Halyk Bank попал в сети даркнета: взлом гигантской базы данных, как клиентам себя обезопасить?

База клиентских данных известного в Казахстане банка Halyk Bank попала в сети даркнета. Как пишут эксперты экономического британского журнала Talk Finance, потенциальный «покупатель», заинтересованный во владении засекреченной банковской информацией, нашелся быстро.

Старт истории с утечкой дамповской информации был дан с подачи одного из сайтов, промышляющих мошенничеством на банковских картах - migalki.pw. Здесь был обнародован большой архивный контент, содержащий, как говорится в некоторых источниках, украденные данные карт банковских клиентов.

Talk Finance подчеркивает, что попадание в темные слои интернета важной информации, содержащей конфиденциальные данные магнитной полосы «пластиков», - не редкость. Но на этот раз ситуация масштабна. «Трейдер», позаимствовавший секретные «ключи», предлагает выкупить данные баснословного количества карт – 80 тысяч.

Интересно, что выставленный на своеобразные торги «пакет» включает в себя только карты Halyk Bank - Народного Банка Казахстана. Это лидер банковского сегмента страны, с самым большим клиентским пулом, крупнейшим портфелем активов. Уникальные данные клиентов Халыка не в первый раз фигурируют в историях с дампами.

В настоящее время архив в полном объеме перекочевал в руки «покупателя». Причем прогнозируется, что это – лишь первая волна перепродажи. Возможно, за ней последуют и другие торги дампами. Понятно, что ситуация вызывает массу вопросов и опасений со стороны пользователей банковскими услугами.

Факт того, что украденный архив полностью состоит из «пластика» банка Халык, дает почву для утверждения следующего: хищенческая операция могла быть произведена внутри самой кредитной организации. Тогда возникает гипотеза о том, что сам банк выступает генератором случившегося, хотя подобная огласка способна не лучшим образом сказаться на деловой репутации учреждения.

Аналитики Talk Finance не исключают всего этого, хотя и предполагают, что захваченная информация карт – далеко не подлинник, ситуация могла быть смоделирована для того, чтобы перечеркнуть стратегию самих злоумышленников, либо в целях поимки более статусного приобретателя.

В свете данной истории клиентам банков важно помнить, что осведомленность в вопросах сохранения конфиденциальности информации о своих счетах и картах – ключ к финансовой безопасности.

Теперь же мы расскажем о том, как избежать использования вашей карты и денежного счета злоумышленниками.

Крупные банки бывшего СССР, являющиеся наследниками старых добрых сберкасс — ведущие поставщики утечек данных на рынок мошенников. Причину следует искать в традиционной отсталости и огромных раздутых штатах, слабой дисциплине защиты данных и тем, что службы безопасности банков занимаются чем угодно, но только не своей прямой обязанностью. В Казахстане, где наследником сберкассы с фикусами, традесканцией и деревянными счетами является «Народный Банк Казахстана» (Halyk Bank), имеются дополнительные прелести: назначения родственников и симония (продажа должностей за барашков в бумажке).

Как утекают данные о клиентах? На примере Halyk Bank

Доступ к данным любого клиента имеет практически все рядовые операционистки и служащие службы поддержки. Это вполне объяснимо и иначе быть не может: эти данные требуются для решения проблем клиентов, их авторизации для проведения нефинансовых банковских операций. Для этого АРМ операционистки имеет средства поиска. Так что конкретно ваши данные может узнать практически кто угодно.

Но смысла в этом для мошенников не много. Для того, чтобы извлечь прибыль нужны большие массивы данных. Доступа к ним операционисты и дамы из поддержки не имеют: слить базу через интерфейс поддержки не удастся. Т.е. удастся, если программу писали совсем уж лица с ограниченными способностями, а служба охраны данных в банке отсутствует или занимается игрой в Тетрис. Кстати, частый случай, особенно в наследниках сберкасс.

Тем не менее почти все операционисты, наравне с работниками салонов связи, паспортистами, работниками документ-центров, полицейскими и особистами имеют возможность продажи сведений о вас. Существуют целые магазины, где таким людям предлагают «весомую подработку» в зависимости от уровня доступа и популярности запрашиваемых услуг. Из законных соображений мы не приводим ссылки на такие ресурсы.

