МОСКВА, 3 окт — ПРАЙМ, Наталья Карнова. В четверг Сбербанк сообщил, что проводит служебное расследование по поводу возможной утечки персональных данных более 200 клиентов. "Вечером 2 октября 2019 года Сбербанку стало известно о возможной утечке учетных записей по кредитным картам, которая затрагивает как минимум 200 клиентов банка. В настоящий момент производится служебное расследование и о его итогах будет сообщено дополнительно", — говорится в сообщении на сайте банка.
В качестве основной версии утечки банк назвал преступные действия одного из сотрудников, поскольку внешнее проникновение в базу данных невозможно ввиду ее изолированности от внешней сети. Никакого вреда клиентам утечка не нанесет, за сохранность средств можно не беспокоиться, заверили в банке. Данные об утечке запросил и Роскомнадзор, который также детально изучит ситуацию.
До этого газета "Коммерсант" озвучила более серьезные данные о масштабах случившегося. По ее информации, на черном рынке оказались персональные данные 60 млн кредитных карт клиентов Сбербанка, как действующих, так и закрытых. Это впечатляющие данные – ведь активных карт у банка №1 сейчас около 18 млн. По версии издания, в продаже оказалась таблица с детальными персональными данными клиентов, подробная информация о самой карте и операциях по ней.
Сбербанк уделяет особое внимание кибербезопасности и отмечает, что в последнее время киберпреступники смещают фокус с корпораций на людей. "Мы видим, что в главном фокусе киберпреступников будут находиться физические лица, являясь для них мишенью номер один. Не компании, не государственные институты, а именно физические лица", — говорил зампред правления Сбербанка Станислав Кузнецов в интервью агентству "Прайм" в июне этого года. По его словам, мошенники сегодня используют персональные данные для того, чтобы заниматься хищением денег.
ОСОБЕННОСТИ УТЕЧКИ
Однако, судя по всему, полной защиты от утечек пока не может обеспечить даже Сбербанк со всеми его возможностями. При этом, по мнению аналитиков, объем утечки весьма значителен, хотя точно оценить его пока невозможно.
"Стремясь минимизировать репутационные последствия утечки, Сбербанк говорит лишь о небольшой тестовой части базы, полученной от продавца и переданной специалистам банка для анализа. При этом сам продавец утверждает, что в наличии 60 млн записей. Точно установить истину можно, только купив за 300 млн рублей всю базу, но явно утечка имеет очень большой объем", — считает основатель компании DeviceLock Ашот Оганесян.
В свою очередь, компания Group-IB, специализирующаяся на предотвращении кибератак, отмечает ряд странностей в том, как данная база была выложена в сеть. "Смотрите: 28 сентября на четырех разных форумах появляется объявление от новичка о продаже огромной банковской базы. На всех форумах он регистрируется в тот же день только для того, чтобы оставить единственное объявление, на всех форумах использует разные никнеймы. Не указывает, какому банку принадлежит эта база. Для связи оставляет почту (обычно это джаббер, телеграм)", — сказали агентству "Прайм" в Group-IB.
Безусловно, больше деталей можно будет получить в ходе расследования, однако уже сейчас понятно, что это не следствие целевой атаки на банк, и человек, стоящий за публикацией объявления, никакой не хакер. Пока нет информации о том, что стало причиной этой утечки. Наиболее вероятно, что это инцидент, связанный с человеческим фактором. Все остальное пока домыслы, считает собеседник агентства.
ДАЛЬНЕЙШИЕ ДЕЙСТВИЯ И ОПАСЕНИЯ
Теперь Сбербанку следует провести полноценное расследование инцидента и выяснить, каким образом утекли данные. Затем переработать политику информационной безопасности банка и заметить недостаточно эффективные компоненты защиты, полагают эксперты. Что касается клиентов, то, по их мнению, данные, указанные в базе (номер карты, ФИО, дата рождения, номер телефона и т.п.), нельзя использовать для похищения денег со счета или карты.
Однако они могут быть использованы для вишинга и иных приемов социальной инженерии. "О том, что в отношении звонящих "сотрудников банка" нужно быть бдительным — Group-IB говорила не раз. И вот, что важно: сегодняшняя новость также может быть использована для таких звонков. Будьте осторожны", — советуют в компании.
Эти данные могут использоваться для телефонного мошенничества, когда преступники будут пытаться получить у клиентов банка код SMS-подтверждения операции или кодовое слово, согласен Оганесян. Клиенты Сбербанка уже становились объектами подобных атак, причем банк отрицал, что для этого используются украденные данные, напомнил он.
По мнению экспертов, универсальный рецепт для банков, желающих избежать подобных ситуаций — усиление работы и увеличение инвестиций в информационную безопасность. "PEN-тесты, поиск утечек, полноценное расследование инцидентов, установка DLP-систем- в общем, все то, о чем банки много говорят, но предпочитают не делать", — говорит Оганесян.
Ключевая проблема информационной безопасности в банках и крупных компаниях — директивное внедрение неэффективных решений. Технологии интересуют инженеров, но не их руководство, которое выбирает решение, часто исходя из личных предпочтений. Мы много говорим об этом, но не видим реакции, зато видим растущий объем утечек данных, заключил он.