Герман Греф — «автор» крупнейшей банковской утечки личных данных

Персональные данные клиентов Сбербанка оказались на черном рынке. Продавцы уверяют, что владеют данными о 60 млн кредитных карт, как действующих, так и закрытых (у банка сейчас около 18 млн активных карт). Утечка могла произойти в конце августа. Эксперты, ознакомившиеся с данными, считают их подлинными и называют утечку самой крупной в российском банковском секторе. В Сбербанке обещают проверить подлинность базы, но утверждают, что угрозы средствам клиентов нет.

Объявление о продаже «свежей базы крупного банка» появилось в минувшие выходные на специализированном форуме, заблокированном Роскомнадзором. По словам продавца, он реализует данные о более 60 млн кредитных карт. Первым объявление заметил и обратил на него наше внимание основатель DeviceLock Ашот Оганесян. Потенциальным покупателям продавец предлагает пробный фрагмент базы из 200 строк.

Фрагмент содержит данные 200 человек из разных городов, которые обслуживает Уральский территориальный банк Сбербанка.

В таблице содержатся, в частности, детальные персональные данные, подробная финансовая информация о кредитной карте и операциях. В качестве «даты опердня», который может свидетельствовать о дате утечки, указано 24 августа 2019 года. Также содержатся слова way4 или w4, которые, возможно, относятся к процессинговой платформе Way4, которую уже около десяти лет использует Сбербанк.

Для проверки этих данных мы нашли клиентов из «пробника» в соцсетях, а также изучил информацию о номерах карт и телефонов в мобильном приложении Сбербанка, которое при переводе средств позволяет видеть часть информации о ФИО получателя.

Заявленный продавцом объем информации (60 млн строк) может свидетельствовать о том, что утечка затронула данные о всех кредитных картах банка.

По словам продавца, база разбита на 11 частей (именно столько у Сбербанка территориальных банков), а каждую строку он продает за 5 руб. Для проверки гипотезы корреспонденты «Ъ» попросили найти в базе свои данные. Продавец предоставил информацию о кредитных картах корреспондентов, в том числе по прежним местам работы, которые изменились за последние три года. Совпадают номера договоров об открытии кредитных карт и ФИО сотрудников, подписавших их.

Источник, близкий к ЦБ, изучив «пробник», выразил уверенность в том, что он является «выгрузкой базы» Сбербанка, а не, например, «пробивом», полученным в результате подкупа сотрудников. По словам других собеседников, специалистов по информационной безопасности крупных банков, судя по характеру тестового файла, утечка могла произойти из банка.

«Данные могут быть из хранилища данных всех систем, там лежит вся информация о клиентах,— указывает собеседник «Ъ» в крупном банке.— Утечка базы данных от кого-либо из партнеров видится маловероятной, судя по набору и объему данных». По словам другого источника, информация похожа на выгрузку данных из хранилища кем-то, кто имел административный доступ, «на это косвенно указывает и тот факт, что номера банковских карт в базе не маскированы». Еще один эксперт отметил, что чисто теоретически такие данные могут быть получены путем склеивания данных с точки выдачи карт и данных из процессинга, но в данном случае это маловероятно, учитывая объем данных. «Если это и подделка, то очень качественная»,— указал еще один эксперт.

Ашот Оганесян утверждает, что DeviceLock проанализировала около 240 записей из предполагаемых 60 млн и «может подтвердить, что в них содержатся данные реальных людей, имеющих карточные счета в Сбербанке». По его мнению, база может являться сохраненной копией (полной или нет) базы данных продукта Way4.

Это самая большая и подробная банковская база данных, которая когда-либо попадала к нам с черного рынка,— отмечает господин Оганесян.— Набор полей действительно поражает».

По его мнению, последствия утечки будут заметны для всей отрасли. Ей займутся ЦБ и Роскомнадзор и, весьма вероятно, правоохранительные органы. Если среди клиентов есть резиденты или граждане ЕС, то банку, в соответствии с законом GDPR, придется уведомить об инциденте Еврокомиссию, указывает господин Оганесян.

В ЦБ не ответили на запрос. В Роскомнадзоре обещают «в рамках своей компетенции» проверить информацию о возможном нарушении законодательства о персональных данных. «Меры реагирования будут приниматься после установления признаков нарушений»,— заявили в ведомстве.

Пока статья готовилась к выпуску, Сбербанк выпустил пресс-релиз, сообщив о возможной утечке персональных данных 200 клиентов и начатом внутреннем расследовании. При этом банк утверждает, что никаких внешних кибератак не зафиксировано. Основной версией возможного инцидента там называют умышленные преступные действия одного из сотрудников.

Дополнительно в Сбербанке пояснили, что изучается подлинность информации и пока нет ясности, подлинная она или нет. Представитель Сбербанка заявил, что утечка данных через внешний взлом систем невозможна в принципе, так как все базы данных клиентов полностью изолированы от внешней сети. Если информация об утечке будет подтверждена, она могла быть возможной только в результате умышленных преступных действий одного из сотрудников банка. «Будет проведено скрупулезное расследование, о его итогах будет сообщено», — пообещали в Сбербанке. Там подчеркнули, что заявленный объем скомпрометированных карт «невозможен, так как общий объем активных кредитных карт в несколько раз меньше».

В банке заверили, что угрозы не санкционированных клиентами списаний средств с карт нет.

Похищенная информация не позволит преступникам списать деньги с карт клиентов, так как в ней отсутствуют коды CVV, пояснили там, а кроме того, каждая трансакция без предъявления карты в Сбербанке подтверждается одноразовым СМС-паролем.

