«Сегодня на имя мужа уже открывают счёт в американском банке. Ну серьёзно?» Женщина в ярости на CSDD; LA.LV выясняет, реально ли это возможно 0
После масштабной кибератаки на Дирекцию безопасности дорожного движения (CSDD) вопрос о возможном использовании украденных персональных данных становится всё более актуальным. Как уже сообщал LA.LV, в распоряжение злоумышленников попали данные примерно 1,2 миллиона физических лиц и 200 000 юридических лиц, содержавшиеся в платёжных квитанциях CSDD за последние 18 лет. С 27 августа каждый клиент, авторизовавшись в e-CSDD, может индивидуально проверить, попали ли именно его данные в руки злоумышленников и какая информация утекла.
Теперь появляются уже первые жалобы на реальные незаконные действия, совершённые с использованием этих данных. Одна женщина публично заявила:
«Я зла на CSDD. Такие данные улетели в дальние дали! Сегодня уже открывают счёт в американском банке на имя мужа. Ну серьёзно?» — пишет женщина, призывая людей обращаться против CSDD с требованиями и жалобами.
Позже в обсуждении она уточняет, что речь идёт не об уже успешно открытом счёте или снятых с него деньгах, а о попытке открыть счёт, причём в качестве конкретного финансового учреждения называет американский банк “Wells Fargo”.
Однако по опубликованной в социальной сети информации невозможно независимо подтвердить ни то, кто именно пытался открыть счёт, ни то, что эта попытка действительно связана с утечкой данных CSDD.
Комментаторы также относятся к этому выводу очень по-разному.
Один человек иронично советует перед тем, как «засыпать CSDD требованиями», проверить, не может ли у неожиданного уведомления быть какое-то совсем иное объяснение. Он также указывает, что одной лишь информации, утёкшей из CSDD, скорее всего, было бы недостаточно, чтобы пройти полноценную проверку личности клиента в американском банке.
Другой комментатор спрашивает совершенно прямо: «А как вы знаете, что в Америке открывают счёт?» Ещё кто-то указывает, что в банках США требования проверки личности клиента, то есть KYC (“Know Your Customer” – «Знай своего клиента»), строгие, и одного чужого имени, фамилии и латвийского персонального кода недостаточно.
В обсуждении, однако, звучат и гораздо более тревожные истории. Одна комментаторша утверждает, что знает случай, когда человек после кражи персональных данных оказался в ситуации, где ему пришлось доказывать, что действия с его личностью были совершены без его ведома.
В свою очередь автор публикации указывает, что её беспокоит не только конкретная попытка открытия банковского счёта. «Украденные данные можно использовать где угодно и для чего угодно — оформят кредитную карту, заём и другие неприятные вещи», — пишет она.
Другие участники обсуждения возражают, подчёркивая, что в утечке CSDD не было адресов электронной почты людей, поэтому неясно, каким образом возможные мошенники могли получить именно e-mail конкретного человека. Автор публикации допускает, что он мог быть создан или угадан по имени и фамилии человека. Это тоже лишь её предположение, а не доказанный факт.
Как уже сообщалось, среди утёкших данных могут быть имя и фамилия человека, персональный код, сумма и дата платежа, государственный регистрационный номер транспортного средства, а также адрес, который был указан в CSDD на момент получения конкретной услуги. В свою очередь CSDD подчёркивает, что злоумышленники не получили номера телефонов клиентов, адреса электронной почты, банковскую информацию или данные доступа к e-CSDD.
Тем не менее и CSDD, и специалисты по кибербезопасности уже ранее предупреждали, что и такая информация может быть использована для целевых попыток мошенничества. Назвав человеку его имя, персональный код, адрес или номер автомобиля, мошеннику гораздо легче создать впечатление, что он действительно представляет банк, полицию, CSDD или другое заслуживающее доверия учреждение.
Что же показывают требования самого американского банка?
Если говорить именно о “Wells Fargo”, который упоминается в обсуждении в социальных сетях, официальная информация банка показывает, что набор данных, утёкший из CSDD, сам по себе недостаточен, чтобы в обычном порядке открыть банковский счёт через интернет.
Чтобы открыть онлайн конкретный расчётный счёт в “Wells Fargo”, клиенту необходим номер социального страхования США, то есть SSN, или индивидуальный идентификационный номер налогоплательщика ITIN, физический адрес в США и собственный номер мобильного телефона. В свою очередь при открытии счёта лично необходимы документы, удостоверяющие личность, а для иностранцев, у которых нет американского номера налогоплательщика, банк требует выданный государством документ, удостоверяющий личность.
Таким образом, латвийский персональный код — это не то же самое, что американский Social Security Number или ITIN.
Даже возможность взять обычный потребительский заём от имени “Wells Fargo” ещё сложнее. Банк указывает, что предлагает личные займы только существующим клиентам, у которых соответствующий банковский продукт открыт не менее 12 месяцев. В заявке требуются SSN или ITIN, дата рождения, статус гражданства, e-mail, номер телефона, адрес проживания, информация о работе и доходах, а при необходимости также документы о зарплате, налоговые декларации, счета за коммунальные услуги или копии документов, удостоверяющих личность.
Следовательно, только с утёкшими из CSDD именем, фамилией, латвийским персональным кодом, адресом и номером автомобиля легально пройти такую проверку и получить потребительский кредит “Wells Fargo” не должно быть возможно.
Однако это не означает, что риск выдуман. CERT.LV поясняет, что в случае кражи личности преступники действительно могут использовать чужую личную информацию, чтобы попытаться от имени другого человека подать заявку на кредитную карту, заём или другую финансовую услугу.
Разница существенна — наличие персональных данных не означает, что кредит будет выдан автоматически. Мошеннику обычно требуется гораздо более широкий набор информации и средств аутентификации. Однако информацию из различных утечек данных можно объединять. Если в одном месте получены имя, персональный код и адрес, в другом — e-mail или номер телефона, а затем с помощью фишинга выманены данные Smart-ID или банковской аутентификации, риск становится гораздо серьёзнее.
Именно поэтому Банк Латвии после инцидента с CSDD особо предупредил жителей о рисках финансового мошенничества. Он призывает никогда не раскрывать банковские пароли, данные платёжных карт или коды Smart-ID и не подтверждать запросы на аутентификацию, которые человек сам не инициировал.
CSDD, в свою очередь, предупредила, что с утёкшим персональным кодом можно попытаться инициировать запросы на аутентификацию Smart-ID или других средств электронной идентификации. Это ещё не даёт мошеннику доступ к счёту человека — решающий момент может наступить тогда, когда сам человек, растерявшись или поверив рассказу мошенника, подтверждает запрос.
Поэтому и в описанном в социальной сети случае сейчас нет оснований утверждать, что украденные у CSDD данные уже позволили мошенникам открыть счёт в американском банке или взять кредит. Кроме того, адресов электронной почты среди утёкших данных CSDD не было. Однако описанный женщиной случай ещё раз показывает, почему после такой утечки данных людям нужно быть особенно осторожными.
Теперь CSDD позволяет каждому в своём профиле e-CSDD проверить, какие именно его данные попали в руки злоумышленников. Дирекция призывает не публиковать эту информацию в социальных сетях и особенно остерегаться подозрительных e-mail, SMS, звонков и неожиданных запросов на аутентификацию.
