В выдаче поисковика "Яндекс" обнаружились около восьми тысяч SMS, отправленных на номера "Мегафона" с сайта сотового оператора. Помимо текстов, там были доступны номера получателей, даты и время отправки SMS. Причиной утечки представители "Яндекса" назвали отсутствие на сайте "Мегафона" файла robots.txt, в котором прописываются инструкции для поисковых роботов.
Отыскать чужие SMS в "Яндексе" оказалось довольно просто: для этого достаточно было ввести в поисковую строку запрос "url:www.sendsms.megafon.ru* | url:sendsms.megafon.ru*" или любую его половину (по левую или правую стороны от символа "|" - на языке "Яндекса" он означает поиск любого из выражений, которые этот символ разделяет).
В ответ на запрос "Яндекс" выдавал более восьми тысяч ссылок. Большая часть из них вела на текстовые сообщения, отправленные через бесплатную форму на сайте "Мегафона" начиная с 7 июля 2011 года. Нажав на ссылку, можно было ознакомиться с текстом SMS и узнать дату и время его отправки и номер получателя.
Вопиющим является уже сам факт обнародования личных посланий - во-первых, многие из них имели весьма и весьма интимное содержание, во-вторых, по номеру легко можно установить личность адресата. Однако помимо вторжения в частную жизнь, утечка поставила под угрозу и персональные данные некоторых пострадавших. В текстах отдельных SMS, отправленных через сайт "Мегафона", содержались логины и пароли, номера паспортов и банковских карт и другая ценная для злоумышленников информация.
Около 15:30 - 16:00 18 июля по московскому времени "Яндекс" приступил к удалению SMS из кэша. Сначала поисковик принудительно включил "семейный" фильтр, чтобы отсечь наиболее яркие из посланий, а затем постепенно стер все сохраненные сообщения. В это же время несколько интернетчиков вели прямо противоположную работу - сохраняли себе на компьютеры найденные поисковиком чужие SMS. Файлы с архивом сообщений повсеместно доступны в Сети и, надо думать, представляют собой немалый интерес для социологов - например, по этим текстам можно установить, какие вопросы сильнее всего волнуют определенный слой населения.
После 16:30 "Яндекс" и "Мегафон" выпустили свои официальные комментарии по поводу случившегося. Сотовый оператор заявил, что SMS были обнародованы из-за "технического сбоя". Сбой, говорится в сообщении на сайте оператора, произошел по вине некоего "внешнего администратора сайта" и был "незамедлительно устранен" техническими специалистами "Мегафона". Оператор заверил, что опубликована была "крайне незначительная часть" SMS, отправленных через сайт.
19 июля "Мегафон" закрыл службу бесплатной отправки SMS через свой сайт. Теперь при попытке воспользоваться ею выводится сообщение о том, что сервис находится на реконструкции.
По версии "Яндекса" же, вина за случившееся лежит исключительно на "Мегафоне". Как сообщил пресс-секретарь компании Очир Манджиков, в разделе "Отправить SMS-сообщение" на сайте "Мегафона" отсутствовал файл robots.txt. Этот файл содержит в себе инструкции для поисковых систем о том, как именно следует обращаться с данным сайтом. Если администраторы того или иного ресурса не хотят, чтобы его содержимое видели поисковики, запрет следует прописать в robots.txt. В случае с "Мегафоном", утверждает "Яндекс", отсутствовала не только строка с запретом, но и сам файл. По какой причине это произошло, до сих пор неизвестно.
В тот же день разъяснений от "Мегафона" потребовал Роскомнадзор. Ведомство запросило у сотового оператора сведения о причинах проникновения в Сеть текстов сообщений, а также о мерах, которые "Мегафон" принимает для защиты личных данных своих абонентов. Факт утечки SMS, считают в Роскомнадзоре, может свидетельствовать о нарушении законов "О связи" и "О персональных данных".
Собственную проверку в отношении "Мегафона" начал и Следственный комитет РФ. По ее результатам будет вынесено решение о возбуждении уголовного дела, заявил представитель СК РФ. О намерении подать иск к оператору заявил также Союз потребителей России. Как пояснил его председатель Петр Шелищ, если иск будет выигран, пострадавшие абоненты смогут рассчитывать на компенсацию за нанесенный моральный вред или иного вида убытки.
Ближе к вечеру 18 июля выяснилось, что в интернете "засветились" не только SMS, отправленные через сайт "Мегафона". В кэше того же "Яндекса" были обнаружены сообщения, посланные с ресурса sms.prm.ru на номера четырех операторов - МТС, "Мегафон", "Билайн" и Utel, работающих в Пермском крае (к утру 19 июля SMS уже были удалены). Sms.prm.ru предлагает пользователям услугу бесплатной отправки SMS в количестве до 200 сообщений в неделю с одного IP-адреса. Интересно, что условия "Пользовательского соглашения" на этом ресурсе не исключают возможности того, что отосланные с его помощью SMS будут обнародованы. "Информационно-сервисный портал PRM.RU не несет ответственности за сохранение конфиденциальности и целостности сообщения, за доставку его адресату, а также за возможные убытки или ущерб (прямой или косвенный), которые могут произойти в связи с использованием данной услуги", - говорится в тексте "Соглашения".
На самом PRM.RU 19 июля было размещено несколько путаное объяснение случившемуся. Портал поспешил заявить, что он не располагает "базой отправленных SMS", а, напротив, удаляет все сообщения сразу же после отправки. "Яндекс", по версии PRM.RU, мог найти те сообщения, которые были составлены с помощью виджета PRM.RU для главной страницы "Яндекса". В этом случае формируется ссылка на сообщение, вмещающая в себя текст SMS и номер получателя. Портал заявил, что попросил разъяснений у "Яндекса".
В целом, исчерпывающего объяснения тому, как чужие SMS попали в кэш поисковика, ни одна из компаний, вовлеченных в скандал, пока не предоставила. Предсказуемой реакцией на слив SMS в Сеть может стать частичное падение популярности интернет-сервисов для бесплатной отправки текстовых сообщений - хотя вряд ли эффекта хватит надолго. Просто нужно понимать, что от подобных провалов на сто процентов не защищена, наверное, ни одна система и риск обнародования данных существует всегда - как плата за удобство и оперативность. Но "Мегафон", который сильно подвел своих абонентов, это соображение все равно не оправдывает.