По информации сервиса разведки утечек данных и мониторинга даркнета DLBI, в открытый доступ попали данные 48 млн пользователей, полученные, предположительно, из мобильного приложения бонусной программы «СберСпасибо» (spasibosberbank.ru), включая номера телефонов, адреса электронной почты, даты рождения, даты регистрации, хэши карт (SHA1 без соли), которые можно восстановить перебором.
Эксперты DLBI выяснили, что в архиве с утечкой содержатся два текстовых файла (Orders на 820 МБ и Users на почти 13 ГБ) с информацией:
- номера телефонов пользователей (47,9 млн уникальных номеров);
- адрес электроной почты (3,3 млн уникальных адресов);
- хешированные (SHA1 без соли) номера банковских карт (основной карты и дополнительных);
- дата рождения клиентов;
- дата создания и обновления записи пользователей в программе (с 22.07.2015 по 07.06.2022).
В DLBI считают, что несмотря на то, что номера банковских карт хранятся в одном из этих файлов в виде хеша, из-за использования устаревшей функции хеширования SHA1 нет никаких проблем восстановить их реальные значения прямым перебором всех цифр. «Примерно около одного часа на все номера, что там есть. Они без соли, поэтому перебор идёт сразу всех,
просто там перебирать надо не все: первые шесть цифр известны, это BIN-коды банка», — пояснил Хабру основатель сервиса DLBI Ашот Оганесян.
«Мы проверяем информацию и её достоверность. Подобные сообщения возникают часто и, как правило, связаны с мошенниками, которые пытаются продать компиляции старых баз данных под видом оригинальных», — сообщили СМИ в «СберСпасибо».
7 марта в открытый доступ попали данные пользователей онлайн-платформы правовой помощи «СберПраво».
28 февраля хакеры выложили в открытый доступ данные клиентов и сотрудников компании «СберЛогистика».
