Персональные данные миллиона россиян попали в общий доступ? Green Money сообщает, что информация верна только частично

СМИ сообщили, что свыше 1 млн кредитных историй (КИ) российских граждан оказались в открытом доступе. Причиной тому послужило некорректное обновление программного обеспечения одной крупной МФК. Сейчас утечка данных приостановлена, но никто точно не знает, успели ли злоумышленники воспользоваться ошибкой микрофинансистов и украсть персональные сведения.

Об инциденте стало известно 16 октября 2019 года. Обнаружил сервер финансовой организации с кредитными историями и данными сотовых операторов Боб Дяченко — глава сервиса Security Discovery и независимый исследователь кибербезопасности в Сети. Он сообщил, что 10 октября нашел открытую систему управления базами данных MongoDB. Но по его наблюдениям индексация БД специальными поисковиками была проведена еще раньше, а точнее — 28 августа. Дяченко попытался связаться с владельцем сервера, но тот никак не отреагировал на запросы. Тогда Интернет-исследователь обратился с обнаруженной информацией в бюро КИ. После этого доступ к базе закрыли.

По мнению Боба шансы, что злоумышленники успели скопировать себе персональные данные, достаточно высоки. Ведь информация лежала в открытом доступе более месяца. После сообщения в Twitter об утечке пользователи задались вопросом: о какой конкретно кредитной компании идет речь, кто допустил ошибку? По названию БД и другим косвенным признакам, в том числе путь с IP-адреса, стало понятно, что проблема на стороне МФК «ГринМани».

В базе содержалось 29 директорий, а также сведения от сторонних сервисов для проверки клиентов. Основная доля дискредитированных данных пришлась на кредитные истории, которые хранились в директории «Эквифакс». Объем — свыше 52,5 Гб (или более 1 млн записей). В общий доступ попали реквизиты паспортов, адреса (по регистрации и фактическому проживанию), телефоны, сведения о кредитах и баллах, начисленных по скоринговой системе.

Официальный комментарий Green Money

Судьба Green Money в 2019 году складывалась неоднозначно. В первом полугодии «Эксперт РА» присудили им 13 место по размеру портфеля займов. Но уже 12 сентября Центробанк исключил компанию из государственного реестра МФО по причине неоднократных нарушений в области работы с клиентами и сдачи недостоверной отчетности. В частности, кредитор брал с заемщиков отдельное вознаграждение за передачу данных в БКИ.

По факту обнаруженной утечки в компании была проведена проверка. Генеральный директор Грин Мани Луцык А.Г. сообщил, что догадки журналистов верны только частично. База данных на самом деле оказалась в незащищенном доступе, и произошло это из-за некорректного обновления программного обеспечения. Но настоящая информация в ней была случайным образом перемешана между одинаковыми полями разных записей. Меры по защите были предприняты сразу после обнаружения ошибки.

Также специалисты организации проанализировали сетевой трафик в период с 28 августа по 10 октября. По их словам к БД подключались только на уровне поисковых и сетевых запросов. Сейчас они проводят детализацию журналов доступа, чтобы определить точный объем несанкционированных подключений и дискредитированных сведений (если таковые будут). Представители МФК считают, что речь идет не о миллионе, а лишь о десятках записей. Новости, распространенные в СМИ, они называют не подтвержденными.  

Несмотря на исключение из реестра, кредитор проводит консультации с Интернет-исследователем для дальнейшего совершенствования своих систем безопасности. Они обещают держать всех своих клиентов в курсе событий. Но пока что организация не имеет права выдавать займы гражданам. Если вы ищете, где оформить доступный микрокредит прямо сейчас, изучите предложения от действующих фирм в нашем рейтинге.