Данные полумиллиона сотрудников «Сбербанка» утекли в сеть
«Сбербанк» не смог защитить личные данные персонала: имена, адреса электронной почты и логины для входа в операционную систему 420 тыс. сотрудников банка утекли в интернет.
Чем это грозит
Точную причину накладки пока не называют, но уже известно, что серьезными проблемами инцидент не грозит, разве что «рассекреченный» персонал может стать жертвой фишинговых рассылок. Куда важнее репутационные риски – клиенты могут усомниться в надежности банка, который не смог защитить личные данные своих сотрудников.
Где выложили информацию
Текстовый документ, содержащий данные о сотрудниках «Сбербанка», появился на сайте phreaker.pro. Из списка помимо ФИО и адреса электронной почты также можно узнать, в каком подразделении работает сотрудник. По данным «Коммерсанта» актуальность этой базы страдает: информация действительна на 1 августа 2018 года и включает данные об уволенных сотрудниках. Найти в списке тех, кто был трудоустроен в «Сбербанк» позже этой даты, не удалось.
Однако перечень подлинный: помимо прочего он содержит и три e-mail президента банка Германа Грефа. В службе безопасности организации заверили, что адресная книга находится в свободном доступе и утечка этой информации угрозы как клиентам, так и персоналу банка не несет.
Знакомые с ситуацией собеседники «Коммерсанта» считают, что документ в общий доступ выложил бывший или действующий сотрудник.
Недовольство ЦБ и мнения экспертов
Прокомментировали ситуацию и в Центробанке, назвав ее «малоприятной». Однако о том, будут ли регулятором приняты какие-то меры, не сообщается. В «Лаборатории Касперского» отметили, что утечка данных в финансовых компаниях и государственных ведомствах в последнее время не редкость. «Для самого предприятия это может быть чревато репутационными потерями, также утечки несут угрозу непосредственно тем, чьи данные попадают в открытый доступ», – полагает веб-аналитик Владислав Тушканов.
Данные о транзакциях клиентов «Сбербанка»
И снова здравствуйте
Напомним, что этот инцидент – не первый у «Сбербанка» за последние несколько месяцев. В июле стало известно, что в поисковую выдачу «Яндекса» попали личные данные клиентов банка. Обративший внимание на это SEO-специалист Павел Медведев заявил, что утечка данных в 80% случаев – вина владельцев доменов, которые пренебрегают элементарными требованиями защиты. Остальные 20% вины специалист отдал самим поисковикам, которые недостаточно освещают свои механизмы ранжирования и индексации.
Например, и у «Сбербанка», и у ВТБ отсутствовал файл robots.txt (в котором создатели прописывают параметры индексирования содержания для поисковых машин). В «Сбербанке» и на этот раз отметили, что в сеть не попали данные, которые могли бы нанести ущерб как банку, так и его клиентам.
Приходилось ли вашей компании становиться жертвой утечки данных?
Ответственность и риски за неисполнение требований закона
При неисполнении требований по обеспечению безопасности ПДн у оператора могут возникнуть риски гражданско-правовых исков со стороны клиентов или работников.
Что в свою очередь может повлиять на репутацию компании, а также привести к принудительному приостановлению (прекращению) обработки ПДн, привлечению компании и(или) ее руководителя к административной или иным видам ответственности, а при определенных условиях – к приостановлению действия или аннулированию лицензий. Кроме того, согласно ФЗ, лица, виновные в нарушении требований, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность (статья 24 ФЗ-152):
Дисциплинарная (Трудовой кодекс Российской Федерации, статьи 81, 90, 195, 237, 391);
Административная (Кодекс Российской Федерации об административных правонарушениях, статьи 5.27, 5.39, 13.11-13.14, 13.19, 19.4-19.7, 19.20, 20.25, 32.2);
Уголовная (Уголовный кодекс Российской Федерации, статьи 137, 140, 155, 171, 183, 272, 273, 274, 292, 293).
Т.е. сбер выложил персональные данные в паблик. Какие еще 20% вины поисковиков?
13 июля 2018г. тоже пишут про файл robots.txt. Как-то это странно! Скорей всего журналисты сочинили.
Вышеописанные три домена ВТБ, «Сбербанка» и «Единого транспортного портала Москвы» пренебрегают элементарными требованиями защиты данных — у них даже отсутствует файл robots.txt.
У Сбербанка утащили файл размером 43Мб.
Всего в базе данных содержалось 421,7 тысячи записей о сотрудниках Сбербанка и нескольких "дочек", в том числе их имена, электронные адреса и логины для входа в операционную систему банка. Информация была выложена неизвестным пользователем и доступна бесплатно.
Масштабная утечка: в сеть попали платежи «Сбербанка», авиабилеты и другие данные россиян, .
18 июля 2018
Специалисты выявили новую уязвимость на сайтах крупных российских компаний, включая банки и авиаперевозчиков. При помощи поисковых систем злоумышленник может находить личные данные клиентов этих компаний, доступ к которым открыт по веб-ссылке. Например, таким образом третьим лицам может оказаться доступной информация о забронированных вами авиабилетах. Причем у обычного пользователя в этой ситуации почти нет инструментов для защиты данных. Основная версия произошедшего: ошибка разработчиков сайта, не задумавшихся о том, чтобы запретить индексацию приватных документов для поисковиков. Объясняет Артем Козлюк, руководитель правозащитного проекта «Роскомсвобода».
В апреле 2018 года "КоммерсантЪ” сообщил, что МФО начали раздавать займы-онлайн по чужим документам. Преступники крадут или покупают паспортные данные третьих лиц, а затем дистанционно занимают под эти данные деньги.
"Данные 15КК пользователей фейсбук утекли в сеть..."
"Данные 10КК пользователей яндекс утекли в сеть..."
"Данные 5КК пользователей сбербанка утекли в сеть..."
....
Думаю эти сообщения вбрасывают скорее с экономических причин:
понизить стоимость акций, убрать конкурента, просто из вредности...
Проще в свидетельстве о рождении для новых граждан или в паспорте для уже рожденных
делать запись:
"Все что вы сохраните о себе в интернете останется там навсегда
и не стоит надеяться на то, что это останется в тайне"
Тогда не будет смысла пугать людей какими-то утечками и раздувать мифы о конфиденциальности
данных в сети.