В службах доставки — массовые проблемы с защитой персональных данных

В службах доставки — массовые проблемы с защитой персональных данных

В службах доставки — массовые проблемы с защитой персональных данных

Нарушения в сфере защиты персональных данных в службах доставки носят массовый характер. Одна из причин — острая нехватка курьеров, которой некоторые сотрудники пользуются в личных целях.

Как отметил в комментарии для «Известий» адвокат Шон Бетрозов, даже минимальный набор данных — имя, адрес, номер телефона — может поставить человека в уязвимое положение, если попадёт «не в те руки».

Именно такими сведениями располагают службы доставки.

Примером неправомерного использования персональной информации стал инцидент в одном из интернет-магазинов косметики. После получения заказа покупательница столкнулась с угрозами интимного характера.

Выяснилось, что сталкер воспользовался услугами своей знакомой, работавшей курьером. В ходе внутренней проверки магазина были выявлены и другие подобные случаи.

Проблема защиты персональных данных затрагивает многие службы доставки. Информация о покупателях, включая их историю заказов, доступна широкому кругу курьеров.

Дефицит кадров усугубляет ситуацию: компании вынуждены нанимать практически всех соискателей, не проводя тщательных проверок. Особенно остро проблема стоит во франчайзинговых службах, где экономия на персонале ведёт к снижению уровня контроля.

Дополнительный риск создаёт передача доставки сторонним логистическим операторам. В таких компаниях значительная часть курьеров работает без официального оформления или по договорам гражданско-правового характера, что фактически лишает их контроля со стороны работодателей.

Коммерческий директор федеральной транспортной компании «Скиф-Карго» Михаил Коптев считает, что при найме курьеров необходимо тщательно проверять их на наличие судимостей, а также оценивать навыки общения, стрессоустойчивость и знание маршрутов. Кроме того, он рекомендует отслеживать передвижения сотрудников с помощью технологий геопозиционирования.

«Важно регулярно собирать отзывы о работе курьеров, создавать горячие линии или чаты для оперативной обратной связи, а также проводить проверки и оценку эффективности службы доставки. Это поможет выявлять потенциальные угрозы и своевременно реагировать на проблемы», — отмечает Коптев. Он также подчёркивает необходимость разработки протоколов действий в чрезвычайных ситуациях.

Адвокат Шон Бетрозов напоминает, что разглашение персональных данных является административным правонарушением. Если же эти сведения используются для преследования, угроз или домогательств, то речь идёт уже о преступлении. В таких случаях ответственность могут нести не только сами злоумышленники, но и компании, чьи сотрудники или подрядчики допустили утечку данных.

Telegram MCP-сервер fast-mcp-telegram пустил атакующих к телеграм-сессии

В fast-mcp-telegram нашли критическую уязвимость под идентификатором CVE-2026-52830: хотели защититься токенами bearer, а в итоге превратили токен в путь к файлу. В результате атакующий может получить доступ к MCP-сессии Telegram по HTTP без валидного закрытого токена.

Fast-mcp-telegram — это MCP-сервер, который подключает телеграм-аккаунты к ИИ-ассистентам и HTTP-клиентам через сессионную модель аутентификации.

В версиях до 0.19.0 включительно проверка токена устроена так: сервер берёт строку из Authorization: Bearer, добавляет к ней .session, склеивает с директорией сессий и проверяет, существует ли такой файл.

Проблема в том, что токен не нормализуется как безопасный идентификатор. Код запрещает некоторые зарезервированные имена, например telegram, но не блокирует слеши, «..», абсолютные пути и другие конструкции.

Вместо закрытого ключа сервер фактически принимает относительный путь в файловой системе. Отличный подарок для атакующего, плохая новость для владельца телеграм-аккаунта.

В типичной конфигурации дефолтная сессия лежит в файле ~/.config/fast-mcp-telegram/telegram.session. Прямой токен telegram отклоняется, но обходной вариант вроде ../fast-mcp-telegram/telegram может схлопнуться файловой системой в тот же самый файл. Если файл существует, сервер принимает такой токен и аутентифицирует атакующего как дефолтный телеграм-аккаунт.

После этого злоумышленник может читать и отправлять сообщения, вызывать MTProto API и использовать доступные инструменты, привязанные к этой сессии. Защита на уровне префиксов инструментов тут уже не спасает: она срабатывает после аутентификации, а дверь к аккаунту к тому моменту уже открыта.

Уязвимость затрагивает fast-mcp-telegram до версии 0.19.0 включительно. В версии 0.19.1 разработчики ужесточили проверку и начали обращаться с bearer-токенами как с непрозрачными идентификаторами, а не как с кусками пути.

Администраторам рекомендуют срочно обновиться, ротировать дефолтные и старые session-файлы, а также проверить логи на подозрительные bearer-значения со слешами и «…».

RSS: Новости на портале Anti-Malware.ru