैयक्तिक आणि व्यावसायिक माहिती अज्ञात गंतव्यस्थानांवर लीक होऊ शकते. व्यावसायिकाच्या खात्यातून फसवणूक करणाऱ्यांनी त्याच्या मित्रांना मोठ्या रकमेचे पैसे हस्तांतरित करण्यास सांगितले. एका व्यक्तीने त्यांना 34 हजार रूबल हस्तांतरित केले. हल्लेखोरांना XNUMX तास अ‍ॅलेक्सीच्या खात्यातून वैयक्तिक माहितीवर प्रवेश होता.

VKontakte विरुद्ध खटला

अॅलेक्सी मिरोनोव्ह यांनी सेंट पीटर्सबर्गच्या स्मोल्निंस्की जिल्हा न्यायालयात सोशल नेटवर्क व्हीकॉन्टाक्टे विरुद्ध खटला दाखल केला आणि आता या प्रकरणाच्या नियुक्तीची वाट पाहत आहे. तो कोर्टाला सोशल नेटवर्कला त्याचा स्वतःचा करार पूर्ण करण्यास बाध्य करण्यास सांगतो, वापरकर्ता कराराच्या स्वरूपात निष्कर्ष काढतो आणि त्याला त्याच्या पृष्ठावर प्रवेश परत करतो. आजपर्यंत, व्हीकॉन्टाक्टे प्रशासन अलेक्सीला त्याच्या खात्यात अवास्तव प्रवेशापासून वंचित ठेवत आहे, जेव्हा त्याने प्रामाणिकपणे वापरकर्ता कराराच्या अटींचे पालन केले आणि सोशल नेटवर्कच्या तांत्रिक समर्थन सेवेला हॅकबद्दल त्वरित माहिती दिली. VKontakte ने पृष्ठावरील प्रवेश पुनर्संचयित करण्यास नकार दिला, वापरकर्ता करारातील एका कलमाचा हवाला देऊन जे वापरकर्त्यांना त्यांचे पृष्ठ लॉगिन आणि पासवर्ड तृतीय पक्षाकडे हस्तांतरित करण्यास प्रतिबंधित करते. व्हीकॉन्टाक्टे सपोर्ट एजंट ज्याच्याशी अॅलेक्सीने बोलले होते त्यांनी सांगितले की तुम्ही ऑपरेटरच्या कार्यालयात जाऊन आणि तुमचा पासपोर्ट सादर करून फोन नंबर फॉरवर्डिंग सेट करू शकता. खरं तर, हे प्रकरण नाही आणि अॅलेक्सीच्या आवाहनाला प्रतिसाद म्हणून रोस्कोमनाडझोरने याची पुष्टी केली.

सोशल नेटवर्कने, वापरकर्ता कराराचे उल्लंघन करून, त्याच्या पृष्ठाच्या वापरासाठी अलेक्सीचा प्रवेश अवास्तवपणे मर्यादित केला. हे कलाच्या परिच्छेद 1 चे उल्लंघन करून कर्तव्ये पूर्ण करण्यास एकतर्फी नकार आहे. 30 रशियन फेडरेशनचा नागरी संहिता. त्याला त्याच्या खात्यात प्रवेशापासून वंचित करून, व्हीकेने अॅलेक्सीला त्याच्या सार्वजनिक पृष्ठाचे व्यवस्थापन करण्याच्या अधिकारांपासून वंचित ठेवले, जी त्याच्यासाठी एक महत्त्वाची अमूर्त मालमत्ता आहे. (आम्ही सार्वजनिक बाजारपेठेबद्दल डिजिटल मालमत्तेचे नवीन स्वरूप आणि त्यांच्याशी व्यवहार पूर्ण करण्याच्या वैशिष्ट्यांबद्दल लिहिले आहे. पूर्वी)

