Ўғирланган маълумотлар: улар 15 млн эмас, 60 минглиги айтилди

Дастлабки маълумотларга кўра, киберхужум туфайли 15 млн ўзбекистонликларга тегишли маълумотлар бўлиши мумкинлиги айтилган эди.

Ниҳоят орадан 10 кун ўтгандан сўнг Рақамли технологиялар вазири Шерзод Шерматов расмий баёнот билан чиқиб, рақамларни очиқлади. Унинг маълум қилишича, 2026 йилнинг 27–30 январ кунлари 3 та давлат идорасининг ахборот тизимларига киберхужум уюштирилган. Илк натижаларга кўра, 15 млн эмас, балки 60 мингга яқин фуқаролар маълумотлари тарқалгани аниқланган.

«Биринчи навбатда, ҳали 15 миллион нафар фуқаронинг ҳаммасининг маълумоти интернетда чиқиб кетди, ҳаммаси сотиляпти деган нарса ҳақиқатга тўғри келмайди. Агар бўлса, сотиб олинглар-да, мана кўрсатинглар. Иккинчидан, албатта, ҳужум бўлган. Яхши ҳакер, кучли хакер бўлган. Ҳаракатини қилган, қайсидир тизимга кирган ҳам. Яхши нарса бу — баҳонада бошқа тизимларни ҳам ўрганишга, яна шу нарсага сергакликни ортишига ёрдам беради. Қанчадир миқдордаги қайсидир тизимлардан қанақадир маълумотлар ҳам чиққан», — деб муносабат билдирмоқда Шерзод Шерматов.

Вазирлик киберхужумни бартараф қилиш учун тезкорлик билан ахборот инфратузилмаларига келгусидаги рухсатсиз киришларга чек қўйилганини қайд этди. Ягона идентификация тизими (OneID) фойдаланувчиларининг тизимга кириш пароллари янгиланиб, техник ҳимоя қурилмаларида ҳимоя воситалари кучайтирилди.

Шунингдек, OneIDʼда қўшимча хавфсизлик чоралари кўрилиб, шахсий маълумотларни эгасининг розилиги асосида бошқа тизимларга тақдим этиш ёки чеклаш имконияти яратилди.

Вазирликка кўра, киберхавфсизлик узели орқали 2024 йилда 7 млндан ортиқ таҳдид бартараф этилган бўлса, 2025 йилда бу кўрсаткич 107 млндан ошган.

Расмийлар қандай изоҳ берган эди?

Ҳолат юзасидан 3 феврал куни Киберхавфсизлик маркази эҳтимолий сизиб чиқиш ҳолатига изоҳ бериб, ўрганишлар олиб борилаётганини маълум қилган эди. Ўз навбатида, марказ фуқаролардан шахсий маълумотларини бошқаларга ошкор этмасликларини сўради.

«Давлат ва бошқа электрон ахборот тизимларига киришда мураккаб логин ва пароллардан фойдаланинг. Шунингдек, шубҳали ҳаволалар орқали ўз маълумотларингизни киритишдан сақланишингизни сўраймиз», — дейилади хабарда.

Миллий статистика қўмитаси матбуот котиби Усмон Абдурасуловнинг Vaqt.uzʼга маълум қилишича, хакерлар census.stat.uz сайтидан маълумотларни олиб чиқиб кетолмаган.

«Бизнинг базада аҳоли вакилларининг расмлари кўринмайди. Сўровномада ҳам ҳеч кимдан фотосурат талаб қилинмаган. Дастлабки ўрганишларга кўра, ҳеч қандай маълумотлар статистика қўмитасининг платформасидан олиб чиқилмаган. Бу бўйича тўлиқ расмий муносабатни яқин орада эълон қиламиз», — деди Усмон Абдурасулов.

Шунингдек, Марказий банк ҳам ҳолатга изоҳ берган. Айтилишича, ҳозирги вақтга қадар мамлакат ҳудудида фаолият юритаётган тижорат банклари, тўлов ташкилотлари ҳамда тўлов тизими операторларининг ахборот тизимларига нисбатан бундай киберхужум содир этилгани тасдиқланмаган. Ахборот тизимлари режали тарзда мониторинг қилинаётгани ва вазият тўлиқ назорат остида экани таъкидланди.

