Никита Лихачёв
15 103

Сиэтл выдал активисту 32 млн данных электронных писем госработников. Законно, за 40 долларов — но с частью содержимого

А там было всё: расследования ФБР и полиции, кредитные карты и пароли, переписка любовников и личные документы.

Поделиться

В избранное

В избранном

Сиэтл. Фото TechRepublic

Мэтт Чапман (Matt Chapman) — исследователь и интернет-активист, который с 2014 года пытался так или иначе использовать американский Закон о свободе распространения информации (Freedom of Information Act, FOIA) для получения данных для своих исследований. По этому закону американские госорганы обязаны предоставлять определённые данные гражданам, которые их запрашивают — подразумевается, что такой закон делает работу госорганов максимально прозрачной. Но, как и все законы, FOIA работает не всегда и зачастую не так, как предполагалось.

Работа с данными

Чапман уже работал с полученными от правительства большими данными. В 2016 году он запросил у мэрии Чикаго информацию обо всех выданных парковочных талонах с 2009 года, чтобы определить наиболее проблемные места в городе. Данные ему выдали, но оказалось, что они хранились в ужасном формате, а сделанные инспекторами опечатки при вводе данных в КПК никто не исправлял.

В 2014 году исследователь запросил у мэрии Чикаго метаданные голосовых звонков, совершенных на государственные телефонные номера или с них, чтобы определить, был ли сговор во время выборов мэра города. Чтобы получить данные, ему пришлось потратить полтора года на различные запросы, общение с юристами и преимущественно ожидание.

После того случая с выдачей метаданных звонков Чапман решил проверить, насколько вообще в США хорошо работает FOIA в плане выдачи такого рода данных. Он направил по два запроса на каждый из 50 штатов США, однако получил информацию только от двух — Хьюстона и Сиэтла.

Запрос в мэрию Хьюстона был обработан быстро, и Чапман получил метаданные 6 миллионов электронных писем — то есть адреса отправителей и получателей (включая все копии, в том числе скрытые) и время отправки сообщений. А вот с Сиэтлом всё вышло не так просто.

От 33 миллионов до 40 долларов

Чапман запросил данные 2 апреля 2017 года, написав на адрес IT-департамента мэрии Сиэтла короткое письмо.

Для всей почты, отправленной на или с адреса почты, принадлежащей Сиэтлу, в 2017 году, пожалуйста предоставьте следующие сведение:

1. Поле «От»
2. Поле «Кому»
3. Адреса копии
4. Адреса скрытой копии
5. Время
6. Дата

письмо Чапмана IT-департаменту мэрии Сиэтла

В мэрии сначала ответили, что за прошедшие 90 дней адресами на seattle.gov было отправлено 5,5 млн писем, а получено на них более 26 миллионов, и письма потребуется очень долго проверять, прежде чем их смогут предоставить. Чапман понял, что его восприняли неправильно, и в ответном письме ещё раз указал, что речь идёт только о метаданных, а не о самой переписке.

В ответ на второе письмо Чапмана пришли расчёты стоимости такой услуги. В мэрии снова проигнорировали, что речь идёт только о метаданных, и оценили проверку 32 миллионов писем в 33 миллиона долларов. По оценке IT-департамента, каждое письмо потребовалось бы проверять на секретные сведения от 30 секунд до двух минут, и это заняло бы 320 лет работ, что и оценили в такую сумму.

Впрочем, в письме не было отказа на оказание услуги — там говорилось, что первые данные могут выдать начиная с 29 мая 2017 года. И Чапман продолжил.

5 июня исследователю пришёл перерасчёт: в мэрии наконец-то поняли, что речь идёт о метаданных, и запросили всего 1,25 доллара за каждые два дня, за которые нужно было предоставить данные. Чапман сразу отправил в мэрию 14 отдельных чеков, 13 из которых были на 1,25 доллара: всего запрос обошёлся ему примерно в 40 долларов. Но затем ему долго не отвечали, и исследователь подумал, что всё-таки его запрос не смогли выполнить.

Расследования, переписка и номера кредитных карт в 32 миллионах писем

22 августа Чапман случайно добавил свой адрес почты на новый смартфон и, проверив её, нашёл ответ от мэрии. Оказалось, они сформировали для него отчёт, загрузили на специальный сайт и прислали ему данные для входа на сервер.

Когда Чапман стал скачивать архив, разбитый на 400 отдельных файлов, он увидел, что помимо метаданных писем мэрия предоставила и первые 256 символов каждого из 32 миллионов писем. Этих коротких строчек хватило для того, чтобы Чапман увидел:

  • Имена пользователей и пароли;
  • Номера кредитных карт;
  • Номера карт социального страхования и водительских прав;
  • Текущие расследования полиции и отчёты о задержаниях;
  • Сообщения изменяющих супругов своим любовникам и любовницам;
  • Расследования ФБР;
  • Уведомления от сервиса удалённого администрирования Zabbix.

Другими словами, они только что слили мне огромную базу данных с частной информацией интимного уровня. Помимо этого, они скорее всего нарушили множество законов, включая Закон о приватности 1974 года и множество законов о публичных данных. Честно говоря, у меня до сих пор нет слов.

