"Яндекс" раскрыл личную переписку абонентов "МегаФона"

Текстовые сообщения, отправляемые на номера "Мегафона" через сайт сотового оператора, отобразились в кэше поисковика "Яндекс" и доступны для всеобщего просмотра.

Сегодня большинство людей с доступом в интернет полдня занимались чтением чужих смс-сообщений, отправленный с сайта "МегаФона" и проиндексированных "Яндексом". Запрос "url:www.sendsms.megafon.ru* | url:sendsms.megafon.ru*", в данный момент не работает, но если к нему прибавить какое-нибудь слово, то смс снова будут отображены. Многие успели не только прочитать и поискать своих знакомых, но и скачать всю базу сообщений с сайта поисковика (примеры смс можно посмотреть здесь).    

Стоит отметить, что сейчас страница для отправки сообщений на сайте "МегаФона" работает с перебоями. Пресс-секретарь "Яндекса" Очир Манджиков прислал RB.ru пресс-релиз с официальной позицией компании.

""Яндекс" индексирует только открытую часть интернета - те страницы, которые доступны при переходе по ссылкам без ввода логина и пароля. Страницы, индексация которых запрещена администратором сайта в файле robots.txt, "Яндекс" не индексирует, даже если они находятся в открытой части интернета. Это соответствует всем общепринятым нормам и правилам взаимодействия в интернете", - говорится в сообщении.

В разделе отправки SMS на сайте "МегаФона" (www.sendsms.megafon.ru) в момент индексации по какой-то причине отсутствовал файл robots.txt. "Насколько нам известно, сейчас администраторы сайта "МегаФона" уже установили robots.txt и закрыли этот раздел для индексации. В максимально скором времени все страницы этого раздела будут недоступны в результатах поиска "Яндекса", сообщил RB.ru Очир Манджиков.

Юлия Дорохина, пресс-секретарь ОАО "МегаФон", не стала особенно вдаваться в детали произошедшего, комментируя ситуацию корреспонденту RB.ru. "На сайте оператора произошел технический сбой, связанный с работой внешнего администратора сайта. Технические специалисты "МегаФона", обнаружив сбой на сайте, незамедлительно его устранили. Сбой коснулся крайне незначительной части SMS, отправленных с сайта оператора. При этом он не затронул SMS-сообщения клиентов, отправленные через телефоны и другие мобильные устройства", - успокаивает сотрудник мобильного оператора. По словам Дорохиной, в настоящий момент ситуация находится под контролем, сбой полностью устранен, вся информация, попавшая в поисковую выдачу "Яндекса", удалена из всех запросов.

Ранее предполагалось, что утечка смс могла произойти из-за установки инструмента "Яндекс.Метрика" на сайте "Мегафона". Этот инструмент был установлен и на страницу, с которой можно отправлять пользователям оператора. 

К версии о том, что в сбое надо винить бесплатный сервис статистики, судя по всему, склоняются в МТС. В этой связи официальный представитель компании заверил RB.ru: "МТС не использует открытые и бесплатные счетчики для своих сайтов, так как они могут потенциально нести угрозу для информационной безопасности, МТС использует только коммерческие платные системы статистики, что гарантирует полный контроль компании в процессе передачи и анализа информации с сайта и полную конфиденциальность данных. Кроме того, при отправке сообщений через сайт МТС вся информация передается сразу в смс-центр и не сохраняется на сайте оператора. Прочтение смс сторонними лицами после его отправки невозможно". Представитель оператора заявил, что "МТС реализует комплекс мер по обеспечению конфиденциальности и сохранности персональных данных, что гарантирует защищенность передаваемой клиентами информации".

По мнению технических специалистов, опрошенных RB.ru, "со стороны "Яндекса" ни в чем не было ошибок". "Непростительное упущение со стороны "МегаФона". Чтобы робот "Яндекса" проиндексировал смс, они должны были быть где-то опубликованы, просто благодаря поисковику их обнаружили люди. Если бы смс-сообщения хранились только в базе, как подразумевается в подобных сервисах, то поисковый робот бы их не проиндексировал", - считают эксперты.

Провал для оператора

Вся блогосфера с упоением стала разбирать сугубо личные сообщения "на цитаты". В интернете уже появились "иллюстрации" к этому громкому событию:



Известный блогер и главред mobile-review.com Эльдар Муртазин отмечает в своем блоге, что эта ошибка - огромный удар по репутации "МегаФона". "Козырь в руки тех, кто не любит Мегафон по каким-то причинам. Вряд ли ситуация окажет влияние на реальный бизнес компании, но, безусловно, выступит негативным фактором при выборе оператора", - отмечает эксперт.

Муртазин также не исключает возможность судебных исков со стороны получателей SMS за разглашение (пусть и невольное) конфиденциальных сообщений адресованных им. "При наличии таких исков влияние на бизнес "МегаФона" будет уже ощутимым. И это самый большой изъян в текущей ситуации", - пишет он.

В момент написания материала корреспонденту RB.ru на его "мегафоновский" номер пришла смска от оператора. "Честно говоря, я думал, что там долгожданное объяснение причин случившегося, или бонус от оператора за причиненные неудобства, - говорит он. - Но там оказалась очередная реклама антивируса для смартфона. Очень жаль".

