Утечка данных на сайте UK Visa Portal: в открытом доступе оказались 100 000 паспортов

Независимая площадка UK Visa Portal, не являющаяся официальным государственным сервисом Великобритании, допустила масштабную утечку конфиденциальных данных. В результате неверной конфигурации облачного хранилища в открытом доступе оказались около 100 000 документов пользователей, подававших заявки на получение виз и разрешений на въезд.

Природа уязвимости и масштаб экспозиции

Причиной инцидента стала оплошность при настройке безопасности облачного репозитория: данные хранились на сервере без какой-либо парольной защиты. Более того, структура директорий ресурса была спроектирована с использованием предсказуемых URL-адресов. Проще говоря, злоумышленникам даже не требовалась прямая ссылка на конкретный файл — адрес можно было вычислить путем простого перебора, что делало массив документов доступным для любого желающего.

В числе скомпрометированных данных оказались сканы заграничных паспортов (включая ФИО, даты рождения, гражданство, номера документов и сроки действия), а также верификационные фотографии (селфи) и сопутствующие документы. В распоряжении потенциальных атакующих оказались контактные номера телефонов, адреса электронной почты и данные о фактическом месте проживания заявителей. На практике это значит, что утекший объем информации представляет собой готовую базу для проведения целевого фишинга или кражи личности в финансовых целях.

Контекст инцидента и рекомендации для пользователей

Анализ ситуации показывает, что многие пользователи воспользовались ресурсом по ошибке, приняв его за официальный портал правительства Великобритании для оформления электронных разрешений на поездку (Electronic Travel Authorization). На текущий момент известно, что проблема оставалась нерешенной по состоянию на 26 мая 2026 года. Информации о том, направлены ли уведомления пострадавшим, пока недостаточно, хотя законодательство о защите персональных данных обязывает оператора уведомить субъектов о факте утечки.

Пользователям, которые могли взаимодействовать с этим сайтом, рекомендуется усилить контроль за состоянием своих банковских счетов и кредитных историй. В качестве превентивной меры безопасности настоятельно рекомендуется активировать многофакторную аутентификацию (MFA) и, по возможности, использовать аппаратные ключи или Passkeys для защиты всех критически важных учетных записей.