Пароли, счета и личные данные: подробно об уязвимости базы на 125 миллионов SMS

Пока признаков злонамеренного использования данных не обнаружено. Однако полностью исключить, что кто-то успел получить эту информацию, сейчас невозможно. Государственная полиция и Государственная инспекция данных начали проверки.

Услугами CSC Telecom для отправки информационных SMS клиентам пользовались два латвийских банка — Swedbank и SEB, три страховые компании — ERGO, Compensa и Artea, а также Barbora, CityBee, Porsche, DEPO, Akropolis, Autoplius и авиакомпания airBaltic.

Помимо содержания сообщений, в базе хранились телефонные номера клиентов. Уязвимость обнаружили журналисты портала CyberNews, специализирующегося на кибербезопасности.

По результатам их расследования, злоумышленники потенциально могли перехватывать коды подтверждения личности, ссылки для смены паролей и другую конфиденциальную информацию ещё до того, как адресаты успевали прочитать полученные SMS.

Журналисты опубликовали скриншоты, показывающие, какие именно сведения были доступны. Например, в сообщениях Swedbank можно было увидеть код подтверждения для смены пароля, информацию о входящих и исходящих операциях, остаток на счёте и другие подробности.

При этом база данных обновлялась в режиме реального времени. Это означает, что посторонние могли получить информацию ещё до того, как её прочитал сам клиент банка.

База данных не была доступна каждому пользователю интернета

Эксперт учреждения по предотвращению киберинцидентов Cert.lv Гинтс Малкалниетис пояснил, что пока нельзя с уверенностью утверждать, что преступники не получили доступ к базе данных. Расследование продолжается.

Уязвимость оставалась незамеченной несколько месяцев. Однако это не означает, что информация была свободно доступна любому пользователю интернета.

«Получить доступ к этой базе данных мог далеко не каждый. Для этого нужно было точно знать её IP-адрес и используемый TCP-порт. […] Кроме того, необходимо было знать пароль по умолчанию, с помощью которого можно было войти в систему и увидеть сообщения», — пояснил Малкалниетис.

По его словам, подобная ситуация не обязательно создаёт прямую и немедленную угрозу, однако позволяет раскрыть информацию о покупательских привычках и поездках клиентов.

Мошенники могли бы использовать эти сведения для подготовки персонализированных сообщений, которые выглядели бы более убедительно.

Эксперт предположил, что уязвимость могла возникнуть из-за недостаточной проверки безопасности после изменения настроек или обновления системы.

«В любом случае это неприятный инцидент, который в очередной раз показывает, что компания должна самостоятельно заботиться о безопасности сервисов, доступных в интернете из её сети. Необходимо принимать профилактические меры, чтобы отслеживать и обнаруживать такие сервисы, которые в результате ошибок оказываются открытыми для доступа из интернета», — подчеркнул Малкалниетис.

Компания устранила уязвимость, полиция начала проверку

CSC Telecom сообщила, что недостатки системы безопасности устранены, а доступ к базе данных закрыт. На данный момент у компании нет информации о злонамеренном использовании сведений.

Сейчас предприятие оценивает последствия инцидента, в том числе необходимость уведомления Государственной инспекции данных в соответствии с требованиями законодательства.

«Ранее мы общались с CyberNews. Они сообщили об уязвимости, которая была устранена. Мы убедились, что данные клиентов не утекли, не копировались и находятся в безопасности. Журналисты также провели исследование, чтобы выяснить, могли ли эти данные оказаться в открытом доступе, но подтверждений этому не нашли. Поэтому сейчас мы считаем, что все данные находятся в безопасности», — заявил коммерческий директор SIA CSCTelecom Янис Струмпманис.

Государственная полиция сообщила Латвийскому телевидению, что по собственной инициативе начала ведомственную проверку обстоятельств возможной утечки данных. Полиция тесно сотрудничает с Cert.lv.

Струмпманис отметил, что причины инцидента ещё выясняются.

«Был открыт один порт, который теперь закрыт. Существовала уязвимость, которую устранили», — пояснил он.

В данном случае порт — это виртуальная точка соединения в компьютерной сети, через которую устройства и серверы обмениваются информацией. Открытый порт мог стать своеобразной лазейкой для доступа к системе и хранящимся в ней данным.

Попадание подобной информации в чужие руки представляет серьёзную опасность. Злоумышленники потенциально могли бы сменить пароли и получить доступ к учётным записям раньше самих клиентов.

