Посылка с двойным дном

База данных 9 млн клиентов службы экспресс-доставки СДЭК продается за 70 тыс. руб.

Юлия Степанова

Данные, якобы принадлежащие 9 млн клиентов службы экспресс-перевозки СДЭК, выставили на продажу в интернете за 70 тыс. руб. Это самая крупная утечка персональных данных в российских службах доставки, интерес мошенников к которым связан с ростом спроса на их услуги на фоне самоизоляции из-за коронавируса, отмечают эксперты. В самой компании настаивают, что из нее утечек не было, а источником данных мог стать другой ресурс.

Данные более 9 млн клиентов курьерской службы СДЭК продаются в сети за 70 тыс. руб., . В базе данных содержатся информация о доставке и местонахождении грузов и сведения о покупателях, включая ИНН. На скриншотах, которые продавец базы прислал автору Telegram-канала, стоит дата 8 мая 2020 года, что указывает на свежесть базы.

В самой СДЭК утверждают, что утечки данных из компании не было. Личные данные собираются множеством компаний, в том числе на государственных агрегаторах, утечка могла произойти на любом из подобных ресурсов, а компания СДЭК к этому не причастна, подчеркнул ее представитель. При этом в компании напомнили, что в последнее время участились случаи обнаружения мошеннических сайтов, действующих от имени СДЭК.

Это самая крупная утечка персональных данных российских служб доставки, констатирует руководитель отдела аналитики и спецпроектов ГК InfoWatch Андрей Арсентьев.

Он отмечает, что информация пользователей СДЭК утекает не впервые: ранее клиенты службы доставки жаловались, что из-за уязвимостей на сайте компании видны личные данные других людей.

Подобные утечки опасны тем, что повышают вероятность успеха при использовании методов социальной инженерии, полагает заместитель гендиректора Infosecurity a Softline Company Игорь Сергиенко.

После крупных утечек всегда следует шквал звонков от мошенников, которые представляются сотрудниками компании и пытаются узнать информацию о платежных данных, предупреждает начальник отдела безопасности «СёрчИнформ» Алексей Дрозд, неприятным последствием может стать и попадание в базу маркетологов, в том числе для «холодного обзвона».

Мошенники же, оперируя достоверной информацией о номере заказа и составе груза, будут более убедительными, отмечает партнер и директор компании «Интеллектуальный резерв» Павел Мясоедов. Например, получателя могут вынудить к оплате неких «дополнительных сборов и пошлин», полагает менеджер по развитию направления DLP Solar Dozor компании «Ростелеком-Солар» Алексей Кубарев, отмечая, что при утечке подобной базы к конкурентам, она также может быть использована для массового переманивания клиентов.

Бренд СДЭК эксплуатируют также фейковые сайты, которых с начала 2020 года появилось более 450, указывает In4security.

Большое число пользователей сайтов объявлений, таких как Avito, жаловались на фишинговые ссылки, ведущие на ресурсы, имитирующие сайт этой компании, а также активное использование поддельных накладных с ее реквизитами, подтверждает основатель и технический директор DeviceLock Ашот Оганесян. Злоумышленники делают фейковые объявления на популярных площадках с товарами по привлекательным ценам и высылают покупателю данные накладной с мошеннического сайта доставки, имитирующего ресурсы СДЭК или другой известной службы доставки, рассказывает Андрей Арсентьев: человек оплачивает товар, но в итоге не получает желаемую вещь. В последние недели наблюдается рост фишинговых сайтов в целом: онлайн-кинотеатры, интернет-магазины, обучающие курсы, юридические консультации, государственные порталы, добавляет руководитель направления информационной безопасности КРОК Андрей Заикин.

Интерес к данным курьерских служб можно связать с всплеском спроса на их услуги, полагает гендиректор HFLabs Дмитрий Журавлев. Злоумышленники всегда следят за новостной повесткой и тенденциями, соглашается старший антивирусный эксперт «Лаборатории Касперского» Денис Легезо. На внутреннем рынке спрос растет, подтвердил президент Ассоциации экспресс-перевозчиков Владимир Саркисов, затруднившись оценить его в точных цифрах.

