Хакери викрали особисті дані інформаторів канадської системи анонімних повідомлень

Понад 1,5 млн повідомлень, надісланих до канадських відділень Crime Stoppers за останні 25 років, опинилися в масиві даних, викраденому внаслідок зламу, про який стало відомо в березні. Аналіз показав: щонайменше в половині цих звернень є персональна інформація — і для частини людей це стало неприємним сюрпризом і приводом серйозно хвилюватися за свою безпеку.

Житель Манітоби Ендрю Рівард розповів, що взимку 2025 року побачив оголошення Crime Stoppers про винагороду у дві тисячі доларів за інформацію. Він вирішив повідомити про нелегальний продаж сигарет у своєму районі — і в першому ж повідомленні вказав повне ім’я. Рівард каже, що зробив це тому, що вірив багаторічним обіцянкам організації: заявники залишаються анонімними.

«Мені казали, що нічого не станеться; ніхто не прийде до мене з… образою. Я просто сподівався, що все буде саме так — анонімно», — пояснює він. Тепер Рівард боїться, що у витеклих даних можуть бути і його домашня адреса, і телефон — а отже, теоретично ними можуть скористатися злочинці. «Це дуже страшно, якщо чесно», — додав він.

Як стверджується в розслідуванні, дані в березні викрала хактивістська група Internet Yiff Machine. У своєму маніфесті учасники заявили, що хотіли спростувати заяви P3 Global Intel — компанії, якій Crime Stoppers доручила систему прийому повідомлень, — про те, що платформа нібито «анонімна» та «безпечна».

Копія зламаного масиву потрапила до дослідників і журналістів завдяки американській некомерційній організації Distributed Denial of Secrets. Вона архівує та публікує витоки, якщо вважає їх суспільно значущими. Редакція підкреслює, що працювала з даними в захищеному середовищі, використовувала шифрування й обмежила доступ вузькому колу співробітників, а потім планує знищити свою копію набору.

За даними CBC News, у наборі вдалося виокремити 1,6 млн записів, пов’язаних із Канадою. Майже всі — 97,98% — були надіслані безпосередньо до канадських відділень Crime Stoppers. Ще близько 32 тисяч повідомлень (2,02%) надійшли до відділень у США та інших країнах, але містили «канадські» ознаки — назви міст, поштові індекси, телефонні коди або згадки держструктур.

Судячи з аналізу, у витоку виявилося понад 850 тисяч повідомлень із персональними ідентифікаторами. Йдеться про дані, які могли стосуватися не лише самих заявників, а й людей, яких вони згадували у своїх звинуваченнях, а також співробітників Crime Stoppers і поліції. Найчастіше траплялися адреси та номери телефонів; також у масиві є десятки тисяч особистих e-mail, номери автомобільних знаків і сотні банківських реквізитів, пов’язаних із виплатою винагород. При цьому редакція зазначає: за самими записами не завжди можна зрозуміти, кому саме належить та чи інша інформація — заявнику, потерпілому чи людині, яку підозрювали у злочині.

Окремо дослідники виокремлюють понад 4,3 тисячі повідомлень, де відправники прямо називали своє повне ім’я — хоча Crime Stoppers просить не зазначати відомості, за якими можна встановити особу. Це менше 1% від усіх записів за 25 років, і підтвердити справжність усіх імен неможливо. У деяких повідомленнях, як стверджується, трапляються примітки співробітників про те, що заявник «сам себе ідентифікував» або був «розкритий», але ці дані все одно залишалися в базі без редагування.

Професор Алі Дехгантанха, Canada Research Chair з кібербезпеки та розвідки загроз в Університеті Гуелфа, називає те, що сталося, провалом системи, яка від самого початку трималася на обіцянці анонімності. За його словами, особливо тривожно, що такі записи можуть опинитися «в руках не тих людей», а постраждалі можуть навіть не підозрювати про ризики й не отримувати підтримки.

Новости интереснее, когда есть с кем их обсудитьПознакомьтесь с русскоязычными людьми из Ванкувера и других городов Канады. Возможно, тот самый человек уже совсем рядом.Посмотреть, кто сейчас на сайте →

Бен Кун, директор з розвідки загроз американської компанії Unit 221B, підкреслює: іноді достатньо «одного імені або номера телефону в списку», щоб наслідки стали серйозними — від фінансового шахрайства та вимагання до схем із відмивання грошей.

Експерти також критикують сам принцип зберігання десятиліть звернень в одному місці та в системі, доступній для обробки. За їхніми словами, це суперечить базовим стандартам роботи з чутливими даними. І навіть якщо база перебуває у підрядника, відповідальність за аудит безпеки все одно залишається на організації, яка ці дані збирає.

Після того як поліція ознайомилася з ключовими висновками розслідування, Королівська канадська кінна поліція (RCMP) заявила: витік може «поставити під загрозу громадську безпеку, включно з безпекою заявників, людей, згаданих у повідомленнях, і поліцейських». У RCMP додали, що спочатку їх інформували: у витоку нібито немає канадських даних і персональної інформації. Потім, за словами поліції, у травні 2026 року Crime Stoppers повідомила, що канадські дані все ж зачеплені — але нібито без персональних відомостей відправників. Зараз RCMP працює з Канадською асоціацією Crime Stoppers, щоб зрозуміти реальний масштаб інциденту.

Канадська асоціація Crime Stoppers заявила, що якщо в витоку справді є відомості, які дозволяють розкрити особи людей, це «вкрай серйозна проблема». Організація підкреслює: безпека й анонімність — її «найвищий пріоритет». Також там повідомили, що продовжують контактувати з власником платформи — компанією Navigate360, щоб з’ясувати, які записи могли бути порушені, які персональні дані розкриті та які заходи безпеки були посилені.

При цьому асоціація окремо вказує на складність зі сповіщеннями: за наявними даними, стверджують там, неможливо надійно відрізнити відправників від людей, про яких писали в повідомленнях. А спроба масових сповіщень, на думку організації, може сама по собі створити додаткові ризики для анонімності та безпеки заявників.

Компанія Navigate360, якій належить платформа P3, не відповіла на запити щодо коментарів, зокрема про те, які дії вживалися після зламу, чи передавалися звіти до Crime Stoppers і чи продовжувався прийом повідомлень.

Поліція Торонто, яка використовує дані Toronto Crime Stoppers (із цього відділення, як зазначається, внаслідок витоку опинилося найбільше повідомлень), повідомила, що дізналася про злам ще в березні. При цьому, за словами поліції, їй не передавали інформації, яка вказувала б на компрометацію безпеки офіцерів, заявників або населення.

Ендрю Рівард упевнений: Crime Stoppers слід було говорити про те, що сталося, прямо й публічно. «Це могло бути ніяково, але визнайте це, просто скажіть суспільству, дайте людям знати — і тоді вони вирішать, довіряти вам далі чи ні», — каже він.