एमटीएस ओळख प्रणालीमध्ये सुरक्षा छिद्र

उद्योजकाच्या वतीने घोटाळेबाजांनी केलेल्या पत्रव्यवहारावरून असे दिसून येते की त्यांना त्याच्या व्यवसायाबद्दल आणि व्यवसायाच्या सहलीबद्दल माहिती होती. त्यांनी एमटीएस संपर्क केंद्राला कॉल केले, अॅलेक्सीच्या वतीने स्वत: ला ओळखण्यात सक्षम झाले आणि कॉल फॉरवर्डिंग सेट केले. हल्लेखोर सोशल इंजिनीअरिंगद्वारे त्याचा पासपोर्ट डेटा मिळवू शकतात. अॅलेक्सी मिरोनोव्ह फ्रँचायझीचा संस्थापक आहे, त्यामुळे फ्रँचायझी आस्थापना उघडण्यात गुंतलेल्या अनेक लोकांकडे त्याच्या पासपोर्टची माहिती असू शकते. MTS ने अंतर्गत तपासणी केली, परंतु फॉरवर्डिंग नेमके कोणी स्थापित केले आणि हल्लेखोराने एसएमएस कसा रोखला हे निर्धारित करण्यात अक्षम आहे. कंपनीने अपराध कबूल केला नाही, परंतु त्याच वेळी अलेक्सीला एक अतिशय विचित्र भरपाई देऊ केली - 750 रूबल.

आम्ही असे मानले की केवळ योग्य वैयक्तिक डेटा वापरून ग्राहकांना दूरस्थपणे ओळखणे ही एक अतिशय संशयास्पद प्रथा आहे आणि वैयक्तिक डेटावरील कायद्याच्या आवश्यकतांसह या प्रकारच्या कंपनी प्रक्रियेचे अनुपालन सत्यापित करण्यासाठी आम्ही Roskomnadzor कडे तक्रार केली. परिणामी, रोस्कोम्नाडझोरने एमटीएसची बाजू घेत असे निदर्शनास आणून दिले की योग्य वैयक्तिक डेटा प्रदान करताना फोनद्वारे दूरस्थ ओळखीनंतर संप्रेषण सेवा व्यवस्थापित करणे अगदी सामान्य आहे आणि अशा प्रकारच्या अनधिकृत कृतींपासून संरक्षणाच्या अतिरिक्त पद्धती स्थापित करणे हे स्वतः ग्राहकांसाठी डोकेदुखी आहे, नाही. कंपनी . (पूर्ण उत्तर वाचा- येथे)

अॅलेक्सी मिरोनोव्हचे खाते हॅक करणे ही एमटीएस ग्राहकांच्या डेटावर अनधिकृत प्रवेशाची पहिली घटना नाही. 2018 मध्ये, 500 हजार सदस्यांचा डेटाबेस चोरले नोवोसिबिर्स्कमध्ये दोन हल्लेखोर, त्यापैकी एक कंपनीचा कर्मचारी होता. त्यांनी एका ग्राहकाच्या डेटासाठी 1 रूबलच्या किंमतीला डेटाबेस विकण्याचा प्रयत्न केला.

2016 मध्ये होत्या हॅक विरोधी कार्यकर्ते जॉर्जी अल्बुरोव्ह आणि ओलेग कोझलोव्स्की यांची टेलीग्राम खाती. त्यांची खाती MTS क्रमांकाशी जोडलेली होती आणि हॅक होण्याच्या काही काळापूर्वी त्यांची SMS सेवा अक्षम करण्यात आली होती आणि फॉरवर्डिंग सक्षम करण्यात आले होते. ब्रेक-इनची परिस्थिती देखील स्थापित केलेली नाही. 2019 मध्ये, ओलेग कोझलोव्स्कीने एमटीएस विरुद्ध खटला दाखल केला, परंतु न्यायालयाने तो नाकारला.

