Reddit va ayrim ijtimoiy tarmoqlarda Özbekiston fuqarolarining şaxsiy ma’lumotlari darknetga çiqib ketganiga oid tarqalgan skrinşotlarda hakerlar tizimni qanday buzgani haqida yozib qoldirişgan. Kiberxavfsizlik sohasida işlovçi Nodir Avliyoqulovning tuşuntirişiça, hukumatga ulangan raqamli tizimdagi eng xavfli React2Shell nomli zaiflik turi hakerlarga töğridan töğri serverga kiriş va ma’lumotlarni olib çiqib ketiş imkoniyatini bergan bölişi mumkin.
Özbekiston fuqarolariga tegişli şaxsiy ma’lumotlar darknetda sizdirilayotgani va ularning soni 15 million nafar bölişi mumkinligi aytilmoqda.
3 fevral kuni Reddit platformasi va ayrim ijtimoiy tarmoqlarda Özbekiston davlat organlarining axborot tizimlariga tegişli ma’lumotlar joylaştirilgani aytilayotgan bir neçta resurslarga, jumladan, darknetdagi saytlarga havolalar e’lon qilindi.
Kiberxavfsizlik markazi bu böyiça örganişlar olib borilayotgani va qöşimça ma’lumotlar taqdim qilinişini ma’lum qildi. Statistika agentligi esa holatni aholi va qişloq xöjaligini röyxatga oliş bilan boğlayapti.
Xöş, bunday ma’lumotlar darknetda sizdirilişi nimani anglatadi va bu qançalik xavfli? Oldinda odamlarni nimalar kutyapti? Aynan şu savollar atrofida mavzuni muhokama qiliş uçun Kun.uz xususiy kiberxavfsizlik taşkiloti rahbari Nodir Avliyoqulov bilan suhbatlaşdi. Quyida intervyuning asosiy qismlari keltiriladi.
– Reddit platformasida ayrim havolalar e’lon qilingani, skrinşotlar çiqqani, ya’ni Özbekiston fuqarolariga oid şaxsiy ma’lumotlar sizdirilayotgani aytilmoqda. Darknetda biror insonning şaxsiy ma’lumotlari sizdirilişi nimani anglatadi va özi darknet qanday joy?
– Xöp, savol uçun rahmat. Öqiyapmiz, oxirgi kunlarda şu ma’lumotlar juda ham köp aylanyapti. Lekin hali tasdiqlangani yöq. Bu haqda holat örganilayotgani yuzasidan Kiberxavfsizlik markazi rasmiy munosabat bildirdi.
Xöp, Darknet haqida. Darknet nima? Darknet özi bu ham internet. Lekin ma’lum bir toifa odamlar foydalanadigan internet hisoblanadi. Sodda qilib tuşuntiradigan bölsak, universitetda umumiy hamma foydalanadigan Wi-Fi bor va alohida öqituvçi-professorlar uçun foydalaniladigan Wi-Fi bor, deylik. Öşa biz aytayotgan darknet – öşa professor-öqituvçilar foydalanadigan alohida, yopiq internetdir. U yerda asosan firibgarlar yoki hakerlar tomonidan buzilgan, öğirlangan ma’lumotlar sizdiriladi, tarqatiladi. Ya’ni davlatlarga yoki ma’lum bir şaxslarga tahdid qiliş maqsadida ularning tizimlarini buzib kirib, ulardagi ma’lumotlarni öğirlab, darknetga sizdirişadi va u orqali ma’lumotlarni öçirib qöyiş uçun pul talab qilişlari mumkin.
– Hozir endi şaxsiy ma’lumotlar haqida gapiryapmiz-ku, bu demak, faqat pasport ma’lumotlarimi yo boşqa körinişdagi ma’lumotlar ham böladimi içida? Va ayni holatda qanday ma’lumotlar sizdirilgan, sizningça?
– Ma’lumotlarni, aytaylik, uç turga bölamiz. Birinçisi, oçiq ma’lumotlar, ya’ni odamning ism-familiyasi va telefon raqami bölişi mumkin. Agar bu ham juda köp miqdorda böladigan bölsa, maxfiy ma’lumotga kirib ketişi mumkin. Va bankka oid, bank siriga oid ma’lumotlar: pasport, plastik kartamizning ma’lumotlari, bank hisob raqamlarimiz bölişi mumkin. Va uçinçisi — şaxsiy ma’lumotlar. Bu yerga asosan fuqarolarimizning pasport seriyalari, yaşaş manzillari, PINFL manzillari kiritilişi mumkin.
– Hozir endi 15 million nafar fuqaroning ma’lumotlari sizdirilayotgani aytilyapti. Töğri, hali bu ma’lumot tasdiqlangani yöq. Umuman özi bu vaziyat qançalik xavfli?
