По информации «ТАСС», пресс-служба РЖД прокомментировала ситуацию с проникновением во внутреннюю сеть компании после публикации статьи об этом на Хабре.
«РЖД проводит расследование по публикации в открытом источнике данных, связанных с информационной безопасностью одного из подразделений холдинга. Сообщаем, что утечки персональных данных клиентов холдинга не произошло, угрозы безопасности движения нет», — сообщили в РЖД.
«РЖД непрерывно совершенствует собственную IT-инфраструктуру — одну из самых масштабных в России — тестирует и аудирует новые решения. Компания открыта и приветствует предложения по усовершенствованию собственной IT-инфраструктуры, при этом выступает против неправомерного доступа к информационным системам и публикации данных, связанных с информационной безопасностью, в открытых источниках. Напоминаем, что неправомерный доступ к компьютерной информации является уголовным правонарушением», — заключили в пресс-службе РЖД.
Пресс-служба РЖД не пояснила, означает ли, что автор публикации (LMonoceros) попадает под ее последнее высказывание об уголовном правонарушении, например, по статье 272 УК РФ «Неправомерный доступ к компьютерной информации».
Утром 13 января 2021 года на Хабре была опубликована статья «Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…», в которой автор рассказал про успешное проникновение внутрь локальной сети РЖД и то, как он получил доступ к системе наружного наблюдения и внутренним сервисам компании.
Эксперты по информационной безопасности пояснили, что в этом инциденте виноваты сотрудники компании, которые оставили в системе оборудование со штатными логинами и паролями. Вдобавок за обнаруженным незапароленным роутером оказались другие незащищенные или необновленные устройства. А сама сеть, выстроенная как единая общая система, не была никак сегментирована. Это говорит о халатности не одного конкретного администратора сети, а о системной проблеме.
Основатель сервиса разведки утечек данных DLBI Ашот Оганесян уточнил, что именно этот взлом продемонстрировал две основные проблемы инфраструктуры ОАО «РЖД»: отсутствие систем обнаружения вторжения и внутрисетевых брандмауэров (firеwall), пресекающих доступ из одного сегмента сети в другой, а также большое число оборудования и сервисов с дефолтными паролями или вовсе без оных. Все это является признаками отсутствующей политики информационной безопасности или контроля за ее соблюдением.
Обновление публикации: автор статьи пояснил, что с ним связались специалисты РЖД. Они совместно с автором закрыли уязвимости. На ресурсе Роскомсвобода автору пообещали помочь в случае необходимости и предоставить правовую защиту.
В ноябре прошлого года база клиентов сайта «РЖД Бонус» утекла в сеть. В ОАО «РЖД» тогда пояснили, что это была попытка взлома.
15 ноября 2019 года пользователь keklick1337 в своей публикации «Самый беззащитный — это Сапсан» рассказал, что он смог за двадцать минут получить доступ к внутренним сервисам мультимедийного портала «Сапсана», нашел там локально хранящиеся некоторые данные о пассажирах (текущего и прошлых рейсов), а также обнаружил в этой системе «VPN в сеть РЖД» и написал: «РЖД, поправьте все, через пару месяцев снова проверю».
А уже 21 ноября 2019 года в ОАО «РЖД» сообщили, что в их сети нет критических уязвимостей, используя которые можно получить доступ к действительно важным данным или внутренним сервисам, а угрозы похищения персональных данных при взломе мультимедийной системы поезда «Сапсан» не существует.
В конце августа 2019 года неизвестный пользователь опубликовал в свободном доступе персональные данные 703 тыс. человек, которые предположительно являлись сотрудниками ОАО «РЖД», причем в самом ОАО «РДЖ» на тот момент работало 732 тыс. сотрудников. Среди свободно доступных данных по сотрудникам, включая руководство компании, там была представлена такая информация: ФИО, дата рождения, адрес, номер СНИЛС, должность, фотография, телефон, адрес электронной почты (иногда на доменах NRR.RZD, DZV.ORG.RZD, ORW.RZD и других внутренних доменах ОАО «РЖД»). На сайте с выложенной базой была надпись: «Спасибо ОАО «РЖД» за предоставленную информацию, путем бережного обращения с персональными данными своих сотрудников».
В декабре 2019 года следственными органами удалось найти злоумышленника, который незаконно скопировал и выложил в интернет данные сотен тысяч сотрудников ОАО «РЖД», в том числе руководства компании. Им оказался двадцатишестилетний житель Краснодарского края. Оказалось, что логин и пароль для входа на корпоративный сайт ОАО «РЖД» случайно увидел на бумажке в паспорте у знакомого.