Могли ли данные клиентов «Газпромбанк Инвестиций» попасть в открытый доступ

Роскомнадзор проверит информацию об утечке данных «Газпромбанк Инвестиций». 27 января некоторые Telegram-каналы сообщили, что в открытом доступе оказались исходные коды сервиса, всего в пакете было около 230 тыс. файлов. Среди них были выгрузки, содержащие личную информацию клиентов, включая номера и серии паспортов, актуальные на 2021 год. Пострадавшими, предположительно, могли стать около 40 тыс. пользователей. В свою очередь, в «Газпромбанк Инвестициях» заявили, что проведут проверку инцидента. Затем компания вынесла вердикт, что утечка невозможна, потому что база данных клиентов «изолирована от внешней сети».

В «Газпромбанк Инвестиции» также заявили, что организуют собственную проверку подлинности данных. Вместе с тем проблема утечек персональной информации за последнее время еще более усложнилась, отметил председатель Ассоциации участников рынка данных Иван Бегтин:

«Сейчас единственное, что может здесь хоть как-то показать, что компания заинтересована в своей информационной безопасности, это внешний аудит. Кроме того, проблема, помимо прочего, и в том, что в принципе любая утечка из российских систем теперь в гораздо меньшей степени блокируется международными регуляторами. Условно говоря, два года назад можно было нанять какие-то иностранные компании, которые работали бы с уязвимостями в системе и удаляли данные из открытого доступа. Теперь же надежды на их быстрое удаление нет.

Вместе с тем злоумышленники, которые крадут сведения, не заинтересованы в том, чтобы их просто продать. Они, наоборот, заинтересованы в придании этому инциденту максимальной огласки.

Ведь в случае предыдущих утечек ключевым для граждан было не то, что информация украдена и появилась на хакерских форумах. Самое важное было в том, что на основе этих данных появились сайты, которые значительно упрощают доступ к таким сведениям. То есть больше надо не обрабатывать сотни гигабайт информации, а достаточно зайти на сайт, вбить номер телефона, e-mail, адрес и получить требуемые данные».

В «Газпромбанк Инвестициях» заявили также, что количество клиентов, данные которых оказались в открытом доступе, в 10 раз превышает число пользователей сервиса. Однако, если верить информации на сайте брокера, это не так: там говорится, что в 2021-м услугами компании пользовались около 95 тыс. инвесторов.

Чем грозит утечка? Потенциально с помощью персональных данных можно даже взять кредит в банке, пояснил управляющий директор инвестиционной компании «Иволга Капитал» Дмитрий Александров: «Для того чтобы открыть счет, и физическое, и юридическое лицо должны пройти полноценную проверку Know Your Customer, в рамках которой они подтверждают свою личность, то есть присылают данные паспорта, сведения о месте жительства, номера мобильных телефонов и так далее.

Соответственно, даже если не говорить про кибератаку, которая приведет к совершению каких-то несанкционированных сделок, то утечка как минимум может содержать персональные данные, которые в дальнейшем могут быть использованы, в частности, для несанкционированного открытия счетов, взятия кредитов и так далее. Если говорить про методы защиты, то они в целом похожи на ту же самую банковскую отрасль. База данных бэк-офиса и депозитария — это вещи, которые защищаются лучше всего. Брокеры пользуются защищенными VPN-соединениями для того, чтобы подсоединяться к своим базам данных и используют такие вещи, как двухфакторная аутентификация для сотрудников».

Роскомнадзор заявил, что в прошлом году в стране произошло около 150 крупных утечек персональных данных. Больше половины «сливов» стали основанием для внеплановых проверок, и в почти 90% случаев были выявлены факты незаконного распространения личной информации. По составленным протоколам суды назначили штрафы всего на 1 млн руб., а также вынесли девять предупреждений.

Новости в вашем ритме — Telegram-канал "Ъ FM".

Иван Хорушевский