Персональные данные 900 тысяч клиентов «ОТП-банка», «Альфа-банка» и «ХКФ-банка» утекли в сеть

[ormoulu]

Никогда такого не было, и вот опять.

[DMGarikk]

Забавно, ну и чо всякие аудиторы из PwC и прочих KPMG и подобных именитых контор не делают заявлений на тему «ну так у банка с сотрудниками договор запрещающий такие утечки, проблем нет мы подадим на них в суд»
Черт, я на КАЖДОМ аудите задавал этот вопрос, каждый раз один и тотже ответ (выше)
И на закономерный вопрос «так если УЖЕ база утекла, какой смысл в таком суде??»… непонимающий взор и хлопание глазами… и потом опять «ну мы на них в СУД подадим!!! у них в договоре прописан запрет!»
p.s. рукалицо

[Akela_wolf]

А что, можно точно установить кто из сотрудников спер базу? И доказать? Тогда там даже не суд, там, вполне может быть, уголовное дело намечается.
Только мне так кажется с доказательствами на этот счет негусто.

[DMGarikk]

Тогда там даже не суд, там, вполне может быть, уголовное дело намечается.

И 900тысяч потенциально пострадавших смогут вдохнуть спокойно, какогото несчастного оператора коллцентра-техподдержки (у меня до сих пор волосы шевелятся когда я вспоминаю уровень доступа этих специалистов) посадят на 10 лет.
Я к тому что у нас ИБ почемуто построено именно на этом принципе, там где этим вообще ктото заморачивается

[Akela_wolf]

Оператор коллцентра имеет доступ ко всей БД? Really? Тогда я удивляюсь что БД не воруют каждый месяц.

[A114n]

Вот не стал бы так уверенно это утверждать. Не удивлюсь, если где-то в даркнете давно продаётся какая-нибудь ежемесячно обновляемая подписка на банковские и налоговые базы.

[DMGarikk]

Оператор коллцентра имеет доступ ко всей БД? Really?

Оператор коллцентра с зарплатой в 28-30тыр, имеет очень обширный доступ, гораздо больше чем вам хотелось бы
За последние лет 5 с ужесточением правил pcidss сейчас вроде стали дополнительно логировать доступ к данным...(я хоть уже давно не работаю в этой сфере, но лучше не буду углублятся во подробности, но уверяю вас они не радужные)

Тогда я удивляюсь что БД не воруют каждый месяц.

Я вот тоже очень удивляюсь

[Programmierus]

PCI-DSS то тут причем?

[DMGarikk]

Напрямую он к банкам не относится, но до того как он стал обязательным в карточных средах, которые почти во всех банках есть, ситуация с ИБ была кардинально хуже

[Programmierus]

От относится к любым организациям, работающими с данными КК. Регламентирует хранение и обработку конкретно этих данных в cold/hard storage и транзите, параметры аудита используемых систем и т.п.

К работе колл-центров банковских эта организация и сертификация не имеет никакого отношения.

[DMGarikk]

Сотрудники техподдержки у крупных банков обычно имеют доступ к операциям по картам, по этому имеет отношение вполне прямое
(справедливости ради, ну да, у мелких банков работа с кредитными картами может быть на оутсорсе)

[rstepanov]

Оператор колл-центра имеет возможность выборочно посмотреть данные любого клиента, но пакетная выгрузка данных невозможна, это явно оговаривается правилами PCI-DSS.

[DMGarikk]

ну никто особо не мешает вручную поселектить пару сотен клиентов в неделю и вынести даже на бумажке
А если инсайдеров-операторов несколько то oh shi--
==
на самом деле тут сильно поможет чтото чтото типа анализатора аномальной активности с сопоставлением звонков и селектов к базе

[prudnitskiy]

Вопрос в том, что если несчастного оператора коллцентра, который ваши личные данные продаст по цене гамбургера — не посадить — такие утечки будут вечно. У оператора КЦ нет никаких рисков (максимум — уволят), почему бы и не заработать копеечку?

[morozko]

Не понял, кто на кого должен в суд подать? Аудиторы на клиента? Сотрудники банка на работодателя?

[Akela_wolf]

Бывший работодатель на сотрудника который спер БД, насколько я понял.

[DMGarikk]

Именно, и с точки зрения аудита это достаточный уровень защиты

[morozko]

А написано так, будто аудиторы должны подать в суд.

