«Госуслуги» хотят превратить в соцсеть — и это может открыть мошенникам новый канал для атак
Что произошло
На базе «Госуслуг» планируют добавить функции, характерные для социальных сетей: семейные чаты, сообщества, новостную ленту, приглашения на мероприятия и систему достижений с подарками от партнёров.
При этом в одном аккаунте уже сосредоточено большое количество чувствительных данных пользователя — документы, налоги, сведения о недвижимости, пособиях и другие государственные сервисы.
Какие последствия
Появление встроенных чатов и личных сообщений потенциально создаёт для мошенников новый канал коммуникации внутри сервиса, которому пользователи привыкли доверять.
Если злоумышленник получит доступ к чужому аккаунту, он сможет использовать его не только для доступа к данным, но и для рассылки сообщений контактам и участия в чатах.
Особенно опасным может стать сценарий, при котором мошенник выдаёт себя за представителя государства и просит сообщить код подтверждения прямо внутри «Госуслуг». Пользователь может решить, что раз сообщение пришло через официальный сервис, то и отправитель является официальным.
Почему это важно
Главная проблема здесь — не сами чаты или новостная лента, а уровень доверия к площадке.
«Госуслуги» для многих пользователей ассоциируются с официальными уведомлениями государства. Если внутри такого же интерфейса появится возможность общаться с другими людьми, граница между «сообщением от государства» и «сообщением от обычного пользователя» может стать менее очевидной.
В случае компрометации аккаунта это создаёт потенциально опасную цепочку: взломанный профиль используется для обмана родственников, коллег и участников локальных сообществ, а затем украденные данные помогают атаковать следующих жертв.
Поэтому при любой такой архитектуре критически важны понятные обозначения отправителей, жёсткое разделение государственных уведомлений и пользовательских сообщений, а также дополнительные предупреждения перед передачей кодов авторизации.
