6 грудня у Мережі з'явилася інформація про продаж баз даних клієнтів "Нової пошти".
Про це на своїй сторінці Facebook повідомив консультант з кібербезпеки Єгор Папишев. Представниця "Нової пошти" у коментарі ТСН.ua прямо не підтвердила виток даних.
За словами Папишева, у Даркнеті (так званий тіньовий сегмент інтернету, - ред.) на продаж було виставлено дві актуальні бази "Нової пошти" з персональними даними 18,5 млн клієнтів служби доставки.
| “ | "Як таких баз дві: перша містить інформацію близько півмільйона чоловік, з персональними даними в розбивці ПІБ/телефон/місто/серія та номер паспорта/email. Друга - 18 мільйонів записів, але з меншою деталізацією (тільки ПІБ і телефон)", - написав Папишев. |
Експерту вдалося зв'язатися з продавцем, який дозволив йому перевірити "якість" інформації.
| “ | "По-перше, надано довільний шматок бази. По-друге, я попросив надіслати мені значення записів з бази, давши йому кілька номерів телефонів для ідентифікації. Номери належали зовсім різним людям з різних міст і ніяк не були пов'язані один з одним. Відповідь прийшла менше, ніж через п'ять хвилин, і містила абсолютно точні і свіжі дані про клієнтів (включаючи змінене у зв'язку з недавнім заміжжям прізвище однієї з них). Для додаткової перевірки я задав ще декілька телефонних номерів, які апріорі не могли бути використані в сервісі "Нової Пошти" (це корпоративні номери) і правильно - їх в цій базі не виявилося", - додав Папишев. |
Консультант з кібербезпеки у коментарі виданню InternetUA також повідомив, що продавець бази вийшов на зв'язок з російського поштовика, а ціну вказав у гривнях. Зокрема деталізована база на півмільйона клієнтів коштує 1500 грн.
Ціну Папишев назвав "цілком нормальною" за такий обсяг даних без логінів і паролів, і пояснив, що, ймовірно, продавець намагається заробити на обсязі продажів.
Facebook 1
ВКонтакте
Google+
Twitter
Viber
Папишев наголосив, що керівництву "Нової пошти" варто пошукати точку компроментації, найімовірніше це був інсайдер, та вводити додаткові заходи контролю та захисту.
Він також додав, що в Європі за такий інцидент компанії загрожував би штраф у розмірі 4% від річного обороту або 20 млн євро.
| “ | Громадянам експерт порадив більш ретельно ставитися до свого вибору, кому надавати свої дані. "Як використовуються ці дані зловмисниками? Перш за все, нав'язлива реклама, спам в SMS і по електронній пошті, холодні дзвінки. Далі йдуть варіанти використання цих даних як компонент атак соціальної інженерії, з різноманітними далекосяжними наслідками", - сказав Папишев. |
Своєю чергою у "Новій пошті" прямо не підтвердили виток даних. У компанії наполягають, що дані, які наведені в опублікованому Папишевим скріншоті, неактуальні.
| “ | "Ми вже зв’язалися з автором поста, аби з’ясувати обставини нібито купівлі бази, і він погодився співпрацювати у подальшій перевірці описаного в пості випадку. Втім, виходячи зі скріншоту в Facebook-публікації, про яку йдеться, наші спеціалісти визнали інформацію в ній неактуальною", - повідомила прес-секретар "Нової пошти" Тетяна Потапова. |
| “ | Вона також запевнила що "Нова Пошта" дбає про безпеку особистих даних клієнтів і регулярно вдосконалює всі рівні захисту своїх баз. "Компанія поділяє Загальний регламент з захисту даних GDPR та орієнтується на викладені в ньому стандарти безпеки персональних даних", - запевнила Потапова. |
Директор з інформаційних технологій групи компаній "Нова пошта" Олександр Євстратов наголосив, що база, зображена на скріншоті в пості, може належати будь-якому іншому українському підприємству.
| “ | "Вона не містить жодних ознак того, що це дані саме "Нової пошти". Більше того, за результатами первинного аналізу, в таблиці на цьому скріншоті містяться дані, які відсутні в поточній базі "Нової пошти", - додав Євстратов. |
Він зауважив, що цей пост привернув увагу до проблему, від якої в Україні мало хто повністю застрахований.
| “ | "Що робимо ми в "Новій пошті" – це впроваджуємо нову стратегічну IT-програму, в якій особливу увагу приділяємо саме інформаційній безпеці і передовим механізмам захисту даних та моніторингу ризиків. Залучаємо до команди кращих експертів галузі, ведемо переговори з потенційними партнерами про запуск систем криптографічного захисту, про анонімізацію персональних і аналітичних даних. Реакція групи компаній "Нова пошта" на будь-яку спробу у протиправний спосіб заволодіти даними наших клієнтів буде однозначною і жорсткою", - наголосив Євстратов. |
| Читайте також: | Власник ЗАЗ розповів, коли з'явиться заміна «Ланосу» |
