База данных клиентов «Цитруса» обнаружена в сети: что там и насколько это правда

С августа 2017 года на одном из платных закрытых полулегальных форумов для скачивания доступна база данных учетных записей, позиционируемая как база клиентов сети магазинов и интернет-площадки «citrus.ua».

Об этом сообщает InternetUA.

Базу, которая, согласно описанию, содержит данные более 125 тысяч учетных записей пользователей, обнаружил исследователь средств информационной безопасности, полицейский Михаил Ломака.  На форуме 15 августа прошлого года её опубликовал пользователь под ником «nubifok».

Позже, спустя неделю, база появилась на другом платном форуме, но уже в структурированном виде.

– База доступна для скачивания на одном из форумов после регистрации и незначительного пополнения счёта, – рассказывает Михаил Ломака. –  Также, уже в обработанном виде, присуща и на других, более закрытых форумах. В первоначальном виде база содержит  данные о 125 тысяч 286 юзерах. Возможности снимать деньги база не дает, как и покупать на чужие деньги.  

База, мусор или вброс?

В «Цитрусе» не знали о нахождении в сети базы, которая выдает себя за базу учетных записей их клиентов. После обращения к ним нашего издания и проверки предоставленных материалов, там категорически отвергли подлинность найденных данных.

– Предоставленные материалы не имеют ничего общего с нашей базой клиентов,  нами не используются данные логины для авторизации, – сообщил нашему изданию руководитель программы лояльности компании Цитрус Сергей Кольчик. –  Для авторизации в личном кабинете используется почта либо номера телефонов (в 95% - телефон), учёт клиентов ведётся по номеру телефона, на Ваших скринах их нет. Ни связки с датой рождения, ни телефона, ни ФИО.

В ответ на наш тезис о том, что часть базы всё же содержит, кроме логинов и электронной почты,  номера телефонов и имена (на скриншоте ниже) пользователей, представитель «Цитруса» заявил, что номера в базе хранятся в другом формате:

– Номера у нас в CRM хранятся в 12-значном формате (3806352ХХХХХ – мой, к примеру). То, что скинули Вы, имеет и дефисы, и проблемы, и скобки. Это мусор какой-то, система такого не пропустит на входе. 90% e-mail из скриншотов нет в системе. Это похоже на какой-то не очень качественный «вброс», только цели не ясны, ведь это не наша база, а мусор.

Чтобы проверить подлинность или фэйковость базы, InternetUA  решил выборочно обзвонить указанных в якобы базе «Цитрус» клиентов, чьи номера были в файле.  

9 из  10 номеров  оказались действующими номерами телефонов (один из десяти номеров просто не имел кода оператора). Из девяти номеров в пяти случаях нам ответили, в других – вызов был сброшен, либо никто не подошел к телефону. Из опрошенных нами 5 абонентов, один полностью отверг возможность пользования сайтом магазина, так как номер телефона оказался корпоративным номером телефона компании «Воля». В четырех остальных случаях нашему изданию подтвердили, что действительно являются клиентами интернет-магазина «Цитрус» (осуществляли покупки или проходили регистрацию на портале, используя указанные в базе имена, номера телефонов и e-mail ).

Что говорят эксперты

В Команде реагирования на компьютерные чрезвычайные события Украины CERT-UA Госспецсвязи не смогли дать комментарий по поводу подлинности базы якобы клиентов «Цитруса», однако поделились советами, что делать, дабы обезопасить свои данные:

– Можно сказать, что БД содержит хэши паролей. Хэш пароля можно расшифровать, например, на сайте https://www.hashkiller.co.uk/  или https://www.hashkiller.co.uk/md5-decrypter.aspx . Но, если пароль сложный, то его будет трудно расшифровать или вообще расшифровать  невозможно. Исходя из этого, основная рекомендация – использовать стойкие пароли, которые содержат большое количество символов, с цифрами и большими и малыми буквами.

Эксперт по новым медиа, руководитель программ новых медиа Интерньюз Украина Виталий Мороз в комментарии для нашего издания отметил, что вполне вероятной выглядит возможность получения доступа к базе клиентов посторонними, однако «полезность» базы для злоумышленников является сомнительной:

– Является ли эта база базой клиентов «Цитруса» – сказать тяжело. Но появление подобной базы говорит о том, что какие-то проблемы могли быть. Любая торговая сеть заинтересована в формировании базы своих клиентов, для того, чтобы использовать базу для их информирования своих клиентов. Как правило, формирование такой базы осуществляется на основании согласия пользователей на обработку своих персональных данных – номера телефона, имени и фамилии, даты рождения.  Эта информация хранится на серверах сети. Очевидно, что сегодня уязвимы, все и вполне вероятно, что любую базу, которая защищена недостаточно, можно взломать, - говорит Виталий Мороз. - Очень часто подобные базы данных попадают в сеть, поэтому вполне возможно, что кто-то мог получить доступ и к этой базе, но что дальше с ней делать – непонятно. Довольно часто, это такие себе «игрушки» хакеров – они таким способом «испытывают на прочность» сайт.

Эксперт считает, что публикация в открытом доступе данных пользователей, является нарушением их прав, ведь сами пользователи предоставляли согласие на обработку персональных данных для  конкретного проекта и конкретной компании. Виталий Мороз также отметил, что любая компания будет априори отрицать проблемы с цифровой безопасностью.

InternetUA (на всякий случай) рекомендует поменять ваш пароль от учетной записи на сайте сitrus.ua.