В большинстве случае данные оптом утекают из отдела IT. При «либеральных порядках», друзьях, знакомых, трудоустроенных родственниках, временных решениях по передаче данных в незашифрованном виде, устаревших системах криптозащиты — считай база есть у всех, кому она нужна. В отличии от «розничной утечки» оптовую утечку уже можно продать в Даркнете. И случаи масштабных выбросов баз данных карт и клиентов — обычное дело.

Зная телефон, фамилию, имя, отчество, дату рождения, основные финансовые показатели, даже устаревшие, мошенники сразу получают фору и стараются узнать о потенциальной жертве побольше. Достаточно получить, к примеру CVC-код (записан на обратной стороне карты, три цифры), чтобы попробовать списать произвольную сумму через интернет-аквайринг где-нибудь в Малайзии. И это — наименьшая из бед, которые могут подстерегать жертву мошенничества.

Кто виноват в утечке данных Halyk Bank и не только?

Герман Греф, который руководит «Сбербанком России», совершил едва ли не единственный честный поступок в жизни, признав в интервью «Коммерсанту», что виноват он сам, как руководитель:

«На мой взгляд, когда такого рода вещи происходят, нужно искать вину в себе, всегда виновато первое лицо во всем. Я считаю, что это моя личная вина»,— сказал Г. Греф.

Это признание не слишком ценно, так как маловероятно, что после него он сам себя выпорол. Но даже этого символического жеста не делают его коллеги. Вместо этого пресс-службы сочиняют сказки про злобных хакеров, которые спустились на Землю прямо с вертолета и все украли. Как в фильмах, где молодые люди делают умное лицо, когда сидят перед случайным фрагментом кода на Javascript. Они еще всегда одеты в толстовки с капюшонами, чтобы вы понимали — вот он хакер.

Все утечки данных из банка — личная вина владельцев, руководства, распорядителей банка.

В России, Казахстане при утечке данных банк в лучшем случае разводит руками, публикует пресс-релиз, о том, что «ситуация под контролем» и засыпает смертным сном. В США и Европе банк получает чудовищный штраф. В этом есть смысл. Данные — это то, что клиент доверил банку, также как к примеру, он доверил ему свои деньги. И если банк проворонил эти данные, то пострадал клиент, независимо от того, стал ли он в последующем жертвой мошенников или нет. Пока у нас нет таких законов, ни Греф, ни Шаяхметова не будут пороть себя розгами. Но первый хотя-бы признался, что это того стоит.

Пока мы дожидаемся кары ротозеев-банкиров, защищаем себя сами

Мошенники работают по определенной схеме. В случае с «кардерами» — мошенниками, которые специализируются на незаконном списании средств с карты, нужно предварительно принять следующие меры:

Поставьте «гео-лок». Запретите съем/списание денег за пределами Казахстана. Обратите внимание! Киргизия — одно из известных мест по «утилизации» краденных средств. Будьте особо осторожны с открытием этого региона;
Установите пределы списания. Исходит из того, что мошенники-кардеры могут списать любую сумму. Но обойти установленный лимит они не в состоянии. Установите предел списания через интернет на малом пороге, или запретите его вообще, если не покупаете товары в интернете; смените PIN-код вашей карты; назначьте новый CVC/CV2 код вашей карты.

Просматриваете сообщения о списании средств. Если вы увидите списание денег, которого не делали — в срочном порядке блокируйте карту и немедленно связывайтесь с банком. Протокол работы карт позволяет опротестовать и остановить платеж. В проведении этой процедуры вам помогут сотрудники Халык Банк. Не паникуйте!

Взлом базы данных клиентов Halyk Bank не так страшен

Вместе с тем, учтите — если вам после списания средств звонит сотрудник банка и спрашивает о том, проводили ли вы такую процедуру… то это как раз мошенник. Повесьте трубку и используйте для связи только официальный телефон центра поддержки клиентов Halyk Bank — 7111. Или банка, клиентом которого вы состоите и видите аналогичное неизвестное списание.