Контакты
Подписка 2025
ТБ Форум 2025
Кибербезопасность. Защита АСУ ТП. Безопасность КИИ. Москва | 11 февраля | ТБ Форум 2025
Регистрируйтесь и приходите!

Персональные данные клиентов ОТП-банка, Альфа-банка и ХКФ-банка оказались в сети

11/06/19

альфа-банк_фото Олег Харсеев_Коммерсантъ

Данные клиентов ОТП-банка, Альфа-банка и ХКФ-банка оказались в открытом доступе. Утечка суммарно затрагивает интересы примерно 900 тыс. россиян, чьи имена, телефоны, паспорта и место работы теперь при желании может узнать каждый. Базы были выложены в конце мая, данные в них собирались несколько лет назад, но существенная часть информации сохраняет актуальность. Эксперты считают, что лица из этих баз могут как подвергнуться обычному спаму, так и столкнуться с мошенничеством.

Две утечки данных о клиентах Альфа-банка обнаружила в пятницу DeviceLock. В одной из баз содержатся данные о более чем 55 тыс. клиентов, включая их ФИО, телефоны (мобильный, домашний и рабочий), адрес проживания и место работы. В DeviceLock осторожно датируют ее 2014–2015 годами. Вторая база содержит всего 504 записи, но она интересна тем, что датируется 2018–2019 годами, а помимо ФИО и телефонов содержит такие данные, как год рождения, паспортные данные, обслуживающее отделение Альфа-банка, а также остаток на счете, ограниченный диапазоном 130–160 тыс. руб.

“Ъ” удалось обнаружить первую базу данных и ознакомиться с ней. В открытом доступе она находится по меньшей мере с конца мая. Судя по адресам, все клиенты из данной базы проживают в Северо-Западном федеральном округе. Телефонные номера по большей части действующие и принадлежат обозначенным лицам. По месту работы помимо сотрудников частных компаний можно найти около 500 сотрудников МВД, порядка 40 человек из ФСБ.

Эта база была выложена в заархивированном виде с двумя другими, в которых, согласно описанию, содержатся данные о клиентах ХКФ-банка и ОТП-банка. Первая состоит из 24,4 тыс. клиентов, содержит их ФИО, паспортные данные, телефоны (мобильный и домашний), адрес и столбец «лимит», предположительно кредитный. Большинство физлиц из этой базы проживают в Волгограде и области. Актуальность данных неизвестна. Но “Ъ” дозвонился до нескольких человек из этого списка, все они подтвердили, что брали кредит в ХКФ-банке, но давно. По словам одного из них, примерно в 2009 году.

База, указанная как OTPbank, содержит данные о 800 тыс. человек по всей России, такие как ФИО, телефоны, почтовый адрес, одобренный кредитный лимит, рабочие пометки о том, как прошел контакт с клиентом. Актуальность базы — осень 2013 года. Несколько человек из этого списка, которым позвонил “Ъ”, подтвердили, что брали кредит в ОТП-банке.

Пресс-служба Альфа-банка заявила, что уполномоченные службы кредитной организации проводят проверку достоверности и актуальности сведений, опубликованных в интернете персональных данных физических лиц, которые могут являться клиентами банка. В ХКФ-банк, сообщили, что «происхождение данных в указанном файле банку неизвестно, но мы примем меры для его установления». «В нашем банке не зафиксирована утечка информации, и происхождение данной базы нам неизвестно»,— заявили в ОТП-банке.

Основатель и технический директор DeviceLock Ашот Оганесян пояснил предположительное происхождение базы данных клиентов Альфа-банка с 55 тыс. записей. По его словам, осенью 2014 года в банке происходило массовое увольнение регионального IT-отдела. Данные могли утечь тогда, а позже база долгое время распространялась на черном рынке. «И вот не так давно ее разместили в паблик даже без пароля»,— поясняет господин Оганесян. Что касается свежей (2018–2019 годов) базы клиентов Альфа-банка, то ее мог взять клиентский менеджер, считает сотрудник одного из банков, специализирующийся на борьбе с мошенничеством. На это, по его мнению, указывает небольшой размер базы (чуть больше 500 человек), а также то, что все клиенты из определенной выборки, ограниченной суммой счета.