विविध वेब सेवा आणि ऍप्लिकेशन्सच्या खात्यांचे हॅकिंगपासून संरक्षण करणे ही स्वतः वापरकर्त्याची जबाबदारी आहे. ही स्थिती दूरसंचार ऑपरेटर आणि स्वतः नियामक दोघांनीही सामायिक केली आहे, त्यानुसार ते त्यांच्या स्वत: च्या सदस्यांसह ही जोखीम सामायिक करण्यास नकार देतात.

RKN त्याच्या प्रतिसादात असे वर्णन करतो:
“... MTS अटींच्या कलम 2.11 नुसार, ओळखीच्या उद्देशाने, टेलिकॉम ऑपरेटरच्या सदस्यांना कोड वर्ड वापरण्याची संधी दिली जाते - सदस्यांनी स्थापित केलेल्या फॉर्ममध्ये निर्दिष्ट केलेल्या चिन्हांचा (अक्षरे, संख्या) एक क्रम. ऑपरेटर, जो करार अंमलात आणताना सबस्क्राइबर ओळखण्यासाठी काम करतो. करार पूर्ण करताना (या प्रकरणात तो अनिवार्य तपशीलांसह कराराच्या फॉर्ममध्ये प्रविष्ट केला जातो) आणि कराराच्या अंमलबजावणीदरम्यान कोणत्याही वेळी कोड शब्द सेट करण्याची संधी ग्राहकाला असते. असे असूनही, ग्राहक मिरोनोव ए.के. सेवेच्या विवादित कनेक्शनच्या आधी कोड शब्द सेट केलेला नाही. अशा परिस्थितीत, केवळ ग्राहक, टेलिकॉम ऑपरेटरशी ओळख करताना कोड शब्द स्थापित करून, अशा परिस्थितीतून होणार्‍या प्रतिकूल परिणामांची जोखीम तटस्थ करू शकतो, परंतु या संधीचा फायदा घेतला नाही.”

खाते पुनर्प्राप्ती. अशक्य मिशन

Roskomnadzor च्या निष्क्रियतेबद्दल तक्रार आधीच फिर्यादी कार्यालयात दाखल करण्यात आली आहे. दरम्यान, गुन्ह्याच्या अहवालावर पोलिसांनी मौन बाळगले आहे. तपासाच्या निकालांबद्दल कोणीही कंपनीच्या आत काहीही अहवाल देत नाही. एमटीएस कोणताही अपराध कबूल करत नाही. कुणालाच काळजी नाही. त्याच वेळी, व्हीकॉन्टाक्टे खाते मालकास त्यात प्रवेश पुनर्संचयित करण्यास नकार देत आहे जोपर्यंत तो पोलिसांकडून निर्दिष्ट तथ्ये आणि एमटीएस कडून एक पत्र स्थापित करण्याचा ठराव आणत नाही, जो पुनर्निर्देशन सेवा विवादास्पद असल्याची पुष्टी करेल. बर्‍यापैकी विस्तृत स्पष्टीकरणांसह पत्रात, मिरोनोव्हने एमटीएसकडून प्रमाणपत्र देखील प्रदान करणे आवश्यक आहे की तो एकमात्र आहे (आणि काय, कुठेतरी ऑपरेटर फोन नंबरची संयुक्त मालकी नोंदवतात?) ज्या फोन नंबरचा दुवा साधला गेला होता. पृष्ठ प्रतिसाद गेल्या आठवड्याच्या शेवटी आला, आणि परिस्थितीतील गतिरोध आणि आता सहा महिन्यांपासून व्हीकॉन्टाक्टेशी करार करणे अशक्य असल्याने, आम्ही न्यायालयात गेलो.

हॅकिंगपासून स्वतःचे संरक्षण कसे करावे

हल्लेखोर इतर असुरक्षा - SS7 प्रोटोकॉल किंवा बेईमान ऑपरेटर कर्मचार्‍यांच्या मदतीने डुप्लिकेट सिम कार्ड मिळवून फोन नंबर व्यवस्थापित करण्यासाठी देखील प्रवेश मिळवू शकतात.

