Мэрия Москвы не считает персональными данными номера телефонов граждан

Мэрия Москвы не считает персональными данными номера телефонов граждан

Мэр Москвы Сергей Собянин недавно подписал указ, обязывающий компании передавать властям данные сотрудников, работающих удалённо. Эксперты тут же обратили внимание на сомнительность инициативы с точки зрения конфиденциальности. Однако в мэрии заверили, что передаваемые данные не относятся к персональным.

Такую позицию отметили в пресс-службе департамента информационных технологий Москвы (ДИТ): телефонные и автомобильные номера, а также данные транспортных карт не являются персональной информацией.

Представители ДИТ постарались успокоить граждан, заверив, что власти Москвы не собираются контролировать перемещение граждан, чьи данные будут находиться в их распоряжении.

Другими словами, у органов власти одна задача — анализировать обезличенные данные, что поможет оценить эффективность введённых ограничений. А вычислять местоположение конкретного гражданина — это никому якобы не нужно.

Тем не менее у ряда юристов своё мнение на этот счёт. В частности, специалисты ссылаются на п. 3 ст. 1 закона «О персональных данных», в котором отмечается, что персональные данные представляют собой любую информацию, прямо или косвенно относящуюся к определённому физлицу.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В TikTok обнаружены баги, позволяющие угнать аккаунт за один клик

Операторы видеосервиса TikTok устранили две уязвимости, которые в комбинации позволяют без особых трудозатрат захватить контроль над чужим аккаунтом. Одна из них присутствовала на сайте, другая объявилась в клиентском приложении. Соответствующие патчи вышли 18 сентября, информация о багах была опубликована в конце прошлой недели.

Обе проблемы обнаружил живущий в Берлине исследователь, использующий псевдоним milly. Отчет о находках молодой человек подал в рамках программы поиска багов, запущенной на платформе HackerOne, и в итоге был удостоен награды в размере 3860 долларов США.

Согласно записи milly на HackerOne, уязвимость на сайте TikTok возникла из-за неадекватной санации одного из параметров URL и классифицируется как «отраженный межсайтовый скриптинг». Эксплуатация в данном случае позволяет выполнить вредоносный код в браузере пользователя посредством проведения XSS-атаки. Степень опасности бреши оценена как высокая (8,2 балла по шкале CVSS); идентификатор CVE ей пока не присвоен.

Уязвимость в клиенте TikTok относится к классу «подделка межсайтовых запросов» (CSRF). Ее использование позволяет задать новый пароль для учетной записи, допускающей вход через сторонние приложения (по технологии единого входа — SSO, Single Sign-On), и совершать действия от имени законного владельца аккаунта.

Для демонстрации уязвимостей исследователь создал простейший JavaScript-эксплойт для CSRF и внедрил его в URL TikTok в качестве значения уязвимого параметра. Использование этой связки помогло milly эффективно перехватить контроль над аккаунтом.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru