В слитом исходном коде Яндекса нашли нарушения политик ИБ

В слитом исходном коде Яндекса нашли нарушения политик ИБ

В слитом исходном коде Яндекса нашли нарушения политик ИБ

Яндекс опубликовал результаты внутреннего расследования инцидента с попавшим в открытый доступ программным кодом. Оказалось, что вместе с ним слили данные некоторых партнеров, ошибки в системе часто исправляли “костылями”, а Алиса подслушивала хозяев. Кроме того, SEO-алгоритмы Яндекса очень похожи на Google.

Почти 45 ГБ программного кода сервисов Яндекса попали в Сеть на минувшей неделе. Уже не секрет, что торрент с кодом на хакерский форум выложил бывший сотрудник ИТ-корпорации. Дамп он сделал в июле 2022 года, сами файлы датируются февралем, как раз в период начала СВО.

Накануне вечером, на пятый день скандала, Яндекс представил общественности результаты внутреннего расследования, а также извинился перед пользователями и партнерами.

“Опубликованные фрагменты действительно взяты из нашего внутреннего репозитория — инструмента, с помощью которого разработчики компании работают с кодом, — говорится в отчете. — При этом содержимое архива соответствует устаревшей версии репозитория — она отличается от актуальной версии, которая используется нашими сервисами”.

И хотя ИТ-гигант по-прежнему утверждает, что опубликованные фрагменты не несут угрозы безопасности пользователей или работоспособности сервисов, собственный аудит показал серьезные нарушения политик информационной безопасности и этических принципов самого Яндекса.

А именно:

  • В коде содержались данные некоторых партнёров. Например, водителей — их контакты и номера удостоверений передавались из одного таксопарка в другой.
  • Зафиксированы случаи, когда логику работы сервисов корректировали не алгоритмами, а “костылями”.
  • В сервисе “Яндекс Лавка” существовала возможность ручной настройки рекомендаций любых товаров без пометки об их рекламном характере.
  • Наличие приоритетной поддержки для отдельных групп пользователей в сервисах “Такси” и “Еда”.
  • Некоторые части кода содержали слова, которые никак не влияли на работу сервисов, но были сами по себе оскорбительны для людей разных рас и национальностей.

Кроме того, согласно исходному коду “Яндекс Алисы”, приложение способно включать микрофон устройства в случайный момент времени даже без упоминания “Алисы”. Это делалось якобы для улучшения качества активации ассистента.

“Сейчас нам очень стыдно, и мы приносим извинения нашим пользователям и партнёрам”, — заявили в “Яндексе”.

Одной из причин таких нарушений в политиках безопасности в самой компании назвали чрезмерную приверженность подходу Zero Bug Policy.

Политика нулевой терпимости к багам вынуждала ИТ-специалистов Яндекса постоянно что-то подкручивать и подставлять “костыли”, а не решать проблему системно.

Другой проблемой, которой, как выяснилось, в руководстве Яндекса уделяли мало внимание, стала техноэтика и моральные принципы. В коде “проскакивают” расистские и оскорбительные комментарии, оставленные айтишниками.

В конце расследования Яндекс еще раз извинился и пообещал “выучить урок”.

Добавим, накануне определённую закономерность в слитом коде обнаружил и SEO-консультант Мартин Макдональд (Martin MacDonald).

“Слив кода Яндекса — вероятно, самое интересное, что произошло в SEO за долгие годы”, — написал эксперт у себя в Twitter.

По словам другого исследователя Алекса Буракса (Alex Buraks), почти в 2 тыс. факторах ранжирования поисковой системы Яндекса угадывается “след” Google.

 

Яндекс, четвертая по объему поисковая система в мире, якобы берет на работу бывших сотрудников Google, чтобы использовать их осведомленность в SEO конкурента.

Буракс отмечает, первым в списке факторов ранжирования Яндекса значится “PAGE_RANK”. Он, весьма вероятно, связан с базовым алгоритмом, разработанным основателями Google.