Кроме того, располагая личными сведениями, мошенникам проще создавать убедительные сообщения. Например, они могут знать, куда и когда человек собирается лететь или в каком отеле планирует остановиться.

Анализ информации за четыре года позволяет составить подробный профиль человека: где он совершает покупки, куда путешествует и сколько денег тратит.

Банки: прямой угрозы деньгам клиентов и интернет-банку нет

Председатель правления открытого пенсионного фонда SEB Анна Довбиша пояснила, что услугами CSC Telecom пользовался только пенсионный фонд, а не весь банк.

Клиентам отправлялись общие информационные сообщения, связанные с третьим пенсионным уровнем.

«Мы передали телефонные номера клиентов, поскольку без них воспользоваться услугой было невозможно. К сожалению, поставщик услуг не сообщил нам об этом инциденте, поэтому мы уже предприняли действия и потребовали предоставить всю связанную с ним информацию», — рассказала Довбиша.

По её словам, данный инцидент не угрожает средствам клиентов или другой информации. Банк обратился в Государственную инспекцию данных.

Руководитель отдела коммуникации Swedbank Кристине Чекстере сообщила, что банк продолжает расследовать произошедшее. На данный момент нет прямых рисков того, что кто-либо сможет получить доступ к деньгам клиентов или их интернет-банку.

Swedbank приостановил сотрудничество с CSC Telecom.

Представитель банка призвала клиентов проявлять осторожность и критически оценивать поступающие SMS, телефонные звонки и электронные письма, чтобы не стать жертвами мошенников.

По возможности Swedbank рекомендует отказаться от SMS-уведомлений в пользу сообщений в мобильном приложении, поскольку они безопаснее.

Клиентов призывают внимательнее относиться к сообщениям

Руководитель отдела общественных и политических отношений airBaltic Аугустс Зилбертс сообщил, что оценка последствий инцидента продолжается.

Одной из потенциально затронутых услуг могла быть отправка SMS с приглашением зарегистрироваться на рейс. Однако авиакомпания прекратила пользоваться этой услугой ещё полтора года назад.

По словам Зилбертса, пока преждевременно говорить о возможном объёме затронутых данных или количестве клиентов, поскольку проверка ещё не завершена.

Представитель airBaltic также призвал пассажиров внимательно относиться к входящим сообщениям и остерегаться мошенников.

Директор департамента продаж страховой компании ERGO Гунтис Подрачикс сообщил, что предприятие начало проверку ситуации и связалось с CSC Telecom, ожидая более подробной информации о данных, которые могли быть затронуты.

По его словам, компания использовала услуги оператора, в частности, для отправки клиентам напоминаний об окончании срока действия страховых полисов.

Государственная инспекция данных начала проверку

Государственная инспекция данных не получала уведомления о нарушении защиты персональных данных.

Согласно Общему регламенту ЕС по защите данных, о подобном инциденте необходимо сообщать надзорному органу. Поэтому инспекция начала проверку по собственной инициативе.

«Очевидно, что что-то не в порядке, по крайней мере судя по тому, что опубликовано на этих порталах. Скриншоты также свидетельствуют о том, что персональные данные были затронуты. Поэтому нам необходимо установить масштаб произошедшего и выяснить, кто несёт ответственность», — заявила исполняющая обязанности директора Государственной инспекции данных Ласма Дилба.

Эксперты советуют отказаться от SMS в пользу уведомлений в приложениях

Руководитель группы компаний в сфере информационной безопасности Possible Security Кирилл Соловьёв в интервью Латвийскому радио посоветовал тем, кто заботится о защите своих данных, пользоваться уведомлениями в мобильных приложениях вместо SMS.

«Потому что SMS никогда не были безопасным каналом связи.

В данном случае мы говорим о том, что произошла утечка некоторой части SMS, однако необходимо понимать, что практически любое SMS-сообщение в принципе почти общедоступно — всё зависит от желания и возможностей злоумышленников», — пояснил эксперт.

Также рекомендуется сменить пароли, особенно от интернет-банка, электронной почты и учётных записей, в которых для двухфакторной аутентификации используются SMS.

Государственная инспекция данных до сих пор не получила от CSC Telecom уведомления о нарушении защиты персональных данных и намерена самостоятельно проверить обстоятельства произошедшего.