Факап ад БРСМ: у адкрыты доступ трапілі звароты беларусаў да чыноўнікаў

"Паведамляю Вам што, 21.11.2022 года гарадскі аўтобусны маршрут №14 адсутнічаў на маршруце на працягу ўсяго дня", — напісаў чыноўнікам занепакоены жыхар Оршы А.Ш. і папрасіў разабрацца. А ў адваротным выпадку прыгразіў звярнуцца ў адміністрацыю Лукашэнкі.

Яшчэ адзін прыклад: "Да якой пары мая сям'я будзе прымаць гразевыя ванны??"— гэта да чыноўнікаў звяртаецца жыхарка аднаго з пасёлкаў Мінскай вобласці О.С.

Адкуль мы гэта ведаем? Усё проста: звароты тысяч беларусаў у самыя розныя дзяржорганы можа прачытаць любы. З іх адрасамі, прозвішчамі, імёнамі і ўсімі падрабязнасцямі. Распрацоўшчыкі платформы для падачы зваротаў не паклапаціліся пра абарону персанальных дадзеных.
 

Ад БелАЭС - да райвыканкамаў

"Ці ПРАВАМОЦНА адключэнне ўсіх дабротаў ЗІМОЙ у МАРОЗ. Калі ў доме пражываюць непаўналетнія дзеці і старыя", — скардзілася чыноўнікам жыхарка Полацка І.М. Гледзячы па прозвішчу і імені, гэтая жанчына працуе выхавацелькай у дзіцячым садзе. Ведомы нам і хатні адрас заяўніцы.

Зварот да чыноўнікаў яна пакінула на сайце, які падключаны да сістэмы e-pr.cvr.by. Платформа належыць групе кампаній "ЦВР-Кастрычніцкі", да яе падключаны шэраг выканкамаў, БРСМ, Камітэт дзяржаўнай маёмасці Мінаблвыканкама і іншыя арганізацыі, а таксама БелАЭС.

Адной з першых задач сістэмы была праца са зваротамі ў адміністрацыю АЭС: партал e-pr.cvr.by, праз які праходзяць звароты, у апісанні старонкі згадвае адрас e-reception.belaes.by.

Большасць зваротаў, з якімі змагло азнаёміцца Еўрарадыё, звязана з праблемамі ЖКГ ці бытавымі тэмамі. Але былі і палітычныя (напрыклад, некалькі скаргаў на "незарэгістраваную сімволіку"), і некалькі зваротаў з нагоды расійскага нападу на Украіну.

Дзірка ў абароне

Што трэба, каб напісаць зварот? Вы апісваеце сутнасць праблемы, указваеце сваё прозвішча, імя і адрас прапіскі, дадаяце кантактны тэлефон і, сканы дакументаў, калі яны ёсць. Націскаеце адправіць.

"Ваш зварот адпраўлены!" — паведамляе ў адказ сістэма. Тэкст вашага ліста адпраўляецца чыноўнікам.

Праблема ў тым, што кожны такі "ваш зварот адпраўлены" мае унікальны лічбавы нумар. І, проста памяняўшы некалькі лічбаў у спасылцы, можна трапіць на старонку з чужой скаргай. Прачытаць яе і атрымаць доступ да асабістых дадзеных.

Гэтая ўразлівасць была закладзена ўжо пры стварэнні сэрвісу, аднак па лічбавых камбінацыях даступная толькі частка зваротаў. Больш раннія паведамленні ёсць у распараджэнні рэдакцыі, у той час як на сайце іх убачыць ўжо нельга: атрымліваецца, праз нейкі час яны выдаляюцца.

Ці маглі стваральнікі праекта не ведаць пра гэтую дзірку? Вельмі малаверагодна.
 

Хто стаіць за арганізацыяй

Як пры дапамозе "Кібер-партызан" высветліла Еўрарадыё, бенефіцыярны ўладальнік кампаніі, якая займаецца падтрымкай праекта, — нехта Павел Сырыцкі. На сваіх старонках у сацсетках ён актыўна дзяліўся спасылкамі на ўласны кулінарны блог, песнямі "Песняроў" і справаздачамі аб наведаных канцэртах.
Раней Сырыцкі працаваў у БРСМ, пазней — на дзяржаўнай "Мінскай хвалі". Яго партнёр па "ЦВР" — Уладзімір Цюхай, таксама ў мінулым БРСМ-авец.

Арганізацыя займаецца не толькі сэрвісам для зваротаў грамадзян, іх бізнес-мадэль — праца з дзяржорганамі. Часам "ЦВР" удаецца выйграваць тэндэры на стварэнне і суправаджэнне дзяржсайтаў — напрыклад, Мінтранса.

Наўрад ці "ЦВР" будзе яшчэ доўга займацца зваротамі: справа ў тым, што са студзеня дзяржсайты пачнуць падключацца да адзінай дзяржсістэмы "звароты.бел". Але асадачак, як і выцечка персанальных дадзеных некалькіх тысяч беларусаў, які звярталіся ў дзяржорганы, застанецца.