Сайт Росреестра (rosreestr.gov.ru) — один из самых посещаемых государственных ресурсов России. Через него граждане заказывают выписки из ЕГРН, проверяют кадастровые данные и оформляют сделки с недвижимостью. Однако в последние годы вокруг портала регулярно возникают вопросы, связанные с безопасностью. Разберём основные причины, по которым пользователи и эксперты считают сайт уязвимым.

Предупреждения браузеров о «небезопасном соединении»

Наиболее массовая проблема возникла после перехода портала на российские сертификаты безопасности. Эти сертификаты по умолчанию не встроены в популярные зарубежные браузеры (Chrome, Firefox, Safari), поэтому при попытке открыть сайт пользователь видит сообщение:

• «Соединение не установлено: вероятная угроза безопасности»;
• «Подключение не защищено»;
• «Сертификат выдан центром, которому браузер не доверяет».

Формально это не означает, что сайт взломан — просто браузер не может проверить подлинность сертификата. Однако для обычного пользователя такое предупреждение выглядит как признак опасности. Чтобы зайти на портал, приходится вручную устанавливать сертификаты Минцифры через сайт Госуслуг или использовать браузеры с поддержкой ГОСТ-шифрования (например, «Яндекс Браузер»).

Уязвимости в мобильном приложении

В 2023 году исследователи обнаружили серьёзную уязвимость в мобильном приложении Росреестра. По сообщениям, она позволяла без аутентификации и авторизации, зная только кадастровый номер объекта, получить персональные данные владельца недвижимости: ФИО (например, Иванов И. И., Ив* И. И.), паспортные данные (серия 45 № *456) и другую информацию.

Это классический пример уязвимости типа IDOR (Insecure Direct Object Reference) — небезопасного прямого доступа к объектам, когда система не проверяет, имеет ли запрашивающий право на просмотр данных. Росреестр тогда не подтвердил наличие уязвимости, однако инцидент вызвал широкий резонанс.

Риски фишинга и поддельных сайтов

Предупреждения браузеров создают ещё одну проблему: пользователи привыкают игнорировать сообщения о небезопасности. Этим пользуются мошенники, создавая фишинговые копии портала с похожими адресами (например, rosreestr-.ru или rosreestr..com). Жертва вводит данные карты или паспорта, полагая, что находится на официальном ресурсе.

Признаки поддельного сайта:

• адрес отличается от официального rosreestr.gov.ru;
• сайт просит оплатить услуги, которые на официальном портале бесплатны;
• требуется ввести полные данные карты, включая CVV ();
• контактный телефон поддержки не совпадает с официальным (8-800—).

Типовые уязвимости веб-ресурсов

Как и любой крупный портал, сайт Росреестра потенциально подвержен распространённым типам атак:

1. XSS (межсайтовый скриптинг) — внедрение вредоносного кода в страницы сайта;
2. CSRF — выполнение действий от имени авторизованного пользователя без его ведома;
3. RCE, удалённое выполнение кода через уязвимые формы загрузки файлов;
4. SQL-инъекции — доступ к базам данных через незащищённые поля ввода.

ФСТЭК России утвердила методику выявления уязвимостей и недекларированных возможностей в ПО, а Генпрокуратура предлагает установить единые критерии и сроки устранения ИБ-уязвимостей для государственных ресурсов — это говорит о том, что проблема признаётся на государственном уровне.

Технические сбои и недоступность

Пользователи регулярно жалуются на сбои в работе портала: сайт не открывается, сервисы заказа выписок недоступны, электронная регистрация сделок «зависает». Хотя сбои сами по себе не являются уязвимостью, они подрывают доверие и вынуждают граждан искать обходные пути — в т.ч. через неофициальные посреднические сервисы, что повышает риск утечки данных.

Как защитить себя при работе с сайтом Росреестра

• Проверяйте адрес: официальный портал — rosreestr.gov.ru;
• Установите российские сертификаты через Госуслуги или используйте браузер с ГОСТ-поддержкой;
• Не переходите по ссылкам из писем и SMS, вводите адрес вручную;
• Не сообщайте никому коды из SMS и данные банковской карты;
• При сомнениях звоните на официальную горячую линию ведомства (8-800-*—).

Назвать сайт Росреестра полностью «небезопасным» было бы преувеличением: значительная часть предупреждений связана с особенностями национальной сертификации, а не с реальными взломами. Однако выявленные уязвимости в мобильном приложении, риски фишинга и регулярные сбои требуют от пользователей повышенной бдительности, а от ведомства — постоянной работы над защитой персональных данных миллионов граждан.