• Наши интервью показывают, что подавляющее большинство опрошенных отрицают, что передавали свои контактные данные в Smart Africa, или даже отрицают, что знают эту организацию.
  • Владение Smart Africa массовым списком рассылки вызывает серьёзные вопросы.

Что произошло: ошибка массовой e-mail-рассылки раскрыла список чувствительных контактов

Специальное расследование BTW Media показало, что большинствоадресов e-mail, раскрытых Smart Africaпри неаккуратной рассылке в прошлом месяце, были получены без согласия их владельцев.

Smart Africa разослала приглашение под названием «Online Consultation Session on AFRINIC Elections & CAIGA Framework», поместив получателей в поле «Кому» (To), а не в скрытую копию (Bcc), и тем самым открыла большое число связанных с AFRINIC адресов электронной почты всем остальным получателям. Независимые публикации сообщают, что письмо отправил руководитель проекта Smart Africa, и описывают масштаб как тысячи адресов, что превращает инцидент из простой ошибки этикета в значительную утечку данных.

Что показывают наши интервью: большинство получателей отвергают саму мысль о согласии

BTW Media связалась с многочисленными членами ресурсов AFRINIC и сетевыми операторами, чьи адреса оказались раскрыты. Подавляющее большинство заявило, что никогда не передавало свои адреса электронной почты в Smart Africa, а во многих случаях — что понятия не имеет, что это за организация. Типичные ответы: «Определённо нет»; «Нет, мы этого не делали»; «Я никогда не передавал свои контактные данные и не давал согласия»; «Нет, я не делился своим e-mail и не знаю их». Несколько опрошенных прямо просят больше с ними не связываться.

Меньшинство признаёт, что их адреса могут быть найдены в других местах — например, когда инженер соглашается быть указанным как технический контакт для ASN или IP-ресурса, — но подчёркивает, что технические записи WHOIS не являются общим согласием на массовые рассылки, не связанные с реагированием на инцидент.

Читайте также:Smart Africa раскрыла тысячи адресов электронной почты членов AFRINIC

Почему объяснения Smart Africa недостаточно: публичные и непубличные данные

В открытом доступе есть два источника контактных данных, связанных с AFRINIC, и ни один из них не объясняет, почему у Smart Africa оказался сводный список рассылки:

  • Страницы членов AFRINIC перечисляют организации и физические адреса в целях прозрачности, но не содержат загружаемого или доступного для поиска сборника адресов электронной почты членов.
  • WHOIS AFRINIC — это официальный публичный реестр для интернет-операций (злоупотребления, маршрутизация, координация инцидентов), открытый для всех; это не маркетинговая база данных. AFRINIC дополнительно указывает, что массовые данные WHOIS предназначены для операционных или исследовательских целей.

Между тем письмо Smart Africa с видимыми получателями, судя по всему, было адресовано широкой группе членов, а не конкретным контактам ресурсов по операционному инциденту. Это несоответствие между назначением данных и их использованием — в центре критики опрошенных.

Читайте также:Почему спор вокруг AFRINIC выходит за рамки IP-адресов — речь о свободе

Профиль риска: срабатывание требований безопасности и закона

Раскрытые адреса, связанные с реестром, привлекают фишеров, которые могут выдавать себя за AFRINIC или провайдеров, чтобы собирать учётные данные, инициировать мошеннические изменения ресурсов или требовать платежи. Юридические риски тоже существенны: маврикийский Закон о защите данных 2017 года (Data Protection Act 2017) требует, чтобы оператор уведомил Комиссара об утечке персональных данных в течение 72 часов с момента, когда ему стало известно о нарушении, а при высоком риске — информировать затронутых лиц.

Если список получен от AFRINIC или подрядчика AFRINIC, возникают вопросы о ролях оператора и обработчика данных и о правовом основании разглашения; если Smart Africa собрала список из разных источников, она всё равно должна показать законное основание для обработки.

Растущая роль Smart Africa — и почему к ней применимы более высокие стандарты

Smart Africa позиционирует себя как консультационную платформу цифровой трансформации Африки и недавно опубликовала скоординированный континентальный ответ на кризис управления в AFRINIC. Эта претензия на роль в управлении повышает ожидания в отношении работы с данными: организация, стремящаяся влиять на результаты управления интернетом, должна соблюдать минимальные стандарты гигиены конфиденциальности и безопасности, включая строгий контроль доступа к спискам, реестры явного согласия (opt-in) и использование скрытой копии (Bcc) по умолчанию для любой внешней рассылки.

Читайте также:Секретный «Комитет по реформам» AFRINIC вызывает новые опасения по поводу управления интернетом в Африке

На какие вопросы Smart Africa должна ответить сейчас

  • Происхождение списка: откуда Smart Africa получила список рассылки, похожий на список членов, которого нет в открытом доступе на сайте AFRINIC? Если он получен от источника внутри AFRINIC, каково правовое основание и какие соглашения регулируют передачу? Если список собран из внешних источников, каково основание обработки и как соблюдается ограничение целей?
  • Реагирование на утечку: кто является оператором этого набора данных и должны ли были быть направлены уведомления в течение 72 часов? Предупреждены ли затронутые лица о фишинге (с рекомендациями по DMARC/DKIM/SPF) и предоставлен ли им контакт для устранения последствий?

Контекст для читателей: что делает WHOIS — а чего не делает

Чтобы понять нюанс, о котором говорят наши источники, полезно напомнить: IANA распределяет диапазоны номеров AS по региональным реестрам, и каждый RIR публикует WHOIS, чтобы инженеры могли быстро связаться с нужными людьми. В регионе AFRINIC такая прозрачность необходима для стабильности маршрутизации, но она не является карт-бланшем на масштабную политическую или стратегическую мобилизацию без согласия.

Выводы из интервью

Главный посыл тех, с кем мы связались, прост: они не давали согласия Smart Africa и не знают, как их адреса оказались в списке. Smart Africa должна предоставить проверяемое объяснение происхождения списка и доказать соответствие требованиям о защите данных; критика со стороны сообщества AFRINIC одновременно разумна и обоснованна.