Утечка данных в Shinhan Bank поставила под угрозу персональную информацию около 25 000 клиентов, и южнокорейская Служба финансового надзора (FSS) начала выездную проверку. Причиной стал не украденный пароль и не заражённый телефон. Это была веб-страница, которая впускала посторонних, когда должна была спрашивать, кто они.

Что произошло в Shinhan Bank

Согласно сообщениям об инциденте, мобильная веб-страница, которую Shinhan Bank создал для кредитных консультантов, допускала несанкционированный внешний доступ. Страница предназначалась для узкой группы людей, работающих с банком по кредитам. Вместо этого кто-то извне этой группы смог получить к ней доступ и через неё — к данным клиентов. Пострадавшая группа — около 25 000 клиентов.

Публикации корейских и региональных изданий указывают, что банк публично извинился и пообещал компенсировать пострадавшим клиентам. Местные отчёты также отмечают, что FSS, финансовый регулятор Южной Кореи, проводит выездную проверку. В отдельных публикациях говорилось, что примерно в то же время в KB Kookmin Bank была раскрыта меньшая утечка — 119 клиентских записей, хотя это отдельный инцидент.

Некоторые издания, ссылаясь на Yonhap, сообщили, что в атаке подозревается использование инструментов ИИ. Эта деталь всё ещё описывается как предполагаемая, поэтому относитесь к ней с осторожностью до тех пор, пока следователи её не подтвердят.

Как обход аутентификации раскрыл данные клиентов

Обход аутентификации — это уязвимость, позволяющая кому-то получить доступ к защищённой системе, не подтвердив должным образом свою личность. Обычно страница для кредитных консультантов проверяла бы логин, сессионный токен или иные учётные данные, прежде чем показать какие-либо записи. Когда такая проверка отсутствует, работает некорректно или её можно обойти, страница может передать данные любому, кто знает, где искать.

Это проблема контроля доступа на стороне сервера. Клиент никогда не касался уязвимой страницы. Его данные находились в системе, которую банк или люди, с которыми он работает, были обязаны защищать. Ничто, что клиент делал на своём собственном устройстве, не могло это предотвратить.

Канал кредитных консультантов также заслуживает внимания. Страницы, созданные для внешних партнёров, часто находятся на периферии основной системы безопасности банка. Они должны быть доступны из множества мест и с множества устройств, что делает строгую и последовательную аутентификацию ещё более важной. Инцидент показывает, как одна слабо защищённая страница может свести на нет protections в других местах.

Это вписывается в закономерность, которую мы освещали в финансовом секторе Южной Кореи. Утечка данных в NRL Capital Lend, дочерней компании крупнейшего кредитора страны LEADCORP, также раскрыла конфиденциальную финансовую и личную информацию, связанную с кредитами. Институты и технические детали различаются, но урок похож: данные хранятся на корпоративных системах, и именно там они теряются.

Что VPN может и не может сделать после утечки в банке

Поскольку это сайт, посвящённый VPN, стоит сказать прямо: потребительский VPN не остановил бы эту утечку. VPN шифрует трафик между вашим устройством и VPN-сервером и может скрыть ваш IP-адрес от сайтов, которые вы посещаете. Он не контролирует, как банк аутентифицирует пользователей на своих собственных веб-страницах, и не может защитить записи, хранящиеся на серверах банка.

Там, где VPN может помочь, — это повседневные привычки, снижающие вашу общую подверженность риску:

  • Защита вашего соединения в публичном Wi-Fi, когда вы проверяете счета.
  • Ограничение того, сколько информации сетевого уровня другие могут видеть о вашем просмотре.

Это полезно, но касается другого риска. Если вы слышите, что VPN — это решение для банковских утечек данных, будьте скептичны. Ответственность здесь лежит на учреждении и на регуляторах, которые могут проводить проверки и наказывать за нарушения. Южная Корея показала, что будет делать последнее: страна недавно вынесла рекордный штраф за утечку данных против Coupang.

Шаги, которые клиентам Shinhan следует предпринять сейчас

Вы не можете починить сервер банка, но вы можете ограничить то, что утечка позволяет кому-то сделать. Если вы клиент Shinhan или полагаете, что можете быть среди этих 25 000:

  1. Дождитесь и проверьте официальное уведомление. Полагайтесь на сообщения от самого банка через его официальное приложение или сайт. Не действуйте по ссылкам в неожиданных текстах или письмах.
  2. Ожидайте фишинга. Утёкшие личные и кредитные данные часто используются, чтобы сделать мошеннические звонки или сообщения более убедительными. Звонящий, который знает ваши данные, — не доказательство того, что он законный. Повесьте трубку и позвоните в банк по номеру, которому вы уже доверяете.
  3. Проверьте свои счета и кредитную активность. Ищите незнакомые транзакции, новые заявки на кредит или кредитные запросы, которых вы не делали.
  4. Смените пароли там, где это имеет смысл. О сообщённой уязвимости речь шла как о сбое контроля доступа, а не о краже пароля, но обновление банковского пароля и включение двухфакторной аутентификации всё равно полезная гигиена, особенно если вы повторно используете пароли.
  5. Сохраняйте записи о любом процессе компенсации. Банк пообещал компенсировать пострадавшим клиентам, поэтому сохраняйте любые уведомления и переписку.

Что это значит для вас

Утечка данных в Shinhan Bank — напоминание о том, что значительная часть вашего финансового риска находится вне вашего контроля. Ваши собственные привычки безопасности всё ещё важны, но они не могут заменить грамотную инженерию в учреждениях, которые хранят ваши данные. Самый практичный ответ — исходить из того, что некоторые ваши данные могут циркулировать, и сделать их менее полезными для преступников: проверяйте контакты, следите за своей кредитной историей и используйте надёжные уникальные учётные данные.

Также помогает видеть инциденты в контексте. Южная Корея недавно пережила несколько крупных утечек, включая утечку данных Fast Campus, которая затронула до одного миллиона человек. Регуляторы также расширяют свои полномочия, как показывает получение NIS права расследовать корпоративные взломы при подозрении.

Выводы и дальнейшие шаги

Проверка FSS должна прояснить, как страница кредитных консультантов осталась открытой и что было раскрыто. До тех пор проверьте свою собственную подверженность риску: проверьте свои счета, будьте осторожны с нежелательными контактами и усильте свои логины. Для большего контекста о повторяющейся закономерности в финансовом секторе страны начните с нашего материала об утечке кредитных данных NRL Capital Lend, затем читайте о других южнокорейских инцидентах выше. VPN — хороший инструмент приватности, но после такой утечки данных в Shinhan Bank именно бдительность и быстрые действия защищают вас.