IT-компании заявили об утечке данных бизнес-школы «Сколково»

Хакеру доступен

База данных с информацией, предположительно, о студентах бизнес-школы «Сколково» появилась в узкоспециализированных Telegram-каналах 17 мая, заявил «Известиям» основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян. Он уточнил, что в сливе содержится три дампа (файлы с содержимым таблиц базы данных) общим объемом более 1,9 млн строк. Однако с учетом дубликатов в утечку попало порядка 420 тыс. уникальных клиентских записей, оценил эксперт.

В одной из таблиц, с которой ознакомились «Известия», есть ФИО, номера телефонов, электронные адреса, даты рождения, места работы и должности, а также хешированные пароли для входа в систему. По словам Ашота Оганесяна, также в утечке содержатся выставленные студентам счета, где есть ФИО и сумма для оплаты. В основном информация касается студентов бизнес-школы, уточнил эксперт. Лишь 93 записи содержат сведения о сотрудниках.

— Данные распространяются бесплатно. Наиболее вероятно, что это выгрузка из CRM-системы школы управления «Сколково», которая была взломана. Среди утекших данных нет номеров карт, но сведения можно использовать для спама или попыток фишинга, — предположил Ашот Оганесян.

Как сообщил руководитель блока специальных сервисов Infosecurity a Softline Company Сергей Трухачев, база содержит данные людей, оставлявших заявки на обучение или учившихся в школе «Сколково».

— Oсновной интерес представляют контактные данные в сочетании с ФИО, которые дают возможность осуществлять адресные атаки на людей, — подчеркнул специалист.

Аналогичной информацией поделился с «Известиями» руководитель департамента информационно-аналитических исследований компании T.Hunter Игорь Бедеров.

В пресс-службе бизнес-школы «Сколково» заявили, что проводят проверку появившейся информации о том, что в открытый доступ попали данные пользователей сайта. Школа также обратилась в правоохранительные органы по поводу возможного инцидента, подчеркнули представители учебного заведения.

— О результатах этой работы школа сообщит в ближайшее время, — сказали там «Известиям».

Меры защиты

До 90% взломов происходит при использовании учетных записей администраторов или других сотрудников с привилегиями. Поэтому стоит обращать особое внимание на сложность и на частоту смены паролей, предупредил эксперт по решениям контроля и управления привилегированным доступом компании Web Control Николай Валаев.

— В идеале смена паролей должна проводиться регулярно, через точно определенные промежутки времени. Очевидно, что достижение таких метрик парольной политики невозможно без специальных средств автоматизации, — пояснил эксперт.

Сами по себе утечки персональных данных делятся на разные категории — паспортные данные, e-mail с привязкой к ФИО, номера телефонной книги и, наконец, самые чувствительные данные — медицинские, рассказал директор Центра экспертизы компании R-Vision Григорий Ревенко.

— Основная опасность при взломе подобных сайтов заключается в том, что многие пользователи пренебрегают безопасностью и используют одинаковые логины и пароли для доступа к различным ресурсам. Это дает возможность злоумышленникам получать доступ к данным пользователя не только на взломанной площадке, но и на других ресурсах, где этот пользователь зарегистрирован, — обратил внимание специалист.

Помимо самих логинов и паролей злоумышленники часто пытаются лучше узнать свою жертву, чтобы восстановить ответ на контрольные вопросы для взлома любых других ресурсов, сказал Григорий Ревенко.

— Например, узнав девичью фамилию матери, хакеры могут получить доступ к интернет-банку через подбор ответов на контрольные вопросы, — объяснил эксперт.

Наконец, наибольшую опасность представляют собой медицинские данные. Если злоумышленник узнает, что у жертвы есть серьезное заболевание, то он может начать атаковать человека, например, предложив фейковое лечение и попросив заплатить за него, заключил Григорий Ревенко.

Основная проблема всех утечек подобного рода в том, что у подавляющего большинства компаний отсутствует культура информационной безопасности, сказал Игорь Бедеров.

— Например, в случае с утечкой данных «Яндекс Еды» корпорация заплатила всего лишь 60 тыс. рублей штрафа. Для компании такого уровня это, мягко говоря, несерьезная сумма, — сказал специалист.

Речь о сливе, о котором стало известно в начале марта. В «Яндекс Еде» сообщали об утечке телефонов клиентов и информации об их заказах. По утверждению компании, причиной стали недобросовестные действия одного из сотрудников.

Чтобы такие ситуации не повторялись в будущем, компаниям необходимы стимулы для защиты данных пользователей, в том числе финансовые, резюмировал Игорь Бедеров.

Иван Черноусов
Наталья Ильина