Все об Интернете

Базы со сведениями о россиянах обнаружили в Казахстане в середине марта… Эксперты выявили резкий рост слитых из банков данных о клиентах

«Роскомнадзор располагает информацией об утечке данных российских клиентов микрофинансовой организации, ведомство принимает меры реагирования. Кроме того, Роскомнадзор проверяет информацию о возможной утечке персональных данных у еще одной микрофинансовой компании», — сказал представитель Роскомнадзора, отвечая на запрос РБК о возможной утечке данных клиентов МФО «Займер» и «А Деньги», о которых сообщили власти Казахстана. Однако представитель ведомства не уточнил названия МФО.

В сообщении на сайте Минцифры Казахстана указано, что по данному факту планируется провести внеплановые проверки в отношении операторов баз данных, в которых произошла утечка персональных данных казахстанцев.

Ранее Минцифры Казахстана сообщило, что «Государственная техническая служба» (госпредприятие по обеспечению информационной безопасности) 5 марта обнаружила утечку более 2 млн персональных данных казахстанцев, являющихся клиентами казахстанской МФО «Займер» (ТОО «МФО «Робокэш.кз»). В обнаруженном файле также содержались данные клиентов российских МФО, «функционирующих на платформе Robo.finance»: 16,8 млн данных клиентов российского «Займера» и 6,8 млн данных клиентов микрокредитной компании «А Деньги». Последняя является «дочкой» Альфа-банка, которому принадлежит 51,5%, свидетельствуют данные «РБК Компаний». До мая 2022 года 27% компании принадлежали «Займеру».

«Займер» и «А Деньги» отрицают учтечку.

Сервис DLBI, специализирующийся на анализе утечек, в своем телеграм-канале сообщал, что в открытом доступе в Telegram появились несколько файлов баз данных клиентов МФО, среди которых российский и казахстанский «Займер». В частности, файл с данными клиентов российского «Займера» содержит Ф.И.О., номера телефонов, адреса электронных почт, паспортные данные, адрес, дату и место рождения, ИНН и т.д. Как пояснил основатель DLBI Ашот Оганесян, утечка баз данных нескольких МФО могла произойти из-за взлома финтех-компании «Робофинанс».

Наиболее вероятно, что данные утекли в результате ошибки сотрудника платформы для МФО, рассуждает руководитель направления аналитики и спецпроектов экспертно-аналитического центра ГК InfoWatch Андрей Арсентьев. «В открытом доступе могла оказаться база микрофинансовых сервисов, хранившаяся в облаке. Возможно, к утечке данных привели ошибки при миграции базы или обновлении ПО. Подобные нарушения со стороны сотрудников, к сожалению, весьма распространены, так как связаны с человеческим фактором. Хотя в последнее время они встречаются реже, чем еще три-четыре года назад, так как у компаний появились более эффективные инструменты контроля цифровых ресурсов», — добавляет он.

В начале 2020 года данные клиентов «Займера» уже могли попасть в руки мошенников. Тогда на специализированном интернет-сайте были выставлены на продажу данные клиентов микрофинансовых организаций. Как уверял продавец, в базе содержались данные более 1,2 млн клиентов МФО, входящей в топ-10 на рынке. По словам клиентов, они обращались за займами в «Быстроденьги», «Займер» «еКапуста», «Лайм» и «Микроклад».

 «Каждая новая порция скомпрометированных персональных данных обогащает серый «цифровой профиль» человека, позволяя совершать в отношении него мошенничество и вовлекать в противоправные действия», — отметил представитель Роскомнадзора. Тот факт, что преступники располагают большими объемами персональных данных, подтверждает необходимость перехода к модели, когда к компаниям, обрабатывающим значительные объемы персональных данных, предъявляются повышенные требования по безопасности данных и соблюдению принципов работы с персональными данными, добавил он.

Клиентам, чьи данные утекли, могут звонить мошенники. Также файл содержит информацию о месте работы, поэтому мошенники могут писать потенциальным жертвам с поддельных аккаунтов руководителей и таким образом выманивать деньги.

Даже если злоумышленникам удалось получить ограниченный набор данных (имена и контактная информация), это несет серьезную угрозу для клиентов МФО

На оператора данных, допустившего утечку, может быть наложен штраф от 50 тыс. до 100 тыс. руб. для юрлиц, от 8 тыс. до 20 тыс. руб. для должностных и от 1 тыс. до 4 тыс. руб.  Как отметил эксперт, штрафы относительно невелики, если учесть масштаб возможных последствий такой утечки для субъектов персональных данных. Собственно, субъектам персональных данных придется добиваться защиты своих интересов самостоятельно. Сама по себе утечка материального ущерба не формирует, даже если ее следствием будет совершение в отношении субъекта мошеннических действий, добавляет юрист.

В 2023 году из банков и финансовых компаний утекло 170,3 млн записей персональных данных клиентов, подсчитали ранее в InfoWatch. За год их число выросло в 3,2 раза. На долю МФО приходилось 9,4% утечек. По оценкам Роскомнадзора, всего в прошлом году произошло 168 утечек персональных данных из российских компаний (не только финансовых). В открытый доступ попало 300 млн записей. По информации DLBI, за 2023 год утекли 240 млн уникальных телефонных номеров россиян, в эту статистику входят не только банки и финансовые организации, но и сегмент электронной коммерции, компании здравоохранения, досуга и т.п.

Напомню, не так давно стало известно, что в сеть выложили информацию, предположительно, из базы данных «Национального бюро кредитных историй» (НБКИ). Ранее сообщали в пресс-службе ГК «Солар», которая занимается кибербезопасностью, что хакеры за период общероссийских выходных с 1 по 9 января выложили в открытый доступ 116,5 млн записей с данными россиян общим объемом 5 Тб