В сеть попали имена и адреса электронной почты сотен тысяч сотрудников Сбербанка. Представители финансового учреждения причину утечки не раскрывают, об этом сообщают журналисты раздела «Новости России» интернет-издания для деловых людей «Биржевой лидер» со ссылкой на «Коммерсант».
Имена и адреса электронных почтовых ящиков приблизительно 420 тысяч сотрудников Сбербанка опубликованы в сети. В банке не раскрывают причину утечки информации. Возможной причиной сами работники банка называют «злонамеренные действия одного из сотрудников». Подобная утечка данных глобальными проблемами банку не грозит, хотя персонал финансовой организации может оказаться в неприятной ситуации. Сотрудники банка могут стать жертвами массовых фишинговых рассылок.
Намного более важным и губительным для банка в данной ситуации может стать репутационный риск. Многие клиенты авторитетного российского банка после появления информации об утечке персональных данных сотрудников засомневаются в надежности Сбербанка. Клиенты могут усомниться, что банк, который не сумел защитить персональные данные своих сотрудников, способен хорошо обеспечить безопасность другой информации.
На специализированном форуме phreaker.pro появилась база данных с информацией о сотрудниках Сбербанка. База представляет собой объемный текстовый файл. В файле размером около 47 мегабайт более 421 тысячи записей с фамилиями сотрудников и их логинами для входа в операционную систему банка. В большинстве случаев логины совпадают с адресами электронной почты работников банка.
Из текстового файла можно узнать, в каком подразделении работает тот или иной сотрудник. Кроме того, в представленной информации содержатся данные о сотрудниках дочерних структур Сбербанка, включая иностранные подразделения. При этом важно, что количество людей, информация о которых указана в файле, превышает численность всех сотрудников группы Сбербанк.
По итогам первого полугодия текущего года, согласно данным МСФО, в Сбербанке работали почти 300 тысяч человек. Возможной причиной несовпадения может быть то, что в базе содержится информация о некоторых уволенных сотрудниках. Опубликовал базу данных неизвестный пользователь, предложив желающим скачать информацию бесплатно.
Проверка, проведенная журналистами, показала, что в текстовом файле содержится информация, актуальная на 1 августа текущего года. В списке не удалось найти данные сотрудников, которые устроились на работу в Сбербанк позже.
С целью проверки подлинности данных журналисты сравнили адреса электронной почты некоторых непубличных менеджеров Сбербанка с собственной базой данных. Кроме того, есть в вышеуказанном текстовом файле и 3 адреса электронной почты президента банка Германа Грефа. Подлинность информации подтвердил один из сотрудников банка и представитель сторонней организации, которая связана с информационной безопасностью финансового учреждения. В пресс-службе Сбербанка сообщили, что им известно о публикации части адресной книги сотрудников.
В Центробанке считают ситуацию «малоприятной».
Представители банка заверили, что опубликованная информация не представляет собой никакой угрозы для клиентов или автоматизированных систем. В пресс-службе финансовой организации рассказали, что адресная книга доступна всем сотрудникам банка и «не несет угрозы раскрытия их персональных данных». О причинах утечки в пресс-службе не сообщают. По информации от анонимных собеседников журналистов, самым вероятным объяснением являются «злонамеренные действия» одного из действующих или бывших сотрудников банка. Также сотрудник банка сообщил, что о проблеме доложили Герману Грефу, который выразил свое недовольство.
По информации журналистов, об утечке данных сотрудников Сбербанка сообщили в департамент информационной безопасности Центробанка, где ситуацию сочли «малоприятной». Однако больше узнать о реакции регулятора не удалось – пресс-служба Центробанка на запрос не ответила. Сведения об утечке информации Банк России официально не подтвердил и не сообщил о принятии в связи с произошедшим каких-либо мер. Среди прочего Центробанк может обратиться в международную организацию FIRST для разделегирования доменов, на которых база данных была опубликована.
Глава управления информационной безопасности в ОТП-банке Сергей Чернокозинский полагает, что для банка с серьезной информационной защитой подобная утечка данных в первую очередь является репутационным, а не кибернетический риском. Он объясняет, что опубликованные данные могут быть использованы мошенниками для массовой рассылки фишинговых писем, рекламы или спама. Однако серьезные банки с подобными проблемами справляться умеют.
Веб-аналитик «Лаборатории Касперского» Владислав Тушканов в свою очередь отмечает, что утечки данных в последнее время стали довольно частыми явлениями. Неизвестные лица пытаются нарушить системы защиты данных финансовых компаний, работают в сфере здравоохранения и атакуют государственные ведомства. По его мнению, для предприятия утечка данных может быть чревата репутационными потерями.
Как правило, подобные происшествия несут угрозу непосредственно тем людям, данные которых попадают в открытый доступ. Эксперт Илья Жарский утверждает, что в таких ситуациях клиенты банков могут беспокоиться о безопасности клиентской информации. Вместе с тем, обычно по факту на потребителях услуг происшествия никак не отражаются.