Мэтт Чапман
исследователь

Чапман тактично намекнул мэрии, что они прислали не те данные, однако там поняли всю трагичность ситуации только со второго сообщения. Обменявшись несколькими письмами с сотрудниками департамента по открытым данным, Чапман в итоге оказался на конференц-звонке с техническим директором мэрии Сиэтла и начальником по безопасности данных.

Во время разговора сотрудники мэрии поблагодарили Чапмана за то, что он уведомил их о проблеме. Ближе к концу разговора исследователь спросил, может ли он оставить полученные данные себе: «Почему бы хотя бы не поинтересоваться, да?»

В этот момент у него дома отключился интернет (впервые за полгода). Через десять минут, когда связь была восстановлена, он вернулся к разговору, но тон сотрудников мэрии изменился: они потребовали, чтобы все файлы были удалены, а жёсткие диски, на которых они хранились, были сданы компании Kroll на изучение. Только при выполнении обоих условий Чапману гарантировалась юридическая неприкосновенность.

«Это было даже близко не то, с чем я мог бы согласиться, поэтому мы завершили звонок через пару минут, договорившись, что дальше общаться будут наши юристы», — добавил Чапман. Спустя месяц переговоров исследователь согласился удалить файлы.

Историю предали огласке только в начале октября 2018 года, когда местный телеканал KIRO7 запросил комментарий по ситуации у мэрии. В ходе расследования выяснилось, что мэрия даже не уведомила своих сотрудников об утечке, и сделала это только после обращения журналистов.

#технологии #истории

{ "author_name": "Никита Лихачёв", "author_type": "self", "tags": ["\u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0438","\u0438\u0441\u0442\u043e\u0440\u0438\u0438"], "comments": 30, "likes": 79, "favorites": 12, "is_advertisement": false, "section_name": "default", "id": "78679", "is_wide": "" }
Популярные материалы
Показать еще
{ "is_needs_advanced_access": true }

Популярные комментарии

Дискуссии по теме
доступны только владельцам клубного аккаунта

Купить за 75₽
Авторизоваться

Преимущества
клубного аккаунта

  • отсутствие рекламы
  • возможность писать комментарии и статьи
  • общение с членами клуба
Подробнее

Преимущества
клубного аккаунта

  • отсутствие рекламы
  • возможность читать и писать комментарии
  • общение с членами клуба
  • возможность создавать записи

Сколько это стоит?

Членство в клубе стоит всего 75₽ в месяц. Или даже дешевле при оплате за год.

Что такое клуб?

Клуб ТЖ это сообщество единомышленников. Мы любим читать новости, любим писать статьи, любим общаться друг с другом.

Вступить в клуб

Комментарии Комм.

Популярные

По порядку

0

Прямой эфир

Вы не против подписаться на важные новости от TJ?

Нет, не против
[ { "id": 1, "label": "100%×150_Branding_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox_method": "createAdaptive", "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfl" } } }, { "id": 2, "label": "1200х400", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfn" } } }, { "id": 3, "label": "240х200 _ТГБ_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "i", "ps": "cndo", "p2": "fizc" } } }, { "id": 4, "label": "240х200_mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "i", "ps": "cndo", "p2": "flbq" } } }, { "id": 5, "label": "300x500_desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "ezfk" } } }, { "id": 6, "disable": true, "label": "1180х250_Interpool_баннер над комментариями_Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "clmf", "p2": "ffyh" } } }, { "id": 7, "label": "Article Footer 100%_desktop_mobile", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byswn", "p2": "fjxb" } } }, { "id": 8, "label": "Fullscreen Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjoh" } } }, { "id": 9, "label": "Fullscreen Mobile", "provider": "adfox", "adaptive": [ "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fjog" } } }, { "id": 10, "disable": true, "label": "Native Partner Desktop", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyb" } } }, { "id": 11, "disable": true, "label": "Native Partner Mobile", "provider": "adfox", "adaptive": [ "phone" ], "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "clmf", "p2": "fmyc" } } }, { "id": 12, "label": "Кнопка в шапке", "provider": "adfox", "adaptive": [ "desktop", "tablet" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fdhx" } } }, { "id": 13, "label": "DM InPage Video PartnerCode", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox_method": "createAdaptive", "adfox": { "ownerId": 228129, "params": { "pp": "h", "ps": "cndo", "p2": "flvn" } } }, { "id": 14, "label": "Yandex context video banner", "provider": "yandex", "yandex": { "block_id": "VI-223677-0", "render_to": "inpage_VI-223677-0-130073047", "adfox_url": "//ads.adfox.ru/228129/getCode?pp=h&ps=cndo&p2=fpjw&puid1=&puid2=&puid3=&puid4=&puid8=&puid9=&puid10=&puid21=&puid22=&puid31=&puid32=&puid33=&fmt=1&dl={REFERER}&pr=" } }, { "id": 15, "label": "Плашка на главной", "provider": "adfox", "adaptive": [ "desktop", "tablet", "phone" ], "adfox": { "ownerId": 228129, "params": { "p1": "byudv", "p2": "ftjf" } } }, { "id": 17, "label": "Stratum Desktop", "provider": "adfox", "adaptive": [ "desktop" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvb" } } }, { "id": 18, "label": "Stratum Mobile", "provider": "adfox", "adaptive": [ "tablet", "phone" ], "auto_reload": true, "adfox": { "ownerId": 228129, "params": { "pp": "g", "ps": "cndo", "p2": "fzvc" } } } ]