Крупнейшие современные утечки данных

В 2023 году Роскомнадзор зафиксировал 168 утечек персональных данных, в результате которых в открытый доступ попало свыше 300 миллионов записей. Также было отмечено, что суды рассмотрели 87 дел об утечках, наложив штрафы на общую сумму более 4,6 миллиона рублей. Основная масса угроз информационной безопасности приходится на средние и мелкие организации, но есть случаи, когда компании-гиганты пострадали от кибератак.

Крупнейшие утечки данных

Утечка данных клиентов Сбербанка, включающая 60 миллионов записей, стала крупнейшей в истории российского банковского сектора. База данных с информацией о десятках миллионов держателей кредитных карт была выставлена на продажу в Интернете. Предположительно, утечка произошла во второй половине августа 2019 года, а в продажу база поступила в конце сентября того же года.

Содержимое базы включает уникальные идентификаторы держателей карт, такие как паспортные данные и ФИО, а также информацию о лимитах и операциях по картам. По словам продавца, база разделена на несколько частей, каждая из которых соответствует территориальным отделениям Сбербанка. В качестве «пробника» злоумышленник распространил фрагмент с данными 200 клиентов из разных городов. Стоимость базы оценивалась из расчета 5 рублей за строку.

По словам представителей финансового ведомства, утечка стала результатом преступления, совершенного сотрудниками банка. В Сбербанке подчеркнули, что из-за изолированности базы доступ к ней извне невозможен. Кроме того, в банке уточнили, что отсутствие CVV-кодов в базе данных гарантирует информационную безопасность средств клиентов. Также для проведения транзакций без карты требуется подтверждение через SMS-пароль, отправляемый на телефон владельца.

Также запомнилась утечка с серверов оператора фискальных данных «Дримкас». В общей сложности в открытый доступ попали более 90 миллионов записей, содержащих данные о юридических и физических лицах. С 8 августа в течение семи дней на серверах оператора находились 76 миллионов строк, включая полные фискальные сведения: порядковый номер и ФИО продавца, которые относятся к персональным данным, а также даты и время операций, количество товаров, их наименования и стоимость.

Спустя месяц, 9 сентября, из-за уязвимости в сервере ОФД стали доступны еще 14 миллионов записей, содержащих данные о физических и юридических лицах, включая информацию о покупателях и уплаченных налогах.

Недавние утечки данных

Одной из значительных утечек 2023 года стала кража данных почти 1 миллиона клиентов МТС-банка. В открытом доступе оказались три файла с информацией. Первый файл содержал миллион записей с личными данными, включая имена, номера телефонов, пол, ИНН и гражданство. Во втором файле – более 3 миллионов записей с типами, частичными номерами карт и датами их выпуска. В третьем – 1,8 миллиона уникальных номеров телефонов, 50 тысяч уникальных адресов электронной почты и числовые идентификаторы.

В начале 2024 года группа Kiborg заявила, что данные 38 миллионов клиентов Альфа-банка попали в открытый доступ. По их словам, утечка произошла в октябре 2023 года. Некоторые клиенты банка, открывшие счета в 2023 году, обнаружили свои данные в этой базе, включая номера счетов, карт, телефоны, адреса и даты рождения.

Изменения в законодательстве

В августе 2023 года стало известно, что правительство поддержало законопроект, предложенный депутатами, об оборотных штрафах для компаний за утечки персональных данных, но при условии его доработки. В конце июля сенаторы и депутаты отправили в правительство документ, в котором предлагалось увеличить размеры штрафов.

Согласно законопроекту, если утечка затронет от 1 000 до 10 000 граждан, штраф для юридических лиц составит от 3 до 5 миллионов рублей; за утечку данных от 10 000 до 100 000 граждан – от 5 до 10 миллионов рублей; за утечку более 100 000 записей – от 10 до 15 миллионов рублей.

В случае повторного нарушения, независимо от объема утечки, если затронуто более 1 000 человек, предполагается штраф в размере от 0,1% до 3% выручки за предыдущий календарный год, но не менее 15 миллионов и не более 500 миллионов рублей.

Обычно утечки такого рода происходят из-за неправильно настроенной политики безопасности, ошибок в конфигурации систем и отсутствия должного мониторинга.