Спецпроекты

Безопасность Стратегия безопасности Интернет ИТ в банках

Выставлены на продажу данные клиентов Альфа-банка

В интернете появилось объявление о продаже данных 3,5 тыс. клиентов Альфа-банка и около 3 тыс. клиентов «АльфаСтрахования». Продавец бесплатно выложил небольшой ознакомительный фрагмент. Банк подтвердил утечку персональных данных, но всего 15 клиентов. Данные не дают прямого доступа к счетам и средствам на них.

Объявление в интернете

В интернете выставлены на продажу данные 3,5 тыс. клиентов Альфа-банка и около 3 тыс. клиентов «АльфаСтрахования» — по крайней мере, именно такое количество указывает в объявлении продавец. Объявление было размещено на специализированном форуме 31 октября, пишет РБК.

Продавец бесплатно предоставил для ознакомления фрагмент данных, содержащий 13 договоров клиентов Альфа-банка и десять договоров клиентов «АльфаСтрахования». Из документов можно узнать фамилию, имя и отчество клиента, мобильный номер, данные паспорта, адрес регистрации, сумму кредитного лимита или оформленной страховки, предмет страхования, а также дату заключения договора.

Продавец обращает внимание, что все данные свежие. Договоры из ознакомительного фрагмента, относящиеся к Альфа-банку, датируются октябрем, данные были взяты из базы банка 22 октября 2019 г. Все договоры «АльфаСтрахования» были заключены 8 мая.

РБК удалось связаться с большинством клиентов Альфа-банка, чьи данные фигурируют в бесплатном фрагменте базы, и убедиться, что они действительно являются клиентами банка, а некоторые сведения о них из базы совпадают с реальностью. В случае с «АльфаСтрахованием» фрагмент базы выглядит менее достоверным: в договорах есть ошибки в части отчеств и предметов страхования, в ряде документов отсутствует ФИО. Дозвониться удалось немногим жертвам, все они затрудняются подтвердить подлинность сведений.

Реакция Альфа-банка

Альфа-банк подтвердил факт утечки, но сообщил, что она затронула персональные данные всего 15 клиентов банка. В настоящий момент в организации проводится по этому поводу внутреннее расследование. Банк также сообщил, что утечка произошла не вследствие нарушения защиты корпоративной информационной системы банка и заверил, что выставленных на продажу данных недостаточно для доступа к счетам.

Поскольку в договорах нет номеров карт и CVV-кодов, с помощью украденных данных нельзя осуществить какие-либо операции со счетами клиентов. Но если злоумышленники прибегнут к социальной инженерии — например, позвонят жертве от лица сотрудника банка, чтобы выяснить недостающую информацию — то кражу средств будет возможно осуществить.

alfabank600.jpg
В интернете выставлены на продажу данные клиентов Альфа-банка

В «АльфаСтраховании» сообщили, что знают, что в интернете размещены объявления о продаже данных по договорам страхования электронных устройств. Компания приняла дополнительные меры безопасности и проводит расследование, а также проверку выложенных в интернете сведений. По результатам расследования будут приняты дальнейшие решения.

Опрошенные РБК эксперты полагают, что данные клиентов Альфа-банка и «АльфаСтрахования» мог слить один и тот же человек — например, сотрудник на невысокой должности, который занимается обработкой этих договоров. Это мог быть сотрудник кредитного отдела или отдела досудебного погашения задолженностей. Обычно в таких случаях утечка происходит из дополнительного офиса банка, реже — из архива.

Крупнейшая утечка в Сбербанке

Напомним, в начале октября стало известно об утечке данных карт Сбербанка, которая, возможно, является крупнейшей в истории российского банковского сектора. Объявление о продаже базы данных появилось в Рунете в последних числах сентября 2019 г. Как пишет «Коммерсант», кража информации могла произойти в конце августа 2019 г.

Объявление было размещено на одном из русскоязычных форумов, заблокированных «Роскомнадзором». По утверждению человека, опубликовавшего его, в предлагаемой им базе содержатся сведения о 60 млн карт, как активных, так и вышедших из употребления. В настоящий момент у Сбербанка 18 млн активных карт.

В качестве пробной партии злоумышленник предложил небольшой фрагмент этой базы, который содержал подробности о 200 клиентах банка из разных городов. Все они обслуживаются в Уральском территориальном банке Сбербанка. Продавец утверждал, что вся база состоит из 11 частей, по количеству территориальных банков Сбербанка. Стоимость информации — 5 руб. за каждую строку.

Через несколько дней история получила продолжение — в даркнете появились данные как минимум о 2 тыс. владельцев карт Сбербанка, которые могут быть частью базы на 60 млн карт. Между тем Сбербанк сообщил результаты проведенного им расследования. Данные похитил один из сотрудников, 28-летний руководитель сектора в одном из подразделений банка. Сбербанк утверждает, что на самом деле утекли данные всего о 5 тыс. карт Уральского территориального банка.

Валерия Шмырова

Короткая ссылка