Утечка данных WFP SRA в Газе в 2026 году

WFP подтвердила The New Humanitarian, что посторонние лица получили несанкционированный доступ к приложению Self-Registration Application, используемому в Палестине, и завладели персональными данными. Организация сообщила, что инцидент произошёл 14 мая, после чего она отключила платформу, локализовала утечку и начала расследование. Этого заявления достаточно, чтобы классифицировать событие как подтверждённую утечку данных, а не только как возможную уязвимость или заявление злоумышленника.

В официальном уведомлении в Telegram заявителям сообщили, что посторонние лица могли получить их имена, идентификационные номера, номера телефонов и сведения о местонахождении. В открытых источниках не указано, кто совершил атаку, как был получен первоначальный доступ, какая уязвимость была использована и каким техническим способом были извлечены данные. Поэтому в этой записи инцидент не приписывается какой-либо группировке, государству, семейству вредоносных программ или технике эксплуатации уязвимостей.

Подтверждённые категории данных, имена заявителей, идентификационные номера, номера мобильных телефонов и сведения о местонахождении или районе проживания. В совокупности эти поля позволяют установить личности людей, получающих гуманитарную помощь или регистрирующихся для её получения, и определить район, в котором они живут.

В заявлении WFP не уточнялось, содержала ли каждая запись, к которой был получен доступ, одинаковый набор полей и была ли скопирована каждая запись. Формулировка «примерно 600 000 домохозяйств» также не означает, что на каждого человека в каждом домохозяйстве существовала отдельная запись. Хотя категории данных подтверждены, число строк, число уникальных лиц и доля извлечённых данных по каждому полю не раскрыты. В этой записи данные показатели разграничены.

По сведениям WFP, опубликованным The New Humanitarian, речь идёт примерно о 600 000 палестинских домохозяйств в Газе. Домохозяйство может состоять из нескольких человек, а некоторые заявки могут быть оформлены через одно контактное лицо, представляющее семью. Организация не опубликовала поддающееся проверке общее число пострадавших людей или затронутых записей. Отсутствие этих данных не означает, что инцидент не имел последствий: оно означает, что открытые источники не позволяют достоверно установить общее количество.

Охват на уровне домохозяйств отдельно отражён в заголовке, описании и примечаниях к источникам. Если WFP позднее опубликует число людей или записей после удаления дубликатов, числовые поля можно будет обновить на основании этих новых сведений.

Утечка ограничивается приложением Self-Registration Application, которое, по сообщению WFP, использовалось только в Палестине. Организация заявила, что её платформа управления помощью SCOPE и другие системы WFP не были затронуты. Поэтому эту запись не следует трактовать как свидетельство компрометации глобальной базы данных получателей помощи WFP, записей в других странах или всей инфраструктуры организации.

В публичном заявлении не названы хостинг-провайдер SRA, программные компоненты приложения или участие каких-либо третьих сторон. Название приложения само по себе не позволяет возложить ответственность на конкретный облачный сервис или поставщика. Поскольку техническая первопричина и распределение ответственности не раскрыты, запись содержит только подтверждённые сведения о затронутом приложении, категориях данных и географическом охвате последствий.

WFP сообщила, что после инцидента временно отключила платформу SRA, локализовала утечку и усилила меры безопасности. Организация также начала расследование и предупредила затронутое сообщество через официальные каналы. Эти меры реагирования, о которых было сообщено публично, направлены на ограничение последствий инцидента. Они не означают, что в ходе расследования уже установлен злоумышленник или точный технический способ атаки.

Организация сообщила, что заявителям не нужно регистрироваться повторно и что продовольственная и денежная помощь продолжит предоставляться. Пользователей предупредили о людях, выдающих себя за представителей WFP, мошеннических сообщениях о помощи и ссылках, по которым запрашиваются персональные данные. Сочетание идентификационных данных, номеров телефонов и сведений о местонахождении может повысить риск целевого фишинга, социальной инженерии и мошенничества под видом оказания помощи, хотя о конкретных случаях неправомерного использования данных не сообщалось.

Сведения об инциденте не позволяют установить общее число уникальных лиц, общее число строк или количество людей в каждом домохозяйстве. Оценка чувствительности данных как критической отражает сочетание идентификационных данных и сведений о местонахождении, доступ к которым подтверждён, в контексте гуманитарной помощи.

Подтверждённый вывод состоит в том, что WFP сообщила о похищении имён, идентификационных номеров, номеров телефонов и сведений о районе проживания или местонахождении из её системы SRA, предназначенной для Палестины. Организация отключила приложение, локализовала инцидент и заявила, что другие системы WFP не пострадали. Неизвестными остаются личность злоумышленника, технический способ первоначального доступа, общее число уникальных лиц и набор затронутых полей в каждой записи. Эти неопределённости обозначают пределы подтверждённых сведений, не уменьшая серьёзности установленного инцидента.