Как SMM Газпрома устроили добровольный «слив» данных клиентов

Будет 7 фото, как закончу сообщу.

В порыве ностальгии листая письма с далёкой родины я нашёл в почтовом ящике письмо о розыгрыше. Обычно такие письма лежат в папке Спам, но оно почему-то пробилось сквозь фильтры.

Очень странные дела - подумал я, и в голове зазвучала соответствующая музыка. Открыл, проверил, SPF прошло, домен верный.

domain of peterburgregiongaz.ru designates 93.153.188.227 as permitted sender
А я думал, что нигерийские спамеры решили меня разыграть. Оказалось, что не нигерийские. Полез читать письмо. У меня конечно за сотню лет вперёд уплочено, но десять тысяч то не лишние. Это почти 1,5 месяца отопления по нынешним ценам.
В письме оказалась потрясающая информация в стиле ранних конкурсов начала века:
- Подпишись на нас ВКонтакте
- Оставь в комментариях номер лицевого счёта
Ну и мотивирующее, ради чего весь этот конкурс затевался - не имей задолженностей и пользуйся личным кабинетом.

Я чо, лох что ли? Не, я тоже хочу ДЕСЯТЬ ТЫСЯЧ РУБЛЕЙ подумал я и кликнул на обе ссылки. По первой я попал в свой личный кабинет «Мой газ», по второй - в вольер, полный шерстистых предков слонов.

На момент моего визита поголовье насчитывало почти 2000 особей и стремительно продолжало расти, каждые две минуты появлялся очередной человек пренебрегающий цифровой гигиеной, безопасностью персональных данных, просто здравым смыслом и выкладывал на всеобщее обозрение ключ к своему местоположению.
Это блин круче, чем пробить адрес по IP. Раньше приходилось смотреть с какого провайдера пришёл человек, рыться в логах модемных пулов, сопостовлять телефонный номер с адресной книгой. А сейчас люди добровольно внесли свои данные в цифровую БД и дают ключ от неё на всеобщее обозрение из‑под своих имени и фамилии. Не очень понятно зачем у них тогда «закрытые профили» в данной соц.сети.

Я, конечно же, не бездействовал. Я сразу капу нажал. Сообщил данному сообществу «Газпром межрегионгаз Санкт‑Петербург» о том, что у них кое‑что в безопасности.

А теперь посмотрим — как всё это работает.

Сначала нам понадобится войти в свой личный кабинет, если вы нигерийский мошенник — ничего страшного, на смородина.онлайн для создания личного кабинета нужен только ящик электронной почты, без всяких автори заций черех Макс, Госуслуги или OnlyFans. Вводите код полученный на почтовый адрес в Зимбабве и через пару секунд вы уже в личном кабинете. Там висит увлекательная табличка — у вас нет подключенных счетов.
Но... у нас же есть стадо северных оленей с номерами. Конечно есть заминка — кроме номера счёта нужно указать ещё и поставщика услуг. Там достаточно обширный список, от Анадыря до Якутска, но путём длительного перебора вариантов нам удаётся узнать, что в группе Газпром межрегионгаз Санкт-Петербург внезапно люди публикуют номера личных счетов поставщика услуг... ни за что не догадаетесь: Межрегионгаз Санкт-Петербург
Та-даааа-м! В совершенно пустом кабинете, зарегистрированным на левый емейл, мы видим заветную табличку - Лицевой счёт №********** успешно подключён.

Компания Газпром таким образом, без верификации, без проверки личности, без снятия ректальных слепков — даёт нам доступ к полному домашнему адресу пользователя ВКонтакте который повёлся на их «розыгрыш», всякие мелочи типа марки его прибора учёта (взлом по токовой петле всё ещё актуален?), ну и конечно же... Конечно же... КОНЕЧНО ЖЕ... ...твою лучшую подругу! © сами знаете кто.

Конечно же банковские данные о транзакциях, типе карты, электронном ящике пользователя.

Я бы понял, если бы это был розыгрыш от студии по педикюру в подвале хрущёвки на окраине Саратова. Приложите номер карты клиента и мы сделаем вам массаж пятки бесплатно при следующем визите.

Я понимаю, розыгрыши от госкорпораций, которые нанимают аутсорсеров для проведения пиаракций в странах третьего мира с ценными призами среди аборигенов (показать вам мою коллекцию ништяков? В комментах позже выложу.)

Но тут? Государственная компания, казалось бы у них есть своя СБ которая должна проверять деятельность пиарщиков, качество защиты данных в цифровых сервисах.
Или у них такого нету и всё торчит наружу?
А, да... действительно.
Торчит.

NB! Данный пост является информационным, опубликован с целью показать IT-сообществу как несогласованные действия SMM-специалистов могут отразиться на безопасности проектов в целом. Помните, что незаконный сбор персональных данных карается в большинстве стран мира.

Upd: Что ж, кто-то из Газпрома читает Хабр. 5 минут назад (на вторые сутки после публикации) пришло письмо с напоминанием о конкурсе, но с новыми правилами участия. Теперь надо просто написать слово "МИЛЛИОН" в обращениях к поставщику. Комментарии к многострадальной записи они закрыли и стерли.

За веселую тему спасибо камраду Palladin

Это сообщение отредактировал VampirBFW - 25.11.2025 - 14:50

Лох не мамонт

Размещено через приложение ЯПлакалъ

Блин, а я думал что это ты расследование провел. Испугался, что ты такой умный, что все раскопал, кто и где живет и чем дышит.
А, нет. Все нормально ты не такой умный, как я подумал сразу.

Размещено через приложение ЯПлакалъ

на слив и подобные схемы им похуй
зато не похуй, когда проебёшь оплатить за период, приедут и трубу отрежут

Мне просто такое письмо не приходило. а то что у Газпроме личный кабинет а треш с ушами я и так знаю, потому я потребовал его закрыть.

Ну вообще то за такое уже ввели оборотные штрафы.

Вот интересно, это как-то связано с тем, что меня сегодня выкинуло из приложения "мой газ" и я теперь там залогиниться не могу?
Звонил в колл-центр Петербергского Межрегионгаза - не дозвонился пока

А это ты из питера, последняя оплата была на 1560 рублей? Если чо это не я.

тут что? Хабр тебе что-ли? Какое к ебеням IT- сообщество - тут все диванные ехперты

Энто, вы лк энергосбыта посмотрите, там тоже достаточно номер ЛС знать и последние показания, а вместе с дополнительным счетом к тебе цепляются способы оплаты этого счета, причем распространяются на весь лк. Чисто теоретически, если у кого оплата без подтверждения можно с вашей карточки оплатить например какую-нибудь контору, а потом эту контору выебсти.

Уж простите я не умею воровать, я умею делать гадости)))

на "Мой глаз" попробуй зайди

Я знаю где ты живёшь . В дупле . Теперь летай и оглядывайся .

Эй алее гарадж, яэ типа энто айтишнег там, какой то.

блэд, чо сразу Саратов то? (

мне тут на неделе электрики забанили личный кабинет, видите ли почта для квитанций должна быть с российским доменом, всякие gmail, yahoo не катят...им подавай яндекс, майл ру. А тут я гляжу у газовщиков ещё gmail срабатывает

А потом к ТСу вломились "маски шоу" за слив персональных данных и взлом корпоративной почты!

Стрелочник найден! ))

Ва у себя пашкета завели? СТРАДАЙТЕ!

Мопед не мой, я только разместил обьяву.

У них там норма уже введена.
Всё, что сверх по 100500 будет?