Суд раскрыл детали утечки данных клиентов Сбербанка в 2019 году

Злоумышленнику для совершения операции потребовались права администратора, флешка и корпоративная почта

В 2019 году начальник сектора управления прямых продаж при помощи прав администратора скачал файл из базы данных Сбербанка, где содержались сведения как минимум о пяти тысячах кредитных карт клиентов. Об этом сообщается в материалах Красногорского горсуда Подмосковья. В документах также указывается, что злоумышленнику потребовалась для проведения операции более 10 часов, доступ к корпоративной почте и флешка на восемь гигабайт. Все эти данные были направлены на домашний ноутбук. Суд признал виновным в незаконном получении и разглашении сведений, составляющих банковскую тайну, экс-главу сектора управления прямых продаж Московского банка ПАО «Сбербанк» Сергея Зеленина. Его приговорили к двум годам и десяти месяцам колонии-поселения. Также суд взыскал с него 25,8 миллиона рублей в пользу Сбербанка за нанесение ущерба деловой репутации. Зеленин, как следует из документов суда, совершил преступление из-за финансовых трудностей. Злоумышленник, уточняется в материалах, имел доступ к закрытому сетевому каталогу банка. 25 августа 2019 года он выгрузил из этого каталога многотомный архив в общий корпоративный сегмент банка, который доступен широкому списку сотрудников. В этом архиве содержались записи буквально обо всем: операциях по картам, остатках по счетам, персональные данные клиентов (включая место жительства, номер мобильного телефона и так далее) и многое другое. Он поставил копироваться эти данные с 08:30 до 18:40 мск. В суде указано, что архив был поделен на 187 частей и весил 5,7 гигабайт. По подсчетам экспертов, этот архив мог содержать более 10 миллионов записей. После этого файл (Зеленин его для скрытности назвал «мундиаль.mp4») был отправлен через корпоративную почту на рабочий ноутбук, потом мужчина скачал на флешку и далее перенес все на домашний ноутбук. Начальник Зеленина объяснил, что его бывший подчиненный получил доступ к данным, относящимся к банковской тайне, «для решения оперативных задач в период его (руководителя) отсутствия». «На всех персональных компьютерах был заблокирован доступ к портам (то есть к ним не имелось возможности подключения внешних носителей), кроме персонального компьютера Зеленина С.А., у которого не был заблокирован порт, так как он служил для передачи данных, полученных у клиентов, во внутреннюю систему банка» , — рассказал он. Представитель Сбербанка сообщил РБК, что Зеленин похитил данные примерно 5200 клиентов. Также в судебных материалах указывается, что бывший сотрудник банка продавал записи по пять рублей за одного клиента в даркнете. Для бесплатного ознакомления в интернет было закачено не менее 200 записей. Кроме того, Зеленину удалось продать данные не менее пяти тысяч клиентов за биткойны. «Часть из полученной информации в объеме пяти тысяч строк незаконно была реализована Зелениным С.А. третьим лицам за денежное вознаграждение в сумме 25 тысяч рублей» , — цитируется в суде слова потерпевшего, чье имя не указывается.Зеленина вычислили при попытке продать данные архива. В Сбербанке заявили, что ущерб клиентам банка не был нанесен. «После приглашения ночью в центр кибербезопасности Сбербанка и общения с сотрудниками осознал всю тяжесть своего поступка. Понимая, что любые последующие действия принесут еще больший ущерб, принял решение уничтожить базу данных на всех носителях» , — заявлял в суде сам Зеленин. По его словам, он уничтожил данные на ноутбуке 3 октября 2019 года, а на следующий день сжег флешку. В октябре 2019 года «Коммерсантъ» обнаружил в теневом сегменте интернета сообщение о продаже данных 60 миллионов кредитных карт Сбербанка. В бесплатном пробнике содержалось около 200 записей, утечку которых подтвердил Сбербанк. В утечке был обвинен сотрудник кредитной организации. Всего, по сообщению банка, ему удалось продать около пяти тысяч учетных записей кредитных карт Сбербанка.