В компании TikTok отрицают утверждения о том, что группа хакеров под названием AgainstTheWest взломала базу данных в облачной системе Alibaba и похитила 2,05 млрд записей, в том числе данные о пользователях TikTok и WeChat. Размер базы, по утверждениям хакеров, составляет 790 Гбайт, и в ней есть пользовательские данные, статистика платформы, исходный код, файлы cookie, токены авторизации и другая информация. Хакеры заявляют, что еще не решили, продавать базу или выложить ее в общий доступ.

Представители TikTok в ответ заявляют, что исходный код, о котором говорят хакеры, не имеет отношения к коду серверной части TikTok, который никогда не объединялся с данными WeChat. Опубликованные хакерами фрагменты данных, утверждают в компании, являются публично доступной информацией, а не результатом взлома. Специалисты пока не убеждены в том, что взлом действительно имел место. По мнению известного специалиста по безопасности Троя Ханта (создателя сайта Have I Been Pwned?), некоторые данные совпадают с реальными, хотя и общедоступными данными о системах и пользователях TikTok. Некоторые данные бессмысленны, но это могут быть непроизводственные или тестовые данные. В целом картина пока неясна, считает он.

Летом 2022 года зафиксирован двукратный рост количества выложенных в открытый доступ баз данных российских компаний по сравнению с весной нынешнего года, об этом говорится в отчете компании Group-IB. По данным Group-IB Threat Intelligence, за три летних месяца в сеть попало 140 баз. Рекорд был поставлен в августе — 100 утечек. В июне их было 23, в июле — 17. Общее количество строк всех летних утечек, по оценкам экспертов Group-IB, составило 304 млн.

Августовский рекорд, как пишут специалисты, был поставлен из-за «мегаутечки», которая включала базы данных 75 компаний. Для сравнения за всю весну этого года было опубликовано 73 базы. Самые крупные утечки были зафиксированы у компаний, работающих в сферах доставки — 192 млн строк, онлайн-видео — 43 млн строк, медицинских услуг — 30 млн строк.

Большинство утекших баз данных были актуальны на момент публикации, подчеркнули в Group-IB. Они включают имена клиентов, их телефоны, адреса, даты рождения, а в некоторых можно найти хеш-пароли, паспортные данные, подробности заказов и другую чувствительную информацию.

Весной Минцифры выступило с предложением ввести оборотные штрафы для компаний, допустивших утечку персональных данных: сейчас штрафы настолько невелики, что бизнес опасается скорее не их, а репутационных издержек. Сейчас рабочая группы при Минцифры разрабатывает законопроект об оборотных штрафах за утечки данных для бизнеса, но не госорганов. По предварительному проекту, такой штраф может грозить компаниям, если она коснулась более 10 тыс. субъектов персональных данных. Штраф составит до 1% от оборота.

Компании получат оборотные штрафы, если допустят утечку информации более чем 10 тыс. субъектов персональных данных. Такой вариант обсуждается рабочей группой при Минцифры, которая готовит законопроект об оборотных штрафах за утечки данных, сообщает РБК со ссылкой на свои источники, близкий к министерству. В случае если объем окажется меньше, компания также получит штраф, но не оборотный, а фиксированный. Среди смягчающих обстоятельств, которые позволят снизить штраф, рассматриваются такие: если компания выявила утечку, публично призналась, активно проводила расследование, помогала надзорным органам и в рамках расследования выяснилось, что утечка не произошла по причине нарушения требований информационной безопасности.

В апреле глава Минцифры Максут Шадаев выступил с предложением ввести оборотные штрафы для компаний, допустивших утечку персональных данных, пояснив, что сейчас бизнес опасается скорее репутационных издержек, нежели штрафа. Проект разрабатывается совместно с Роскомнадзором и не будет касаться госорганов. Обсуждалось, что штраф составит до 1% от оборота. Крупные ИТ-компании как альтернативу предложили трехступенчатую систему наказания: если данные клиентов или сотрудников компании скомпрометированы впервые, то она должна получить просто предупреждение; в случае повторной компрометации — заплатить крупный штраф; при третьей утечке — оборотный штраф.

Эксперты, опрошенные РБК, отметили, что важно не столько количество субъектов, чьи данные утекли, сколько категория этих данных: к примеру, утечка паспортных или финансовых данных гораздо опаснее информации о номерах телефонов клиентов.

По текущему законодательству максимальное наказание за утечку персональных данных для юрлиц — это штраф 500 тыс. руб.

В Минцифры заявили агентству, что законопроект об оборотных штрафах за утечку персональных данных находится в стадии разработки и будет представлен в середине сентября.

В СДЭК подтвердили утечку данных клиентов своих сервисов, ведется проверка, сообщает РБК со ссылкой на пресс-службу компании.

Предположительно, это данные платформы для заказов товаров из-за границы CDEK.Shopping и маркетплейса «CДЭК.Маркет», всего около 120 тыс. строк данных, включающих имена и фамилии, адреса электронной почты, телефон, дату рождения, хешированный пароль. Данные относятся к периоду с августа 2018-го по апрель 2022 года. В компании подчеркнули, что в базу не попали номера документов, удостоверяющих личность, и данные банковских карт клиентов.

Об утечке ранее сообщил Telegram-канал «Утечки информации».

В Минцифры вместе с Роскомнадзором предложили ввести оборотные штрафы для компаний, допустивших утечку данных.

Потери экономики России в 2019 году от действий киберпреступников составили 2,5 трлн руб., заявили в Сбербанке. Там также считают, что экономические потери продолжат расти и в 2020 году могут составить 3,5-3,6 трлн руб., передает ТАСС.