Добавим, российское подразделение Google летом объявило о банкротстве в связи с “невозможностью исполнения денежных обязательств” из-за ареста банковского счета. Арбитражный суд Москвы ввел в компании процедуру наблюдения.

Треть звонков от организаций не маркируется

Около трети звонков от организаций по-прежнему не маркируются, несмотря на то что соответствующее требование действует с 1 сентября 2025 года. Эксперты связывают это с игнорированием нормы со стороны небольших операторов связи, нерешёнными вопросами оплаты и фактическим отсутствием ответственности за её несоблюдение.

Как пишут «Известия», до трети звонков от компаний остаются анонимными.

По данным источников издания, такие вызовы чаще всего проходят через фиксированные сети небольших операторов, которых в России насчитывается около тысячи. В целом же, отмечают собеседники «Известий», в маркировке звонков не заинтересованы ни сами операторы, ни их корпоративные клиенты. Особенно это касается банков и микрофинансовых организаций.

Как сообщил РБК со ссылкой на источники, с 27 января вся «большая четвёрка» мобильных операторов перестала маркировать звонки от крупнейших банков, включая Сбербанк, ВТБ и Альфа-банк. Причиной, по данным источников на финансовом рынке, стало отсутствие договоров между банками и операторами связи.

«По нашим данным, примерно одна треть от общего количества звонков, поступающих нашим клиентам ежемесячно, не маркируется, — сообщили “Известиям” в “Вымпелкоме” (Билайн). — При этом доля таких вызовов может меняться от месяца к месяцу. Как правило, речь идёт о звонках от компаний финансового сектора и небольших операторов связи».

Официальный представитель Т2 Дарья Колесникова оценила долю немаркированных звонков в 35–40%. По её словам, корпоративные заказчики, особенно из финансового сектора, сферы недвижимости и числа небольших операторов, зачастую не заинтересованы в подключении услуги из-за нежелания оплачивать маркировку.

Источники «Известий» также указывают, что такую позицию усиливает отсутствие прямой ответственности за саботаж маркировки. На эту проблему обращали внимание ещё в феврале 2020 года, когда инициатива только обсуждалась. Тогда Минцифры обещало проработать механизм ответственности, однако соответствующие изменения так и не были реализованы.

Партнёр ComNews Research Леонид Коник напомнил, что в правительственном постановлении, регулирующем маркировку звонков от организаций, прямо не прописан характер договоров между операторами и коммерческими заказчиками — в том числе, должны ли они быть возмездными. По его оценке, сама операция обходится оператору в среднем в 30 копеек за звонок, вне зависимости от того, состоялось соединение или нет. Малые операторы и бизнес-клиенты компенсировать эти расходы, как правило, не готовы.

«Многие компании и индивидуальные предприниматели не заключили со своими операторами договоры на маркировку. Причём зачастую речь идёт вовсе не о мелком бизнесе», — констатирует Леонид Коник.

«Поскольку наибольшую долю среди немаркированных звонков составляют кредитно-финансовые организации, мы ожидаем от Банка России указаний о необходимости обязательной идентификации таких вызовов, — заявила Дарья Колесникова. — Это критически важно, поскольку маркировка не только снижает раздражение абонентов от нежелательных звонков, но и помогает бороться с телефонным мошенничеством».

«В Кодексе об административных правонарушениях необходимо закрепить конкретные меры ответственности за звонки без маркировки. Кроме того, должны быть разработаны документы, чётко регламентирующие оплату этой услуги», — считает генеральный директор TelecomDaily Денис Кусков.

По мнению Дениса Кускова, маркировка звонков — полезный инструмент, который помогает абонентам понять, можно ли доверять вызывающему номеру. При этом он признаёт, что стоимость услуги остаётся ощутимой нагрузкой для бизнес-заказчиков и небольших операторов связи.

RSS: Новости на портале Anti-Malware.ru