Мошенники взяли СДЭК в оборот

Фейковые сайты службы доставки, "развод" клиентов по телефону

Иногда бывает так, что в компании и вокруг нее уже довольно давно происходят совершенно нездоровые вещи, но сама организация остается в полном неведении относительно происходящего.

Думаете, такого не бывает? Еще как бывает. Даже в такой крупной транспортно-логистической компании, как СДЭК.

В интернете можно найти довольно много историй о том, что после получения посылки через СДЭК, люди сталкивались со шквалом звонков от мошенников. В прошлом месяце этой участи не избежал даже автор данной статьи. Причем это отнюдь не «холодные» звонки. Злоумышленники знают как минимум ФИО жертвы, что существенно повышает их шансы на успех.

Согласитесь, когда персональные данные клиентов утекают налево, это не очень хорошо. Но раз уж компания СДЭК не предпринимает никаких действий для того, чтобы решить эту проблему, наш Telegram-канал поможет ей разобраться в ситуации.

Для начала подумаем, как такие данные в принципе могут «утекать». С учетом того, что в руки злоумышленников попадают свежие сведения, вариантов не слишком много.

• Инсайдер. Сотрудник компании банально продает их.
• Неправомерный доступ. Некие «хакеры» взломали/нашли незапароленный сервер/заразили RAT-трояном компьютер сотрудника (нужное подчеркнуть) и присосались к базе данных.
• Старая учетная запись. У бывшего сотрудника компании после увольнения остался доступ в систему: его учетку забыли заблокировать (да, такое бывает нередко).

В принципе, можно придумать еще варианты, но все они так или иначе будут производными от этих трех.

Теперь давайте поищем каналы распространения информации. С этой целью пробежимся по околохакерским форумам и посмотрим, не продается ли где-нибудь что-то подобное?

Быстро находим объявление с предложением «пробива» информации через СДЭК. Перечень предлагаемых услуг достаточно широк, что намекает на то, что злоумышленники имеют непосредственный доступ к базе данных службы доставки. Что-ж. Это вполне вписывается в предложенную нами концепцию утечки.

Поискав еще немного, наталкиваемся вот на такой любопытный пост.

Онлайн-доступ к базе, не плохо, правда? Осталось узнать название этой самой «известной службы доставки», что не составляет особого труда. Известной службой доставки оказывается… СДЭК!

Но мы же не поверим на слово, нам нужно подтверждение. И мы его получаем в виде вот таких занимательных скриншотов.

Обратите внимание на дату заказов на скриншотах — 8 мая 2020 года, то есть сегодня. Продавец не врет. Он и вправду готов предоставить онлайн-доступ к базе всего за 70 тысяч рублей. Возможно, его уже приобрели те, кто предлагает пробив данных в объявлении, указанном выше, вероятно именно так получают сведения телефонные мошенники. Похоже, мы только что обнаружили зияющую дыру в безопасности компании СДЭК, которая, судя по всему, весьма активно эксплуатируется.

Что же теперь? Дело за компанией СДЭК. Нужно проводить внутреннее расследование, аудит безопасности информационных систем, выявлять и устранять источники компрометации данных. Не особо надеясь на наш 152ФЗ, можно напомнить о том, что если среди 9 миллионов клиентов СДЭК имеются граждане Евросоюза, такая утечка вполне может повлечь санкции в соответствии с GDPR, а это уже совсем не шутка.

К слову, это далеко не единственная криминальная схема, эксплуатирующая бренд СДЭК. Фейковые сайты транспортной компании активно используются в процессе мошенничеств на Авито и Юле. С начала 2020 года появилось более 450 фейковых сайтов СДЭК - по 4 ресурса в день. [...]