– Tarqalgan skrinşotlar, linklarga qaraydigan bölsak, u yerda fuqarolarning ism-familiyasi, PINFL raqamlari körsatilgan, lekin aytganimdek, hali bu narsalar tasdiqlangani yöq, aktual ma’lumotmi yoki eski, [buni bilmaymiz]. Xöp, buning qanday zararlari bölişi mumkin? Mana barçamizga juda ham yaxşi ma’lum, firibgarlar asosan fuqarolarimizning nomiga har xil kredit rasmiylaştiriş yoki har xil fişing linklar, silkalar yuboriş orqali ularning hisob raqamlaridagi, karta ma’lumotlarini, kartalaridan pullarini yeçib ketiş holatlari juda ham köp tarqalgan. Agar mana şunaqa ma’lumotlar firibgarlarning qöliga tuşadigan bölsa, ular asosan moliyaviy firibgarliklar, fuqarolarimizning kartalaridan pullarini yeçiş uçun bundan foydalanişi mumkin. Şuning uçun iloji boriça begona telefon raqamlarida har xil SMS kodlarni yoki ma’lumotlarni aytmasliklari tavsiya qilinadi.
– Davlat organlarining axborot tizimlariga tegişli bölgan ma’lumotlar çiqqan, ya’ni aynan davlat organlariga tegişli bölgan serverdan bu ma’lumotlar, datalar çiqib ketib qolgan bölişi mumkin. Bu bilan biz tizim yetarliça himoyalanmagan degan xulosaga kelişimiz töğrimi? Ya’ni bu şuni anglatadimi?
– Özi heç qaysi taşkilot, xususiy böladimi yoki davlat taşkiloti böladimi, yoki heç bir davlatda mustahkam tizimning özi yöq. Hamma tizimda baribir zaiflik, kamçilik böladi. Faqatgina buni biz doimiy ravişda tahlil qilib, yangi aniqlangan zaiflik turlari bölsa, ularni yangilab borsak, öşanda har xil xavflar, kiberhujumlarning oldini olgan bölamiz. Va bu aytganimdek, aynan davlat tizimida kamçiliklar yetarli, qolgan joyda kamçilik yöq degani emas. Buning oldini oliş uçun har xil xavfsizlik tizimlari bor: firewall, web application firewall – öşa tizimlarni örnatiş mumkin.
– Nodir aka, özi mana şu holatning özini ham tahlil qilib bera olasizmi? Ya’ni davlat organlariga tegişli axborot tizimining özidan uning tizimini buzib kirib ma’lumotni olişning qanaqa versiyalari bor, buni qanday qilib amalga oşiriş mumkin?
– Dark web forums’larda tarqalgan skrinşotlarda hakerlar qaysi zaifliklar orqali buzib kirilganini yozib qoldirganini köriş mumkin. U yerda React2Shell zaiflik turini kördik. Ya’ni bu – yaqinda aniqlangan, juda ham xavfli zaiflik turi. Unda öşa zaiflik orqali tizimga va serverga töğridan töğri buzib kiriş ehtimolliklari bor.
– Bu qanday zaiflik? Şuni batafsil oddiy tilda tuşuntirib bera olasizmi?
– React kutubxonasi bor. Bu React orqali front-end, dasturning front-end qismini yoziş mumkin böladi. Aytaylik, mana Kun.uz veb-saytini oladigan bölsak, öşa sizga körinadigan qismi front-end böladi. Bu React kutubxonasi orqali asosan yoziladi. Mana şu kutubxonada zaiflik turi aniqlangan. Buning nomini React2Shell deb nomlaşgan. Öşa zaiflik bu kutubxonadagi, masalan, serverga yuboriladigan ma’lumotga qanaqadir töğridan töğri “dostup” olib, u serverga töğridan töğri kiriş imkoniyatini beryapti. Taxminlarimizdan biri şu, OAuth (Open Auhtorization – hukumatga ulangan raqamli tizim)ga ulangan veb-saytlarning qaysidir birida mana şu zaiflik mavjud bölgan va haker şu zaiflik orqali kirib, serverdan maxfiy kalitlar orqali ma’lumot olib çiqib ketgan. Şunday taxmin bor.
Bu yerda öşa OAuth tizimiga integratsiya qilingan, autentifikatsiya tizimidan ma’lumot çiqib ketilgan, deyilyapti. U tizimga integratsiya qilingan juda ham köp veb-saytlar, juda ham köp davlat taşkilotlari bor. Aytaylik, istalgan birontasida öşa biz aytgan React2Shell zaifligi aktiv bölgan bölsa, öşa orqali serverga kirgan böliş ehtimoli bor. Şuning uçun bunda aynan bitta taşkilotni ayblab qöya olmaymiz-da.
U yerda 1800 dan ortiq resurs egallangani da’vo qilinadi. Ya’ni bu boya aytganimdek, darknet şunaqa joyki, davlatdan yoki qaysidir taşkilotlardan pul undiriş uçun bu vosita. Ma’lumotlaringizni mana şunça tarqatdik. Buni kölamini kengaytirib körsatiş orqali bizning davlatimizdan, hukumat, organlardan yuqori summa talab qilişayotgan bölişi mumkin. Öşaning uçun ma’lumotlarni köproq qilib körsatayotgan bölişi mumkin.
– Ya’ni börttirişayotgan bölişi mumkin, demoqçisiz?
