В базе данных, содержащей более 125 миллионов текстовых сообщений, отправленных латвийскими и литовскими банками, страховыми компаниями, розничными сетями и поставщиками услуг своим клиентам, устранена уязвимость в системе безопасности. Поставщик услуг, стоящий за системой, сообщает, что проблема исправлена. Этот эпизод — наглядный пример рисков утечки данных у SMS-провайдеров: конфиденциальные сообщения часто хранятся у подрядчика, которого клиенты не выбирали и о существовании которого могут не знать.

Имеющаяся на данный момент информация кратка, поэтому в этом посте мы придерживаемся только того, что было заявлено, и объясняем, почему это важно.

Что было раскрыто в балтийской SMS-базе

Согласно отчёту, затронутая база данных содержала более 125 миллионов текстовых сообщений. Это были сообщения от компаний клиентам, отправленные латвийскими и литовскими банками, страховыми компаниями, розничными сетями и поставщиками услуг. Источник описывает проблему как уязвимость, которая теперь устранена, а в заголовке она представлена как возможная утечка данных.

Эта формулировка важна. Уязвимость означает, что существовала слабость. Сама по себе она не подтверждает, что кто-либо получил доступ к данным или скопировал их. В имеющихся у нас исходных материалах не говорится, как долго существовала эта слабость, кто мог её обнаружить и действительно ли какие-либо сообщения были просмотрены неуполномоченными лицами.

Тем не менее стоит задуматься о том, какие данные обычно хранит такая база. Компании часто используют SMS для одноразовых кодов, банковских оповещений, уведомлений о доставке и сообщений о состоянии счёта. Подобные сообщения могут раскрыть, в каком банке человек обслуживается, что он купил, куда направляется посылка и какими услугами он пользуется. Даже без единого пароля такой контекст ценен для того, кто планирует убедительную мошенническую схему.

Почему сторонние поставщики услуг обмена сообщениями — скрытый риск

Большинство людей полагают, что банк или розничная сеть отправляет свои тексты самостоятельно. На практике многие организации поручают эту работу поставщику услуг обмена сообщениями, который находится между компанией и мобильной сетью. Клиент имеет дело с брендом, но содержимое сообщения проходит через отдельную компанию и может ею храниться.

Это создаёт несколько проблем:

  • Невидимые связи. Клиенты редко видят, какие подрядчики обрабатывают их данные, поэтому не могут оценить безопасность подрядчика.
  • Концентрация данных. Один провайдер может обслуживать множество клиентов в нескольких странах. Одна уязвимость может затронуть сообщения банков, страховых компаний и магазинов одновременно — именно это делает возможной такую цифру, как 125 миллионов сообщений.
  • Вопросы хранения. Журналы сообщений могут храниться для устранения неполадок или отчётности. Чем дольше они хранятся, тем больше можно раскрыть.

Та же закономерность проявляется и в других инцидентах, которые мы освещали. Наш материал о рисках третьих сторон в утечке Trump Mobile показывает, как данные, хранящиеся за пределами собственной инфраструктуры бренда, всё равно могут стать проблемой этого бренда. Утечка данных Fakturownia иллюстрирует аналогичный момент о платформе, которая хранит гораздо больше, чем следует из её названия.

Что исправление поставщика подтверждает, а что нет

Заявление провайдера о том, что проблема устранена, — хорошая новость, но оно отвечает лишь на часть вопроса.

Что оно предполагает: конкретная уязвимость больше не открыта, поэтому тот же путь не должен быть доступен в дальнейшем.

Что оно не подтверждает, исходя из источника:

  • Получал ли кто-либо из третьих лиц доступ к сообщениям до исправления.
  • Содержали ли раскрытые сообщения коды или личные данные, которые всё ещё можно использовать.
  • Проверено ли исправление независимой проверкой.
  • Будут ли затронутые компании уведомлять своих клиентов.

Пока эти вопросы не будут освещены публично, разумная позиция — ни паника, ни самоуспокоенность. Воспринимайте исправление как необходимый шаг, а не как полное устранение угрозы. Организации, использовавшие этого поставщика, лучше всех могут объяснить, что, если вообще что-то, следует делать клиентам.

Что это значит для вас

Если вы пользуетесь банковскими, страховыми или торговыми услугами латвийских или литовских компаний, ваши сообщения могли проходить через подобную систему. Даже если вы находитесь в другом месте, урок применим: любой сервис, который отправляет вам SMS, полагается на цепочку подрядчиков, которую вы не можете проверить.

Реалистичный риск обычно заключается не в драматическом захвате аккаунта из-за одного старого текста. Это целевой фишинг. Мошенник, который знает, что вы недавно получили уведомление о доставке или банковское оповещение, может написать поддельное сообщение, которое выглядит подлинным, используя реальные детали, чтобы завоевать ваше доверие. Старые одноразовые коды должны быть просрочены, но сам вход по SMS остаётся слабым звеном, поскольку тексты могут быть перехвачены, пересланы или раскрыты в местах, которые вы не контролируете. Наш еженедельный обзор безопасности также отмечает, как продолжают развиваться фишинговые уловки, что служит напоминанием сохранять скептицизм к неожиданным сообщениям.

Как защитить себя от SMS-фишинга и рисков двухфакторной аутентификации

Вы не можете выбрать поставщика услуг обмена сообщениями для своего банка, но можете снизить ущерб, который может нанести раскрытый текст.

  1. Откажитесь от SMS-кодов, где это возможно. Используйте приложение-аутентификатор или аппаратный ключ безопасности для двухфакторной аутентификации. Они не проходят через системы текстовых сообщений.
  2. Оставляйте SMS только как запасной вариант. Если сервис требует текстовую верификацию, включите её, но добавляйте более надёжные варианты везде, где сервис это позволяет.
  3. Не доверяйте сообщениям, ссылающимся на реальную активность. Текст, упоминающий реальный заказ или банк, не доказывает его подлинность. Не нажимайте на ссылки; откройте официальное приложение или введите адрес вручную.
  4. Никогда не делитесь кодами. Ни один легитимный банк или розничная сеть не попросит вас продиктовать одноразовый код.
  5. Следите за своими счетами. Проверяйте выписки и уведомления о входе на предмет чего-либо незнакомого и быстро сообщайте банку о подозрительной активности.
  6. Спрашивайте своих провайдеров. Если вы хотите узнать, как компания обрабатывает данные сообщений, спросите, кто их обрабатывает и как долго они хранятся.

Главное

Исправление этой балтийской базы данных — хорошая новость, но оно оставляет открытыми вопросы о том, был ли когда-либо получен доступ к данным. Более широкий урок о рисках утечки данных у SMS-провайдеров остаётся в силе независимо от этого: конфиденциальные уведомления проходят через подрядчиков, которых вы никогда не выбирали, и вы можете контролировать только свою сторону. Переходите на двухфакторную аутентификацию через приложение или аппаратный ключ, сохраняйте бдительность к любым сообщениям, упоминающим реальную активность, и читайте больше о том, как внешние подрядчики создают уязвимость, в наших материалах об утечке Trump Mobile и инциденте Fakturownia.