2 октября 2019 года Сбербанку стало известно о возможной утечке учетных записей по банковским картам, которая затрагивала как минимум 200 клиентов банка. Эксперты назвали данные подлинными и называют утечку самой крупной в российском банковском секторе.

4 октября служба безопасности Сбербанка при взаимодействии с правоохранительными органами выявила сотрудника банка, который попытался похитить клиентскую информацию в корыстных целях. Им оказался руководитель сектора в одном из бизнес-подразделений банка, который имел доступ к базам данных в силу выполнения служебных обязанностей.

После крупной утечки данных в октябре 2019 года Сбербанк разработал автоматизированную программу по предотвращению потери информации и данных клиентов, сообщили в организации.

В 2019 году персональные данные россиян стали утекать через ИT-специалистов, пишет газета «Известия» со ссылкой на компанию по кибербезопасности DeviceLock. На долю системных администраторов в 2019 году впервые пришлось 2% слива. Причиной является то, что профессия ИT-специалиста из элитной становится массовой, что влечет снижение уровня доходов и требований к соискателям, полагают аналитики.

В остальных 98% случаях утечки данных произошли при помощи специалистов других подразделений банков и компаний, включая специалистов бэк-офиса и клиентской поддержки.

По объему на слив информации сисадминами приходится более четверти всех утечек.

Роскомнадзор предлагает ввести административную ответственность за использование похищенных персональных данных, приводит слова главы ведомства Александра Жарова «Коммерсантъ». По мнению чиновника, виноват не только тот, кто украл данные, но и тот, кто потом покупает их и использует, осознавая, что они похищенные.

31 октября данные 3,5 тыс. клиентов Альфа-банка и 3 тыс. «АльфаСтрахования» оказались выставлены на продажу в Сети. 2 октября 2019 года Сбербанку стало известно об утечке учетных записей по банковским картам. 4 октября служба безопасности Сбербанка при взаимодействии с правоохранительными органами выявила сотрудника банка, который попытался похитить клиентскую информацию в корыстных целях. Им оказался руководитель сектора в одном из бизнес-подразделений банка, который имел доступ к базам данных в силу выполнения служебных обязанностей.

Предложения по наказанию за использование украденных данных Роскомнадзор подготовит к весне, служба ожидает их поддержки.

31 октября данные 3,5 тыс. клиентов Альфа-банка и 3 тыс. «АльфаСтрахования» оказались выставлены на продажу в Сети, сообщает РБК. В бесплатном пробнике находились договоры, в которых содержатся ФИО, номер мобильного телефона, паспортные данные, адрес регистрации, сумма кредитного лимита или оформленной страховки, предмет страхования, а также дата заключения договора.

В Альфа-банке не отрицают распространения персональных данных, но говорят о небольшом числе клиентов: на данный момент достоверно известно об утечке персональных данных 15 лиц. Слив данных и Альфа-банка, и «АльфаСтрахования» мог совершить один и тот же человек — сотрудник банка, причем из низового звена, говорят собеседники издания.

2 октября 2019 года Сбербанку стало известно об утечке учетных записей по банковским картам. 4 октября служба безопасности Сбербанка при взаимодействии с правоохранительными органами выявила сотрудника банка, который попытался похитить клиентскую информацию в корыстных целях. Им оказался руководитель сектора в одном из бизнес-подразделений банка, который имел доступ к базам данных в силу выполнения служебных обязанностей.

Сейчас Альфа-банк проводит внутреннее расследование «по выявлению масштаба инцидента и обстоятельств, в результате которых такие данные стали доступны третьим лицам».

24 октября в МВД сообщили о раскрытии хищения данных клиентов Сбербанка, пишет «Коммерсантъ». Продавцом данных Сбербанка оказался оператор колл-центра коллекторского агентства «Национальная служба взысканий». Сейчас ведется документирование доказательств его виновности.

В Сбербанке сообщили, что расторгнут договор с НСВ «в связи с нарушением условий договора и утратой доверия». Кредитная организация также пообещала провести аудит систем защиты персональных данных проблемных заемщиков, используемых коллекторскими агентствами—подрядчиками.

2 октября 2019 года Сбербанку стало известно о возможной утечке учетных записей по банковским картам, которая затрагивает как минимум 200 клиентов банка. 4 октября служба безопасности Сбербанка при взаимодействии с правоохранительными органами выявила сотрудника банка, который попытался похитить клиентскую информацию в корыстных целях. Им оказался руководитель сектора в одном из бизнес-подразделений банка, который имел доступ к базам данных в силу выполнения служебных обязанностей.

Преступление относится к категории средней тяжести и влечет наказание по ч. 3 в виде штрафа в размере до 1,5 млн руб. или принудительных работ на срок до пяти, или лишения свободы на тот же срок.

16 октября руководитель проекта Security Discovery Боб Дяченко сообщил об обнаруженном сервере онлайн-кредитора, содержавшем кредитные истории миллиона россиян (52,5 Гбайт) из бюро кредитных историй «Эквифакс», а также c данными сотовых операторов, пишет «Коммерсантъ». Дяченко сообщил о проблеме в БКИ, после чего базу данных закрыли. Информация была долго доступна для свободного скачивания и потому могла быть украдена злоумышленниками.

База данных содержит 29 коллекций. В ней есть сведения о нескольких сторонних сервисов для оценки заемщиков микрофинансовых организаций, ЕСИА и сотовых операторов. В частности, база предоставляет полные паспортные данные и другие документы заемщика, адрес регистрации и фактического места жительства, номера телефонов, а также информацию о кредитах и скоринговом балле. Название базы данных отсылает к микрофинансовой компании «ГринМани», выдававшей онлайн-займы.

В «ГринМани» заявили, что проводят проверку для выяснения «всей информации по данному случаю».