– Börttirilayotgan bölişi aniq, çunki bizning tajribamizdan şu narsa aniqki, tadqiqot guruhimiz bor, masalan, ularning xulosasi böyiça 1800 dan ortiq resursni egallab oliş uçun kamida bir yillik vaqt ketadi. Bir yil davomida mana şunça tizimni egallab oliş uçun katta kiberxavfsizlik, ya’ni hakerlik guruhi ötirişi kerak böladi. Bu noreal narsa hisoblanadi. Öşaning uçun, mening fikrim böyiça yuqori summada pul talab qiliş uçun bu yerdagi sonlar juda ham börttirib körsatilyapti.
Har kuni, har doim yangi zaiflik turi çiqaveradi. Buning yöli öşa foydalanilayotgan kutubxonalar, React kutubxonasi, front-endni yoziş uçun versiyasi çiqadi. Masalan, mobil ilovani 1.1 versiyasi, 1.2 versiyasi çiqadi-ku, kamçiliklar töğrilanib, 1.2 versiya çiqadi. Öşa kutubxonada ham qaysidir zaifliklar aniqlandimi, u xodimlar tomonidan bartaraf qilinib, keyingi yangi versiya çiqariladi, masalan, aktiv versiyani çiqaradi. Va biz işlatayotgan saytlar u eski versiyadagi React kutubxonasida qolib ketadi. Haker öşa eski kutubxona orqali kirib, serverga ma’lumot olişi mumkin böladi. Bizning qiladigan işimiz, yangi zaiflik turi çiqdimi, unga darhol yangi kutubxona ham çiqişi kerak, undan keyin öşa yangi kutubxonaga ötib qöyişimiz kerak böladi.
– Tizim bunday hujum va xavflardan himoyalanişi uçun nima qiliş kerak deb öylaysiz va özi aynan kiberxavfsizlik sohasida Özbekistonda qanday kamçiliklar körasiz va uni töğrilaş kerak deb hisoblaysiz?
– Özi bu narsa bosqiçma-bosqiç olib borilişi kerak, lekin bizda IT xizmatlari, IT mahsulotlar oxirgi mana 5-6 yilda juda ham tez rivojlanib ketayotgani uçun kiberxavfsizlik biroz orqada qolyapti. Tajribali mutaxassislar yetişmovçiligi bor. Bu birinçi sabablardan. Va undan keyin öşa dasturçilar tomonidan yozilgan dasturlar tez-tez yangilanib va tekşirib borilişi talab qilinadi. Aynan kiberxavfsizlik sohasida tajribali kadrlar yetişmovçiligi bor, çunki mana şunday har xil firibgarliklar, öğriliklar yoki buzib kirişlardan keyin talab endi yaqinda, oxirgi 2-3 yilda toşdi.
Va ikkinçi navbatda, tizimlarda juda köp zaifliklar aniqlanadi. Har xil kutubxonalar bor, kutubxonalarda zaifliklar aniqlanadi va öşa zaifliklardan foydalanib hakerlar biz işlab turgan dasturlarga buzib kiriş ehtimoli yuqori.
Sohada ança yaxşi işlar olib borilyapti. Mutaxassislar tayyorlaş böyiça yangi universitet, Cyber University davlat universiteti oçildi. Davlat tizimlariga integratsiya qilingan, ulangan har qanday tizimni Davlat kiberxavfsizlik markazidan ekspertizadan doimiy ötkaziş böyiça yangi talablar işlab çiqildi. Bunga yana qöşimça sifatida men taklif qilgan bölardim, kiberxavfsizlik faoliyati bilan şuğullanadigan xususiy, milliy kompaniyalarimiz bor, ularga ham qaysidir ma’noda rasmiy faoliyat bilan şuğullaniş böyiça, ya’ni litsenziyalaş tartibini joriy qiliş böyiça qandaydir yengilliklar berilsa, bu yaxşi natija bergan bölardi deb öylayman.
Biz kuzatayotgan tendensiyalar körsatadiki, oxirgi paytda juda köp yoşlar şu sohaga qiziqişyapti. Özimizning taşkilotimizga ham şu sohani örganiş uçun köpçilik yoşlar murojaat qilişadi va özimiz şu yönalişda köplab kadrlarni tayyorlayapmiz hozirgi kunda.
– Yana qöşimça aytmoqçi bölgan ma’lumotlaringiz, fikrlaringiz bölsa, bemalol.
– Xöp, har bitta taşkilot tizimlarining himoyasini doimiy ravişda yangilab turişini tavsiya qilaman. Masalan, yangi kutubxonalar, yangi zaifliklar çiqadi, öşalarni doimiy update qilib boriş kerak böladi. Şunda imkon qadar har xil kibertahdidlarning oldini oliş mumkin. Undan taşqari, xodimlarni tayyorlaş, bilimini, malakasini oşirişni tavsiya qilamiz. Ya’ni xodimlarga pul tikib, ularning bilimini, saviyasini rivojlantirişga taşkilotlar tomonidan e’tibor qaratilsa, yaxşi bölardi.
