Латвийский SMS-шлюз оставил в открытом доступе 125 млн сообщений с кодами входа

Латвийский филиал CSCTelecom, компании, которая рассылает SMS от имени бизнеса, оставил в открытом доступе базу из более чем 125 млн сообщений. Как сообщил Cybernews 11 ноября, в ней сообщения с октября 2022 по сентябрь 2026 года: одноразовые коды входа, ссылки для сброса пароля, уведомления банков и данные о рейсах, отправленные жителям Латвии, Литвы и Эстонии. База обновлялась в реальном времени, так что любой, кто за ней следил, видел код в тот же момент, когда он приходил на телефон получателя.

Что было в сообщениях

База работала на ClickHouse и хранила полный текст каждого сообщения, название компании-отправителя, время отправки, стоимость сообщения и данные о маршрутизации в мобильной сети. Cybernews перечисляет коды подтверждения, временные пароли, результаты медицинских анализов, данные бронирований, уведомления о доставке с именами и адресами, даты поездок и уведомления о банковских операциях.

В сообщениях Swedbank видны номера счетов IBAN, суммы и получатели переводов, остатки на счёте, а иногда и магазин, где была покупка. В сообщениях страховщика ERGO есть номера документов, госномера машин и суммы счетов. В записях, связанных со службой 112, видны номера телефонов и подробности обращений. В сообщениях airBaltic есть данные о рейсах и фамилии пассажиров, а каршеринг CityBee и литовская сеть супермаркетов IKI отправляли через шлюз коды входа.

В списке отправителей также страховщики Compensa и Artea, Porsche, онлайн-магазин продуктов Barbora, EuroCash, DEPO, торговые центры Akropolis, PerlasGo, Autoplius и две литовские медицинские клиники. LRT уточняет, что среди сообщений EuroCash1 были тревожные оповещения об охраняемых объектах и банкоматах.

Почему коды по SMS стали слабым местом

Опаснее всего поток одноразовых кодов в реальном времени. Злоумышленник, у которого уже есть чей-то пароль, мог следить за базой и ввести код или открыть ссылку для сброса раньше, чем настоящий владелец взглянет на телефон. А история за четыре года позволяет составить портрет владельца номера: каким банком он пользуется, где покупает, когда летает и сколько тратит.

Вольдемарас Кадис, руководитель направления безопасности и платформенной разработки в Mediatech, которой принадлежит Cybernews, сказал LRT, что даже без текста сообщений знания о том, к каким сервисам привязан номер, достаточно для точечного мошенничества. Поддельное SMS будто бы от вашего банка или авиакомпании выглядит куда убедительнее. По его словам, история вызывает вопросы и к соблюдению GDPR, который требует хранить персональные данные только столько, сколько нужно.

Что говорят компании

К моменту публикации CSCTelecom не ответила Cybernews. В SEB Latvia сказали, что пользуются услугами CSCTelecom «в ограниченном объёме» для рекламы пенсионных фондов, а конфиденциальную информацию отправляют по другим каналам, и что провайдер об инциденте банк не уведомлял. airBaltic сообщила, что разбирается в ситуации вместе с провайдером и говорить о числе затронутых клиентов пока рано. Авиакомпания советует с подозрением относиться к сообщениям, письмам и звонкам от её имени, если в них торопят, просят перейти по ссылке или назвать личные данные. В PerlasGo тоже сказали, что оценивают ситуацию.

Что делать жителям Прибалтики

• Если за последние четыре года вам приходили SMS от любой из этих компаний, считайте, что ваш номер и связанные с ним сервисы известны посторонним.
• Для банка и почты перейдите с кодов по SMS на приложение-аутентификатор или подтверждение в приложении, если сервис это позволяет.
• Смените пароли в аккаунтах, где использовались коды или ссылки для сброса по SMS.
• С подозрением относитесь к звонкам и сообщениям, где упоминают ваши рейсы, заказы, визиты к врачу или переводы, и проверяйте их через официальное приложение или сайт.