По всей видимости, человек, целенаправленно собравший эти базы, был или инсайдером, или же находил тех, кто их может украсть, полагает гендиректор Zecurion Алексей Раевский. «Судя по тому, что базы являются устаревшими, скорее всего, они использовались в узком круге, а когда перестали быть нужными, стали достоянием общественности,— предполагает он.— Теперь же люди, фигурирующие в этих базах, могут стать жертвами широкого круга банковских мошенников». Последние смогут, например, притворяясь службой безопасности банка, входить к жертвам в доверие, демонстрируя знание персональных данных, или использовать паспортные данные в мошеннических целях.

Источник: kommersant.ru
Фото: Олег Харсеев / Коммерсантъ

 
Темы:Банки и финансыПерсональные данныеутечка данных
Безопасная разработка
Подходы и инструменты управления процессом разработки безопасного программного обеспечения
Регистрируйтесь и приходите! 13 февраля 2025
Статьи по темеСтатьи по теме

  • Рецепты от стагнации и формализма в защите ПДн
    В конце 2024 г. гипотетический эксперт по защите ПДн с профильным высшим образованием и многолетним опытом работы в отрасли мог бы сделать недвусмысленный вывод о полной незащищенности персональных данных граждан РФ. Почему так? Потому что наборы данных, идентифицирующие практически каждого россиянина, с высокой долей вероятности уже утекли в Интернет в период с 2022 г. по настоящее время. Наборы утекших ПДн накапливаются в Даркнете и трансформируются злоумышленниками под конкретные задачи в рамках какой-либо схемы мошенничества.
  • Новая роль SIEM в защите персональных данных
    Максим Степченков, совладелец компании RuSIEM
    Закон “О персональных данных” принят почти двадцать лет назад, но получилось так, что весь процесс защиты ПДн воспринимался больше через призму необходимости обоснования затрат и выполнения формальных требований, чем через истинное понимание угроз и рисков. Множество мер защиты, которые были внедрены за эти годы, основывались именно на законодательных установках, а не на реальном анализе угроз.
  • Что нужно знать про новые штрафы в области ПДн?
    Валерий Нарежный, к.э.н., советник юридической фирмы “Городисский и Партнеры”
    В сфере обработки ПДн в России произошли серьезные изменения – приняты поправки в УК РФ и КоАП РФ, направленные на повышение ответственности организаций и физических лиц за нарушения.
  • Персональные данные на корпоративных мероприятиях: что скрывается за кадром
    Алексей Майоров, юрист в области информационного права юридической компании Lukash&Partners
    В преддверии новогодних корпоративов для многих организаций становится актуальным вопрос избегания штрафов при размещении фотографий, полученных при проведении мероприятия.
  • Персональные данные: чего ждать в 2025 году?
    Прогноз на 2025 г. для защитников ПДн оптимистичный: да, проблем много, но и решений достаточно. Весь текущий год мы наблюдали зарождение различных, порой противоречивых, тенденций. Новый год покажет, какие из веяний останутся с нами и зададут тон в отрасли. Чтобы не ждать естественного развития событий, поищем закономерности в прошлом, двигаясь от частного к общему. Итак, что же будет с персональными данными в 2025 г.?
  • Обзор изменений в законодательстве. Июль, август - 2024
    Анастасия Заведенская, старший аналитик Аналитического центра Уральского центра систем безопасности
    Изменения правил категорирования ОКИИ. Защита ГИС и ЗОКИИ от DoS. Изменения в 152-ФЗ, 98-ФЗ и КоАП. Защита ГИС. Переход ОКИИ на доверенные ПАК. Госконтроль за ПДн. Требования к уничтожению и обезличиванию ПДн. Методические рекомендации ЦБ по показателям уровня риска ИБ. 

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Актуальные вопросы защиты информации
12 февраля 2025 | Организатор: ФСТЭК России

Еще темы...

More...