Бундан ташқари, 3 феврал куни Ижтимоий ҳимоя миллий агентлиги, Ички ишлар вазирлиги ва Солиқ қўмитаси  расмий баёнот билан чиқиб, маълумотлар тўлиқ хавфсизлиги таъминланганини маълум қилди.

5 феврал куни эса «Adolat» партияси Ўзбекистон фуқароларининг шахсий маълумотлари «Darknet» ва бошқа очиқ ресурсларга сизиб чиққанидан сўнг Рақамли технологиялар вазири, Ички ишлар вазири ва Миллий статистика қўмитаси раисига депутатлик сўрови юборди.

Рақамли технологиялар вазири Ш.Шерматовдан ҳолат тасдиқланган ёки йўқлиги, шахсий маълумотлар қай даражада ҳимоялангани ҳамда «OAuth» сервери ва «my.gov.uz» порталида бундай ҳолат такрорланмаслиги учун қандай чоралар кўрилаётгани ҳақида изоҳ сўралди.

Ички ишлар вазири А.Тошпўлатовдан кибержиноят юзасидан қандай тезкор ишлар олиб борилаётгани, айбдорларни аниқлаш ва шахсий маълумотлар тарқалишининг олдини олиш бўйича чоралар ҳақида маълумот талаб қилинди.

Шунингдек, Миллий статистика қўмитаси раиси Б.Ҳамраевдан рўйхатга олиш жараёнида йиғилган маълумотлар қандай сақланаётгани ва «Шахсга доир маълумотлар тўғрисида»ги қонун талабларига қай даражада амал қилинаётгани бўйича тушунтириш сўралди.

Маълумот учун, бу жараёнлар фонида OneID идентификацион тизимида шахсий маълумотларни узатишни чеклаш имконияти пайдо бўлди, яъни бунда шахсий маълумотларга кириш учун жавобгарлик фойдаланувчи зиммасига юкланди. Шунингдек, фойдаланувчилар ўз хоҳишига кўра бошқа ташкилотларга кириш ҳуқуқини беришлари мумкин.

Ҳужум қандай содир бўлган?

Spotʼга кўра, C7 Cybersecurity мутахассислари хакер эълон қилган маълумотларга таянган ҳолда эҳтимолий ҳужум сценарийсини тиклади. Унга кўра, хакер 2021 йил декабрида аниқланган Log4Shell заифлигидан фойдаланиб, тизимга дастлабки киришни қўлга киритган. Ушбу заифлик махсус тайёрланган сўровни юбориш орқали серверга масофадан туриб кириш ва унда зарарли дастурларни ишга тушириш имконини беради. Натижада сервер зарарли кодни тизим эгаларига билдирмасдан ўзи юклайди ва бажаради.

Айниқса, корпоратив ва давлат ахборот тизимларида кенг қўлланиладиган Java иловалари, шу жумладан WebLogic асосида ишлайдиган тизимлар заиф бўлиб чиққан.

Ўзбекистонда sso.egov.uz — рақамли ҳукумат сервери кўплаб давлат ва тижорат тизимлари учун идентификациянинг марказий провайдери ҳисобланади.

Бундай сервернинг хавфга учраши классик «таъминот занжири ҳужуми»ни ифодалайди, яъни ушбу OAuth провайдерига ишонч билдирган барча тизимлар автоматик тарзда заиф ҳолатга тушиб қолади. Марказий аутентификация серверини назорат қилиш имконияти қўлга киритилганда, ҳар бир тизимни алоҳида бузишга ҳожат қолмай, уланган барча тизимларга ҳақиқий кириш токенларини автоматик равишда яратиш имконияти пайдо бўлади.

Шунингдек, жиноятчи 15 млндан ортиқ ёзувдан иборат маълумотлар базасини сотувга қўйганини даъво қилиб, бунинг исботи сифатида 9 та файл тақдим этди. C7 Cybersecurity текширувига кўра, намуна сифатида берилган 5522 та ёзув ҳамда айрим давлат тизимларига оид маълумотлар (ИИБ фотосуратлари, Ижтимоий ҳимоя миллий агентлиги ва Ипотекани қайта молиялаштириш компанияси ёзувлари) тасдиқланган. Сизиб чиққан маълумотлар орасида ЖШШИР, Ф.И.О., туғилган сана, телефон рақами ва паспорт маълумотлари бор.

