НБУ просят изменить механизм блокировки фишинговых доменов

08:00 04 июня 2023 года

Интернет-ассоциация Украины (ИнАУ) обратилась к Нацбанку Украины (НБУ) с просьбой инициировать изменение механизма блокировки фишинговых доменов. Открытое письмо ИнАУ направила на текущей неделе главе центробанка, в департамент безопасности, юридический департамент, департамент риск-менеджмента, офис правления Нацбанка и институциональные отношения.

Согласно тексту письма, в соответствии с распоряжением Национального центра оперативно-технического управления сетями телекоммуникаций от 30 января 2023 г. “О внедрении системы фильтрации фишинговых доменов” (№67/850) установлен централизованный механизм автоматической блокировки интернет-ресурсов “система фильтрации фишинговых доменов”. Согласно ему, НБУ создает и предоставляет Национальному координационному центру кибербезопасности (НКЦК) при СНБО список фишинговых доменов, которые он размещает на своем сервере.

После этого интернет-провайдеры настраивают свои DNS-серверы таким образом, чтобы они без ведома и согласия интернет-пользователей перенаправляли их запросы в домены из списка на страницу лендинга на сервере НКЦК. Предполагается, что на сервере НКЦК собирается и хранится подробная информация об интернет-пользователях, перенаправленных на сервер. В частности, в системе хранится техническая информация, содержащая дату и время, IP-адрес, с которого осуществляется переход, доменное имя или URL фишинговой страницы, на которую осуществляется переход, user-agent.

“Система имеет интерфейс для доступа к информации о переходах на лендинговую страницу. С целью анализа и соответствующего реагирования уполномоченным государственным органам предоставляется доступ к информации о переходах на лендинговую страницу”, — приведено выписка из указанного регламента в письме ИнАУ.

Следовательно, должностные лицам или сотрудники НКЦК осуществляют сбор, хранение, использование и распространение указанной информации, являющейся информацией о личности, поскольку раскрывает такие детали действий лица в сети интернет, как: какой домен намеревался посетить, дату и время попытки посещения, IP- адрес, с которого была сделана попытка посетить домен, считают в ассоциации.

Согласно заключению ИнАУ, это нарушает положения ряда статей законов “О защите информации в информационно-коммуникационных системах”, “Об электронных коммуникациях”, Конституции Украины. На этом основании сбор, хранение и распространение НКЦК информации предусмотренной 9 Регламента на основании распоряжения №67/850 является незаконным, убеждены в ИнАУ.

“В описанной ситуации кажется, что имеет место использование Национального банка Украины для придания определенной легитимности и приличия вышеописанной незаконной деятельности. Это может нанести серьезный вред безупречной репутации НБУ в Украине и во всем цивилизованном мире”, — констатируют в письме.

Чтобы избежать такой ситуации и при этом добиться начальной цели блокировки фишинговых доменов ИнАУ предлагает рассмотреть возможность применения другого механизма. Он предусматривает, что НБУ формирует и постоянно обновляет список фишинговых доменов (как и происходит), предоставляет интернет-провайдерам доступ к списку. В свою очередь интернет-провайдеры добровольно загружают этот список, имея при этом возможность прислать в НБУ аргументированный отказ от блокировки того или иного домена, что снижает вероятность ошибочной блокировки доменов, не фишинговых. В случае если интернет-пользователь пытается посетить один из доменов из списка, его перенаправляют на страницу лендинга, размещенную на серверах его провайдера, решающую проблему с конфиденциальностью, отмечается в тексте предложений.

“Уверены, что именно такой механизм, построенный на взаимодействии Национального банка Украины и украинской телекоммуникационной отрасли и уважении прав украинских интернет-пользователей, не только не повредит репутации НБУ, но и в очередной раз докажет ее высокий уровень”, — резюмируют в письме ИнАУ.

Ранее ассоциация просила парламентариев дать оценку законопроекту №9250 “О внесении изменений в закон Украины “Об электронных коммуникациях” (по противодействию фишингу) с учетом аргументов ИнАУ, объединяющего 220 предприятий отрасли информационно-коммуникационных технологий.