[legolegs]

Хочу поискать в базе себя. Где можно скачать?

[ferosod]

Присоединяюсь к вопросу. Я тоже хочу поискать в базе legolegs

[legolegs]

Не смейте! Я буду жаловаться в сберегательную кассу!

[tohandr]

Нужно срочно запилить сервис «проверки» наличия данных в утёкших базах и собрать еще немного персданных. Как в баяне про проверку абсолютно уникального пароля.

[ferosod]

Что это за банк, и в какой стране?

[devalone]

Ещё номер карты, срок годности и CVV код

[smilyfox]

На фрикер.про сторожа и охранники тешат свое самолюбие, обмениваясь старыми БД. Попросите у них — не откажут.

[Dal]

Отправить запрос в банк. Посмотреть на ответ. Но выглядит как троллинг.

[NAI]

… и можно ли привлечь за распространение ПД?

[Zibx]

С альфой не выйдет — они подстраховались. Мне выпустили, но не отдали кредитку когда я стал вычёркивать из договора «передачу персональных данных третьим лицам».

[Nimtar]

А про неограниченный круг лиц там тоже было?
На самом деле, проворонили ПД, нельзя ли по суду взыскать?

[DMGarikk]

они подстраховались. Мне выпустили, но не отдали кредитку когда я стал вычёркивать из договора «передачу персональных данных третьим лицам».

подстраховались… Альфа не может обслуживать вашу кредитку без передачи данных третьим лицам в принципе, из-за особенностей их процессинга

[benyamin]

Думю банки ничего поэтому поводу не скажут

[Int_13h]

Покарал таки боженька Альфа-банку! Да отольются им слезы сиротские! А то задолбали по 3 раза в неделю названивать с предложениями, от которых невозможно отказаться. Хотя никогда их клиентом не являлся, а откуда у них мой номер — не говорят, подлюги :)

[CoolCmd]

когда звонят из альфы, я обычно рассказываю про интимные связи с родственниками звонящего или сразу посылаю на йух. звонить перестают. правда есть минус: иногда банкомат падла отказывается давать денежки и требует сначала подтвердить номер мобильного.

[Naves]

Мне как-то ответили, типа ваш знакомый дал ваш номер по программе приведи друга. На вопрос, кто же этот знакомый ответа не дали. Мне кажется этого знакомого зовут ВТБ.

[NAI]

Помогает сказать, что вам нет 18. Обычно отстают. Если даже так не поймут то можно письменное заявление на удаление ПД принести в отделение — и вот если тогда звонки не прекратятся, то уже можно и $ с них срубить, через суд.

[Andrey_Epifantsev]

Еще можно сказать что безработный — тоже отстанут. Кредиты дают только тем, у кого есть постоянная работа.

[DMGarikk]

Кредиты дают только тем, у кого есть постоянная работа.

теоретически, ага.
а практически имеем кучу всяких колдырей которые вообще непонятно как кредит взяли

[Vilgelm]

Еще можно сказать что человек которого они ищут умер, номер на какое-то время исчезнет из базы.

[Alexufo]

Александр, добрый день. У нас есть хорошие условия по кредиту. Не интересуетесь.?

• да нет. Спасибо. Не интересует.
• Можно вопрос. Если бы у вас были 100 000р на ремонт или отдых. Чтобы вы выбрали?
• ммм. Ремонт.
• хорошо. Подождите секундочку
• вы мне кредит что-ли оформляете?
• да.
• зачем?
• так ремонт же!

[Neuromantix]

Нужно собирать больше ПД и биометрии — пока можно безнаказанно ее сливать/сарказм/. Заодно это компрометирует саму идею сбора биометрии/не сарказм/

[aldonin]

Вовремя они проснулись, база в открытом доступе с 2017 года лежит. Их и обнаруживать не надо гуглишь и все.

[ashotog]

Все верно. Относительно новая там вторая база, на 504 записи. Об я этом я изначально и написал (в пятницу). Первая на 55 тыс. это утечка лета-осени 2014 г. Коммерсантъ за это зацепился и полезли гуглить сами, ну и нагуглили базы 2012-2015 г.г. В том числе и не Альфы.

[laizafox]

Шёл 2023 год, альфа всё ещё сливает данные мошенникам.