«Агар шахсий маълумотлар ҳимоясида очиқлик бўлмаса, давлатга қандай ишонамиз?» — Отабек Бакиров

«Аввал иқтисод…» дастурида иқтисодчи Отабек Бакиров мазкур ҳолат юзасидан расмийларнинг позициясини кескин танқид қилди. Унинг таъкидлашича, киберхужум ҳақидаги хабарлар тарқалганидан бери жамоатчиликка аниқ ва тушунарли изоҳ берилмади, зарар кўлами ва қайси базаларга путур етгани очиқ айтилмаяпти.

«Биз ҳали бу тўғрисида расмийлардан узил-кесил ва кенг жамоатчилик тушунадиган даражада яққол тафсилот олганимиз йўқ. Қайси базаларимизга шикаст етган, қайси базаларимиздан ахборот ўғирланган — билмаймиз», — деди Бакиров.

Унинг фикрича, 38 миллион аҳолига дахлдор бўлиши мумкин бўлган шахсий маълумотлар масаласи оддий тинчлантирувчи баёнотлар билан чекланмаслиги керак. Бундай вазиятда мустақил махсус комиссия тузилиб, очиқ ва холис текширув ўтказилиши зарур эди. Шунингдек, аҳолини тезкор огоҳлантириш — паролларни зудлик билан алмаштириш, шахсий маълумотларни ҳимоя қилиш чораларини кучайтириш бўйича аниқ тавсиялар берилиши шарт эди.

«Фуқаролар учун ишонч ниҳоятда муҳим. Агар шахсий маълумотлар ҳимояси масаласида очиқлик бўлмаса, қандай қилиб давлат органларига ўз маълумотларимизни ишонамиз?» — дея савол қўйди у.

Бакировнинг қайд этишича, «ҳаммаси жойида» мазмунидаги баёнотлар вазиятни юмшатмайди, аксинча, ишончсизликни кучайтиради. Электрон ҳукумат ва онлайн хизматлар кенгайиб бораётган бир пайтда ахборот хавфсизлиги бўйича қатъий ва масъулиятли ёндашув намойиш этилиши зарур.

Шахсий маълумотлар тарқалгани билан боғлиқ хабарлар 2 феврал куни тарқалди. Шу пайтда 15 млндан ортиқ ўзбекистонликларнинг ахборотлари сиздирилгани айтилди, аммо бунинг кўлами, мавжуд ҳолат ёки огоҳлантириш, шунингдек фуқаролар қандай йўл тутиши кераклиги ҳақида аниқ кўрсатма билан расмий муносабат билдирилмади. Орадан қарийб 10 кун вақт ўтиб, яъни 12 февралда ниҳоят матбуот анжуманида маълумотлар очиқланди.

«Darknetʼда 15 миллион фуқаронинг шахсий маълумоти сотиляпти деган хабар чиқди. 15 млн уникал одамнинг маълумоти сотувда йўқ. Агар бўлса, топинглар. 15 миллион катта рақам, паспорт олган аҳолимизнинг ярмидан кўпроғи дегани бу. Унақа маълумот йўқ», — деди Рақамли ахборот технологиялари вазирлиги вазири Шерматов.

Шу ўринда, вазирлик «ҳечдан кўра кеч» тамойилига амал қилиб, шахсий маълумот сизиб чиқишига тушунча бериб, аҳоли учун кибергигиенага оид кўрсатмалар ҳам тақдим қилган.

Умуман олганда, масала 15 миллион ёки 60 минг рақамида эмас — масала бошқарув ва ишончда. 60 мингта маълумот сизиб чиқиши ҳам кичик рақам эмас. Энг катта савол эса воқеанинг илк кунларидаги сукут ва ноаниқлик билан боғлиқ бўлиб қолмоқда.

Ахборот хавфсизлиги бўйича ҳар қандай таҳдид тезкор, очиқ ва масъулиятли изоҳни талаб қилади. Фуқаролар «ҳаммаси назоратда» деган умумий баёнот эмас, аниқ жавоб кутади: нима бўлди, ким жавобгар ва бу яна такрорланмаслиги учун қандай реал чоралар кўрилди? Фуқароларга ўз маълумотлари тақдири ҳақида тушунарли ва асосли жавоб керак.