Паспортные данные участников электронного голосования по поправкам к Конституции попали в открытый доступ

Паспортные данные жителей Московской и Нижегородской областей, которые приняли участие в электронном голосовании по поправкам к Конституции, находились практически в открытом доступе.

При этом часть паспортов избирателей не прошла проверку на действительность через открытый сервис МВД. Об этом говорится в расследовании «Медузы».
Напомним, возможность электронного голосования по поправкам была доступна жителям только этих двух регионов, а всего, по официальным данным, в электронном голосовании приняли участие свыше 1,1 млн человек. Проголосовать при помощи электронного бюллетеня избиратели могли с 25 по 30 июня, а те, кто по каким-либо причинам не воспользовался этой возможностью, могли прийти на свой избирательный участок 1 июля и проголосовать обычным образом. В последнем случае избирательные комиссии должны были предварительно убедиться, что такой избиратель действительно не проголосовал через интернет.
Для проведения таких проверок избиркомы 20 июня получили инструкцию по проверке интернет-избирателей. Она предусматривала возможность проверки при помощи отправки SMS-сообщения с номером паспорта избирателя на специальный номер, звонка в колл-центр или же отдельной программы, ссылка на скачивание которой содержалась в инструкции.
Как говорится в публикации, помимо ссылки на архив с программой инструкция содержала пароль от него, а ссылкой на скачивание архива какое-то время мог воспользоваться любой желающий. При этом журналисты выяснили, что иметь пароль от архива было необязательно — программа под названием John the Ripper позволила подобрать его за два дня.
Архив содержал исполняемый файл degvoter.exe, позволяющий проверить факт участия избирателя в электронном голосовании по серии и номеру паспорта. Сведения о паспортах интернет-избирателей с пометками о голосовании находились в базе данных, не защищенной паролем. Хотя серии и номера паспортов в базе были зашифрованы при помощи алгоритма SHA-256, их удалось восстановить с помощью все той же программы John the Ripper, и в итоге журналисты получили базу, насчитывающую 1 196 720 записей с паспортными данными (именно столько человек, по данным властей, зарегистрировалось на электронное голосование). Отметим, что данные интернет-избирателей попали в открытый доступ и в прошлом году, когда эксперимент с электронным голосованием провели в Москве на выборах в Мосгордуму.

Часть паспортов интернет-избирателей оказалась недействительной

Изучение базы позволило разделить паспорта по регионам и годам выдачи (эти сведения обычно содержатся в серии паспорта, где первые две цифры обозначают регион, а последние две — год). Так, 921 176 паспортов имеют код Москвы (45), а 135 723 — Нижегородской области (22). Прочие паспорта были выданы в других регионах.
Судя по меткам из базы данных, интернет-избирателям было выдано 1 107 594 электронных бюллетеня (некоторые избиратели не участвовали в голосовании), что оказалось немного меньше официального числа выданных бюллетеней (1 107 648). Кроме того, журналисты обнаружили 97 паспортов, которые оказались записаны в базе данных дважды. В шести случаях в обеих записях стоит отметка, что избиратель не участвовал в интернет-голосовании. Для остальных паспортов одна отметка утверждает, что избиратель уже проголосовал дистанционно, другая — что нет. При этом проверка через degvoter.exe по этим паспортам выдавала отметку, которая была сделана раньше: в 25 из 91 случая программа утверждала, что избиратель с таким паспортом еще не голосовал, хотя вторая отметка утверждала обратное.
Наконец, авторы расследования решили проверить паспорта на действительность через открытый сервис МВД, позволяющий скачать всю базу недействительных паспортов (периодически обновляется). Проверка паспортов интернет-избирателей по базе, созданной 22 мая, выявила 2347 недействительных паспортов, а по базе от 3 июля (создана после голосования) — 4720. При этом 209 паспортов интернет-избирателей, которые считались недействительными 22 мая, к 3 июля исчезли из базы МВД. Также журналисты выяснили, что в голосовании приняли участие владельцы 2060 из 2347 недействительных паспортов из первой проверки или 4233 из 4720 паспортов из второй проверки. Убедиться в этом может любой желающий: журналисты «Медузы» выложили номера недействительных паспортов из базы избирателей в открытый доступ.
Позднее расследование «Медузы» прокомментировал начальник Управления по совершенствованию территориального управления и развитию смарт-проектов Правительства Москвы Артем Костырко.
«Файлы, которые отправлялись на УИКи — это реестр номеров паспортов. Без ФИО и даты рождения. Серия и номер паспорта без наличия других данных не позволяет однозначно идентифицировать человека — это просто цифры, оторванные от людей. Восстановить по этой базе целиком реестр избирателей невозможно, потому что реестр избирателей — это люди, персональные данные и прочее. А в приложении, которое было создано для членов УИКов для проверки статуса избирателя, содержались лишь серия и номер паспорта. И на этом все», — заявил Костырко «Эху Москвы».
В публикации на сайте радиостанции Костырко добавил, что сервисом МВД нельзя руководствоваться как истиной в последней инстанции. «Истиной в последней инстанции является система межведомственного электронного взаимодействия — сокращенно СМЭВ. Именно с ней сверяли данные паспортов в ЦИКе и в Минкомсвязи», — написал он.