По его словам, тут даже не в бонусе или извинении дело, просто хотелось бы какой-то реакции и пояснений.

Странно, но на корпоративном сайте "МегаФона" в разделе "пресса о нас" последняя новость датирована 30 июня, а ведь сегодня все СМИ только и делают, что пишут про оператора.

Виноват и "Яндекс"

"МегаФон" считает, что крупнейший российский поисковик "Яндекс" был причастен к появлению в понедельник в открытом доступе SMS-сообщений, отправленных с сайта оператора, и номеров получателей, сообщил 19 июля на пресс-брифинге первый заместитель генерального директора "МегаФона" Валерий Ермаков во вторник.

По его словам, файл robots.txt на сайте "МегаФона" существует. "Он отвечает за ограничение индексирования поисковиками и работает со всеми ресурсами. Остается вопросом, почему информация попала только в "Яндекс", - пояснил Ермаков.

Он объяснил, что после отправки SMS с сайта компании формируется временная страница, на которой опубликованы данные о номере получателя и текст послания. Компании выясняют, каким образом копии временных страниц попали в поисковую выдачу "Яндекса".

По одной из версий "МегаФона", это произошло из-за того, что у пользователей, которые отправляли SMS с сайта компании, было установлено браузерное дополнение "Яндекс.Бар", которое считывало информацию и отправляло на сервер "Яндекса".

Ермаков сообщил, что "МегаФон" занимается расследованием данного инцидента. Оператор привлек к нему экспертов по информационной безопасности, а также готов сотрудничать с государственными ведомствами.

Так, по словам Ермакова, в компанию уже поступил запрос от Роскомнадзора. О намерении провести проверку данного инцидента в понедельник заявляли и в Общественном комитете РФ.

В официальном заявлении, которое "МегаФон" сделал в понедельник, мобильный оператор указывал на то, что на его сайте произошел технический сбой, "связанный с работой внешнего администратора сайта", что привело к утечке SMS.

По словам Ермакова, в компании "МегаФон" узнали о том, что часть информации оказалась в открытом доступе в понедельник в 11.30 мск. В 13.15 мск удалось выяснить, что данные попали в поисковую выдачу "Яндекса". В 13.40 мск в российский поисковик было направлено сообщение с просьбой удалить информацию из поисковой выдачи. В 16.00 мск сервис по отправке SMS с сайта "МегаФона" был закрыт для пользователей.

В открытом доступе оказалось 8 тысяч "объектов", 3 тысячи из которых - сообщения, по данным "МегаФона".

По словам Ермакова, ежедневно абоненты "МегаФона" отправляют 40 миллионов SMS, из них 135 тысяч - с сайта компании.

Вечером того же дня в редакцию RB.ru пришел ответ и от "Яндекса": "Еще раз можем подтвердить, что страницы с SMS с сайта "МегаФона" были публично доступны всем поисковым системам. Такое могло произойти из-за возможной ошибки администратора раздела отправки SMS, который по какой-то причине не запретил его индексацию в специальном файле robots.txt. В понедельник, во второй половине дня, специалисты "МегаФона" установили файл в разделе отправки SMS своего сайта и закрыли его для индексации. В максимально быстрые сроки все страницы этого раздела стали недоступны в результатах поиска "Яндекса"".

Обращаем особое внимание на то, что URL-ы страниц раздела отправки SMS с сайта были доступны также в других поисковиках.

"Яндекс" индексирует только открытую часть интернета - те страницы, которые доступны при переходе по ссылкам без ввода логина и пароля. Страницы, индексация которых запрещена администратором сайта в файле robots.txt, "Яндекс" не индексирует, даже если они находятся в открытой части интернета. Это соответствует всем общепринятым нормам и правилам взаимодействия в интернете.

Стандарт, регламентирующий работу поисковых систем в интернете, включающий в себя описание файла robots.txt, был принят еще в 1994 году. Исходя из этих правил работают все поисковые системы, они также хорошо известны администраторам большинства интернет-ресурсов.  Вся информация, не запрещенная к индексации администратором сайта в файле robots.txt, доступна роботам поисковых систем. Никакой поисковый робот не может оценить соответствие содержания страниц законодательным нормам. И ответственность за размещение информации в открытом доступе лежит на том, кто её разместил или не защитил должным образом.

Особо хотим отметить, что никакие сервисы "Яндекса" не виноваты в утечке данных с сайта "МегаФона". Ни "Яндекс.Бар", ни "Яндекс.Метрика" не скачивают содержимое веб-страниц. Если страница закрыта для индексации в файле robots.txt или защищена логином и паролем, то она недоступна и поисковым роботам, то есть информация, размещенная на ней, никогда не окажется в какой-либо поисковой системе.

За сегодняшний день специалисты "МегаФона" не обращались в "Яндекс" за дополнительной информацией. Мы открыты к сотрудничеству и готовы присоединиться к внутреннему расследованию "МегаФона" по факту "технического сбоя" на сайте оператора.

Рекомендуем администраторам сайта "МегаФона" и веб-мастерам других сайтов изучить информацию о файле robots.txt и его корректном использовании.