У СДЭК снова произошла утечка данных. На этот раз в открытом доступе обнаружены два дампа, связанные с недавно запущенным сервисом для заказов товаров за рубежом CDEK.Shopping и маркетплейсом «CDEK.Маркет».

Утечку обнаружили специалисты Data Leakage & Breach Intelligence (DLBI). Они сообщают, что данные опубликовал тот же источник, который ранее уже «сливал» в сеть информацию СДЭК, сервиса покупки билетов tutu.ru, службы доставки Delivery Club, образовательной платформы GeekBrains, «Почты России» и так далее.

По информации DLBI, дамп CDEK.Shopping, насчитывающий 19 839 строк, содержит:

  • имена;
  • адреса электронной почты;
  • хешированные (bcrypt) пароли;
  • телефоны;
  • даты рождения;
  • даты создания и обновления профилей (с 19.04.2022 по 15.08.2022).

Дамп «СДЭК.Маркет», насчитывающий около 100 000 строк, в целом похож на первый:

  • имена и фамилии;
  • логины;
  • адреса электронной почты;
  • телефоны;
  • хешированные (MD5 с солью) пароли;
  • даты создания профилей и последнего входа в систему (с 27.08.2018 по 15.03.2022).

Представители СДЭК уже подтвердили факт утечки БД клиентов и сообщают, что в настоящее время компания проводит проверку и работает над предотвращением распространения данных.

«Мы изучаем базу данных, выложенных в сеть, и уже выясняем обстоятельства случившегося. Данные в базе похожи на базу клиентов CDEK.Shopping и “СДЭК.Маркет”. Уже известно, что в базу не попали номера документов, удостоверяющих личность, и данные банковских карт клиентов. Мы делаем все, чтобы предотвратить распространение утечки», — говорят в компании.

Стоит отметить, что ранее на этой неделе стало известно о том, что рабочая группа при Минцифры продолжает работу над законопроектом об оборотных штрафах для компаний, допустивших утечки данных. В настоящее время рабочая группа склоняется к тому, что оборотные штрафы должны получать компании, допустившие утечку информации более чем 10 000 субъектов персональных данных (то есть граждан).

Среди смягчающих обстоятельств, которые «позволят снизить штраф вплоть до фиксированного значения в несколько миллионов», СМИ перечисляют следующие: если компания выявила утечку, публично призналась, активно проводила расследование, помогала надзорным органам и в рамках расследования, выяснилось, что утечка не произошла по причине нарушения требований информационной безопасности.

Напомню, что данный проект разрабатывается совместно с Роскомнадзором и, по словам главы Минцифры Максута Шадаева, не будет касаться госорганов. Ранее обсуждалось, что штраф должен составлять до 1% от оборота. Однако крупные ИТ-компании настаивали, что риски утечек есть независимо от того, как сильно организация вкладывалась в информационную безопасность, и просили смягчить формулировки документа.

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    0 комментариев
    Межтекстовые Отзывы
    Посмотреть все комментарии