Хакеры выложили в открытый доступ персональные данные 1 млн пользователей платёжного сервиса Best2Pay.
В опубликованном файле содержатся поля со следующими данными:
- ФИО;
- номер телефона (338 118 уникальных номера);
- электронная почта;
- тип проводимого платежа;
- неполные данные карты;
- дата платежа;
- технические детали.
Профильные эксперты выяснили, что данные в утечке актуальны на 23 января 2023 года.
Более детальный анализ данных показал, что в ней фигурируют 204 тыс. уникальных банковских карт, выпущенных банками из 102 стран мира. В основной массе это российские карты. Из 2429 BIN в утечке 1399 банковских идентификаторов принадлежит российским банкам.
В общей сложности утечка затронула клиентов 185 российских банков. Несмотря на то, что файл с утечкой не содержит полных номеров карт, эти данные можно использовать для таргетированных атак с помощью социальной инженерии на клиентов банков.
В Best2Pay сообщили по инциденту:
В декабре 2022 года информационные системы нашей Компании подверглись спланированной атаке с использованием скомпрометированного корпоративного аккаунта одного из наших подрядчиков, работавшего в изолированной тестовой среде. С использованием аккаунта подрядчика была скомпрометирована Тестовая система формирования отчетов.
Тестовая среда полностью изолированна от основных информационных систем компании, а размещенные в ней данные были подготовлены специально для работы с внешними подрядчиками. Актуальность массива данных относится к периоду с начала 2019 г. по июнь 2021 г. В похищенном массиве отсутствуют полные данные карт (только маска) и иные платежные реквизиты.
Все боевые системы, которые отвечают за обработку и хранение карточных данных полностью отделены от всех тестовых сред и надежно защищены по всем стандартам PCI DSS, что ежегодно подтверждается независимыми аудитами уже более 10 лет. Платежные данные клиентов не пострадали и находятся в безопасности.
