Напонним, что в октябре 2018 года на одном хакерском форуме выложили файл login.csv.zip. Это архив с электронной таблицей login.csv на 47 мегабайт. Поля в базе:
- ФИО
- Логин во внутренней системе (совпадает с адресом электронной почты)
Поверхностная проверка подлинности подтвердила аутентичность базы. В частности, там указаны три правильных адреса электронной почты президента банка Германа Грефа. Подлинность базы подтвердил один из сотрудников Сбербанка и представитель сторонней организации, связанной с информационной безопасностью банка.
По закону только ФИО не считается персональными данными, так что утечку лишь этой информации нельзя признать следствием ненадлежащей защиты персональных данных. Другое дело, если в связке с ФИО будет другая информация, позволяющая идентифицировать пользователей. Как классифицировать адресную книгу сотрудников «Сбербанка» с указанием логинов и места работы (вплоть до департамента), может решить суд, у юристов мнения расходятся.
Новые файлы — это служебные документы, которые относятся к интеграции процессов разработки и эксплуатации программного обеспечения (DevOps), пояснил гендиректор Zecurion Алексей Раевский. Коллеги из банковской сферы дополнили, что это черновик проекта по конкретной системе «Сбербанка», причём явно незавершенная работа.
Эксперты сходятся во мнении, что имело место не хищение информации, а именно неосторожные действия сотрудника, который, желая поработать дома, отправлял рабочие файлы себе на домашнюю почту.
«Возможность направлять информацию ограниченного доступа на внешний адрес может говорить о невысокой культуре информационной безопасности в конкретной компании, а также об отсутствии качественной защиты от утечек», — отметил Алексей Раевский. Файлы показывают, какие системы использует банк и как проверяется их исправность. Информация может иметь ценность для узкого круга злоумышленников, поскольку указывает на определённые уязвимости системы, что можно использовать при попытке взлома.
«В архиве содержится рабочая техническая документация, обмен которой возможен, в том числе с подрядчиками, через сеть интернет для выполнения производственных задач», — заявили в пресс-службе банка.
Комментарии (15)
saipr
06.11.2018 12:32там указаны три правильных адреса электронной почты президента банка Германа Грефа.
Он ее уже сменил (почту)? Или можно писать на нее?
pnetmon
06.11.2018 14:58В частности, там указаны три правильных адреса электронной почты президента банка Германа Грефа
Интересно, это (несколько адресов рабочей почты на ФИО) часто практикуется?
lostpassword
06.11.2018 15:56Такое может быть, например, если в компании есть несколько разных доменов. Правда, тогда всё равно в основном используется одна почта, а с остальных ящиков просто ставится на неё редирект.
q2digger
06.11.2018 22:46+1Ну а что тут такого, стандартный, он же часто корпоративный SSO-login, и пара алиасов. У нас например такое есть:
обычный vpupkin@corp.com, длинный vasily.pupkin@corp.com и иногда еще что нибудь, типа v.pupkin@corp.com (хвост от старой почты, есть только у «старых» сотрудников)…pnetmon
07.11.2018 09:14Вы кажется не поняли или я не понял. В моем представлении в этом сообщении это три разных почтовых ящиков (разные входящие), а не один почтовый ящик с разными именами. О чем говорите вы я понимаю.
roscomtheend
07.11.2018 17:33> там указаны три правильных адреса электронной почты
Не вижу где разные mailbox, это могут быть и алиасы и gref@gmail.com + gref@mail.ru.pnetmon
07.11.2018 19:03Это могут быть и Греф_VIP@Сбер (адрес для избраных), Греф@Сбер (для челяди внутри), Гендиректор_разные рассылки@Сбер (разные рассылки и прочее)
При том это не алиасы, а именно отдельные ящики, т.к. фильтры и прочее не всегда удобны, особенно если надо уведомлять и видеть только избранное, и не скачивать все входящие по лимитированных подключениям, и прочее...
premier21
06.11.2018 22:45+1Из-за неаккуратных людей и отсутствия рабочей культуры собирается плохое мнение об удаленной работе.
ggo
07.11.2018 10:00Проблема, имхо, высосана из пальца.
В файле есть логины/пароли? Приватные ключи, сертификаты?
Если у тебя есть доступ к железке, получить список доступных IP, на раз, два, три.
LPA77145
07.11.2018 11:14В Сбербанке, что используется Zecurion? Возможно поставили бы, что-нибудь помощней, да и понастроили бы получше и не было бы данного поста!
zloe_morkoffko
Никогда такого не было и вот опять [/sarcasm]