«Коммерсантъ»: данные 120 тысяч банковских клиентов из черного списка ЦБ попали в интернет Статьи редакции
База включает паспортные данные, ИНН и другие сведения о физлицах, предпринимателях и компаниях.
Неизвестные опубликовали на специализированных форумах базу данных клиентов российских банков, которым отказали в обслуживании по закону об отмывании денег и финансировании терроризма (115-ФЗ). Об этом пишет «Коммерсантъ».
По данным издания, база содержит данные 120 тысяч клиентов. В основном это физические лица и индивидуальные предприниматели, но есть и юридические лица. Представитель одного из банков неофициально подтвердил газете, что в списке данные реальных клиентов из чёрного списка. По информации издания, базу опубликовали несколько месяцев назад, но ЦБ и Росфинмониторинг узнали об утечке только 11 апреля.
Какие данные попали в базу:
- О физлицах: полное имя, дата рождения, серия и номер паспорта.
- Об ИП: полное имя и ИНН.
- О компаниях: полное название, ИНН и ОГРН.
Записи датируются периодом с 26 июня 2017 года. С этой даты ЦБ начал рассылать банкам чёрный список клиентов, напоминает «Коммерсантъ». Механизм рассылки выглядит так: банки передают ЦБ информацию о клиентах, которым отказали в обслуживании из-за подозрений в нарушении 115-ФЗ. Регулятор передаёт эти данные в Росфинмониторинг, который обрабатывает их и возвращает ЦБ для рассылки по банкам.
Представитель Росфинмониторинга исключил возможность утечки с их стороны. В пресс-службе ЦБ сообщили, что регулятор передаёт информацию в зашифрованном виде по защищённым каналам связи с использованием сертифицированных средств криптографической защиты информации. По мнению регулятора, ответственность за сохранность информации несёт банк, получивший данные.
Опрошенные «Коммерсантом» юристы считают, что утечка опасна не только из-за раскрытия данных, но и самим фактом присутствия в базе. По ошибке в чёрный список могут попасть и добросовестные клиенты, и утечка может привести, например, к проблемам при устройстве на работу, указывает юрист FMG Group Амина Аппаева.
Гендиректор компании-разработчика систем защиты информации Zecurion Алексей Раевский считает, что утечка могла произойти из-за ошибки, допущенной ещё при проектировании системы обмена чёрным списком. По его мнению, база должна находиться только у ЦБ, а банки должны направлять регулятору запросы для проверки клиентов.
"В пресс-службе ЦБ сообщили, что регулятор передаёт информацию в зашифрованном виде по защищённым каналам связи с использованием сертифицированных средств криптографической защиты информации. "
Только я это прочел, как: "Мы базу пересылаем email-рассылкой, каждому банку РФ и ключ один для всех"?
Ключ один, но каждый год меняется, как у всех гос. органов. Вы не поверите, но у VC.ru тоже один на всех ключ используется для https шифрования.
Конечно не поверим, ведь это неправда. Ключ для каждой сессии свой, общий только сертификат.
Публичный ключ один как бы у сервера, это не сертификат.
Как правило, при необходимости обновить сертифиат, генерируется новая ключевая пара, переиспользовать старые не очень секьюрно. При необходимости поменять ключевую пару, сертификат тоже, очевидно, нужно поменять, поэтому можно считать, что они неразрывно связаны.
В любом случае, этими серверными ключами передаваемые данные не шифруются. В TLS используется симметричное шифрование данных с уникальными ключами в рамках сессии.