SS7 हा एक तांत्रिक प्रोटोकॉल आहे जो दूरसंचार ऑपरेटरद्वारे वापरला जातो. त्यात एक जुना आणि वरवर पाहता न काढता येणारा आहे भेद्यता, जे तुम्हाला कॉल दरम्यान किंवा SMS द्वारे सदस्यांद्वारे प्रसारित केलेला डेटा रोखू देते. केवळ ऑपरेटरना SS7 मध्ये प्रवेश आहे, परंतु हल्लेखोर हे अविकसित देशांतील ऑपरेटरकडून किंवा मोबाइल ऑपरेटरच्या अनैतिक कर्मचार्‍यांकडून डार्कनेटवर प्रवेश खरेदी करून मिळवू शकतात. आक्रमणकर्ता जेव्हा ग्राहकाचा बिलिंग सिस्टम पत्ता त्याच्या स्वतःच्या पत्त्यावर बदलतो तेव्हा हल्ला होतो. बर्‍याचदा, आक्रमणकर्ते सिस्टमला सूचित करतात की सदस्य आंतरराष्ट्रीय रोमिंगमध्ये आहे, म्हणून स्वतःचे संरक्षण करण्याचा सर्वात सोपा मार्ग म्हणजे आपण आंतरराष्ट्रीय रोमिंग वापरत नसल्यास अक्षम करणे.

अॅलेक्सी मिरोनोव्हकडे अद्याप व्कॉन्टाक्टेसाठी दोन-घटक प्रमाणीकरण प्रणाली कॉन्फिगर केलेली नाही. हे कार्य दिसू लागले जून 2014 मध्ये व्हीके मध्ये. कदाचित ती त्याचे खाते हॅक होण्यापासून वाचवू शकेल. हे लक्षात ठेवण्यासारखे आहे की फक्त फोन नंबरशी खाते लिंक करणे हे द्वि-घटक प्रमाणीकरण नाही. द्वि-घटक प्रमाणीकरण — जेव्हा पासवर्ड व्यतिरिक्त, दुसरी क्रिया केली जाते तेव्हा खात्यात लॉगिन करण्याचे हे संरक्षण आहे. सर्वात सामान्य पर्याय म्हणजे एसएमएस कोड. ही पद्धत सर्वात विश्वासार्ह नाही, कारण आक्रमणकर्ते एसएमएस संदेश व्यत्यय आणू शकतात. मुख्य फाइल, तात्पुरते कोड, मोबाइल अॅप्लिकेशन आणि हार्डवेअर टोकन हे अधिक सुरक्षित पर्याय आहेत.

दुर्दैवाने, आम्हाला अशा युगात जगण्यास भाग पाडले जाते जेथे डेटा सुरक्षितता सुनिश्चित करणे ही आमची स्वतःची समस्या बनते. त्यांना आशा आहे की हॅक झाल्यास ऑपरेटर स्वतंत्रपणे जबाबदारी घेतील, परंतु वरवर पाहता तसे नाही. तसेच Roskomnadzor वर अवलंबून राहणे, जे त्याच्या डेटा संरक्षण पद्धतींमध्ये बर्याच काळापासून वास्तवापासून घटस्फोटित आहे. अशाच प्रकरणात तुमचा अर्ज प्राप्त करणार्‍या स्थानिक पोलिस अधिकाऱ्याच्या “नकार सामग्री” चे चिलखत तोडणे आश्चर्यकारकपणे कठीण आहे, विशेषत: ही प्रणाली कशी कार्य करते हे माहित नसलेल्या सामान्य व्यक्तीसाठी. काय उरले? डिजिटल स्वच्छतेबद्दल विसरू नका, गणितावर विश्वास ठेवा आणि न्यायालयात तुमच्या हक्कांचे रक्षण करा.

स्त्रोत: www.habr.com