[«Ведомости», 03.10.2019, «Сбербанк создал штаб для расследования утечки данных»: Сбербанк отрабатывает несколько версий похищения данных. Доступ к такому виду информации можно получить только сотруднику Сбербанка, который имеет особые права доступа администратора к отдельным информационным системам: просто ее скопировать на флешку и унести невозможно, говорит представитель банка. По его словам, в банке не исключают, что был физически разобран компьютер и жесткий диск мог быть изъят.

Еще версия: злоумышленник сфотографировал экран, продолжает представитель Сбербанка. Банк проверяет и другие версии. Однако в штабе точно уверены, что речь идет о преступлении со стороны одного или нескольких сотрудников банка, целью которых, вероятно, было заработать, резюмирует представитель банка — врезка К.ру]

Виталий Солдатских
Вероника Горячева

Справочно: реакция рынка на утечку у сбера… никакая торги идут в том же коридоре; ни российские, ни западные инвесторы не посчитали это серьезной проблемой. […]

[Сетевой дневник Sporaw, 03.10.2019, «Сбербанк: «флаг ветром перевернуло» продолжается»: Во всех СМИ Сбербанк настаивает на утечке «всего 200 карт» («данных 200 клиентов»)

В общем, любимая русская традиция а-ля Чернобыль «ничего не произошло, это все поклеп и происки врагов».

Сбербанк никак не хочет объяснить, как среди именно этих 200 карт (и никаких других, ведь ничего другое не слито) неожиданно оказались данные журналистов, которые сделали запрос.

[…] Наглая нахрапистая лживая PR-машина без тени стеснения.

Но удивляет то, что на это ведется РБК, а потом и Медуза. Первым бабла заслали? А вторые что? Никто даже не пытается сказать что-то в сторону «постойте, но …» […]

Как так можно? Журналисты, ау? — врезка К.ру]

Какие же смешные отмазы у сбера, ну это позор просто, «флаг ветром перевернуло»:

Сбербанк выпустил пресс-релиз, сообщив о возможной утечке персональных данных 200 клиентов и начатом внутреннем расследовании. При этом банк утверждает, что никаких внешних кибератак не зафиксировано. Основной версией возможного инцидента там называют умышленные преступные действия одного из сотрудников.

Дополнительно в Сбербанке пояснили, что изучается подлинность информации и пока нет ясности, подлинная она или нет. Представитель Сбербанка заявил, что утечка данных через внешний взлом систем невозможна в принципе, так как все базы данных клиентов полностью изолированы от внешней сети. Если информация об утечке будет подтверждена, она могла быть возможной только в результате умышленных преступных действий одного из сотрудников банка. «Будет проведено скрупулезное расследование, о его итогах будет сообщено», — пообещали в Сбербанке. Там подчеркнули, что заявленный объем скомпрометированных карт «невозможен, так как общий объем активных кредитных карт в несколько раз меньше». […]

P.S. «По его мнению, последствия утечки будут заметны для всей отрасли. Ей займутся ЦБ и Роскомнадзор и, весьма вероятно, правоохранительные органы. Если среди клиентов есть резиденты или граждане ЕС, то банку, в соответствии с законом GDPR, придется уведомить об инциденте Еврокомиссию, указывает господин Оганесян»

— Уже заранее скажу: они есть, я это точно знаю.

Столбцы:

ФИО

Паспорт

Номер карты

ОСБ

Филиал

Лимит кредита

Недоисп. лимит

Ссуда всего

Ссуда текущая

Ссуда к погашению

Превышение лимита

Просроченная ссуда

%% текущие бал.

%% льготные бал.

%% текущие внебал.

%% льготные внебал.

%% к пог. бал.

%% к пог. внебал.

%% просроч. бал.

%% просроч. внебал.

Инсайдер

Портфель

Адрес работы

Дата опердня

N договора WAY4

Место работы

Дата созд. дог–ра в WAY4

Дата активиз. д–ра

Дата закр. д–ра

Признак закр. д–ра

Остаток собств. ср–в

Комис. за обсл.

Расчетная неустойка

Срок действ. карты

Сост. карты по WAY4

Сост. дог–ра по WAY4

Номер счета карты

Дата обр. просроч. по осн. дол.

Дата обр. просроч. по проц.

Кат. кач–ва ссуды

Дата блокирования закрытой карты

Дата рождения держателя

Проц. ставка за кредит

Комиссии за обсл. к погашению

Дата предстоящего платежа

Сумма минимального платежа

Кредитная фабрика

Тип клиента для учета продаж

Код кол–ва просрочек (АС СД)

Почт.индекс (р)

Регион (р)

Район (р)

Город (р)

Насел.пункт (р)

Улица (р)

Дом (р)

Строение (р)

Корпус (р)

Офис (р)

Квартира (р)

Код продукта Way4

Канал продаж

Агент по прямым продажам

Уровень загрузки списка

W4 телефон

W4 телефон домашний

W4 телефон мобильный

СПООБК телефон по месту регистрации

СПООБК телефон по месту жительства

СПООБК телефон мобильный

СПООБК телефон по месту работы

Признак пользования кредитной линией

Дата нач. мониторинга задолж. для закр. счета

Реквизиты перечисления остатка при закр.

Признак инд.резервирования

Дата перевода на инд.рез.

Признак перевода в ГОС безнад.

Дата перевода в ГОС безнад.

Кто перевел на спец. резервирование

Атрибуты резевирования

Дата заявления на закрытие д–ра

Источник: Сетевой дневник Sporaw, 03.10.2019клиентах