Tarp nukentėjusiųjų ir Lietuvoje veikiantys „CSCTelecom“ klientai: „EuroCash1“, „Akropolis“, DEPO, IKI, „Perlas Go“, „Autoplius“, „Šypsenos akademija“, „Denticija“, „airBaltic“, „Porsche“. Duomenys, nutekinti iš Lietuvoje veikiančių įmonių:
- Su „EuroCash1“ susijusiose žinutėse atskleisti telefonų numeriai, saugumo įspėjimai dėl saugomų objektų ir bankomatų.
- Su DEPO susijusiose žinutėse atskleisti telefonų numeriai, užsakymų ID bei užsakymų būsenos atnaujinimai.
- Su „Akropoliu“ susijusiose žinutėse atskleisti vidiniai telefonų numeriai ir lankytojų srautų statistika.
- Su IKI susijusiose žinutėse atskleisti telefonų numeriai ir autentifikavimo kodai.
- Su „airBaltic“ susijusiose žinutėse atskleisti klientų telefonų numeriai, skrydžių informacija ir pavardės.
Tyrėjų duomenimis, viešai prieinami įrašai apėmė laikotarpį nuo 2022 m. spalio iki 2026 m. rugsėjo, bazė buvo nuolat atnaujinama. Tai reiškia, kad nusikaltėliai galėjo perimti autentifikavimo kodus, slaptažodžio nustatymo iš naujo nuorodas bei privačią informaciją dar prieš gavėjams ją pamatant.
Susiję straipsniai
Baltijos šalių mastu bazėje taip pat rasta Latvijoje veikiančių „Swedbank“, „SEB“, medicinos įstaigų, populiarių internetinių parduotuvių, valstybinių organizacijų ir net Latvijos skubiosios pagalbos tarnybos numerio 112 SMS žinutės.
Nukentėjo ir Estijos „AirBaltic“ bei DEPO padaliniai. Atviroje bazėje atsidūrė jų siųstos SMS žinutės su keleivių pavardėmis, skrydžių maršrutais, telefonų numeriais, užsakymų ID ir pristatymo atnaujinimais.
„Nutekinta informacija leidžia sudaryti itin detalų kiekvieno vartotojo profilį. Net nematant žinučių turinio, žinojimas, kokiomis paslaugomis žmogus naudojasi, atveria kelią taiklioms duomenų sukčiavimo atakoms“, – atkreipia dėmesį Voldemaras Kadys, skaitmeninės leidybos įmonės „Mediatech“, valdančios „Cybernews“, Saugumo ir platformų inžinerijos skyriaus vadovas.
„Incidentas leidžia abejoti BDAR laikymusi: įmonės privalo asmens duomenis saugoti tik tiek laiko, kiek reikia konkretiems jų tvarkymo tikslams pasiekti. Archyve aptikti atvirai prieinami 4 metų senumo duomenys kelia rimtų saugumo klausimų.“, – pabrėžia ekspertas.
Ką daryti vartotojams? Eksperto rekomendacijos:
- Jei įmanoma, rekomenduojama atsisakyti SMS žinučių, naudojamų patvirtinimo kodams gauti jungiantis prie paskyrų, bei šiuo būdu siunčiamų pranešimų.
- Pasikeiskite el. pašto, banko ir paskyrų, kuriose prisijungimą tvirtinate SMS žinutėmis, slaptažodžius. Rekomenduojama nenaudoti to pačio slaptažodžio visoms paskyroms.
- Įsijunkite dviejų veiksnių apsaugą (2FA). Tai papildomas saugumo žingsnis: jungiantis prie paskyros reikia suvesti ne tik slaptažodį, bet ir patvirtinti prisijungimą telefone.
- Atidžiai stebėkite paskyrų aktyvumą ir būkite atsargūs sulaukę skambučių ir pranešimų, kuriuose minimi jūsų kelionių planai, vizitai pas gydytojus ar apsipirkimo įpročiai.
Apie spragą bendrovė „CSCTelecom“ informuota 2026 m. rugsėjo 29 d., o spalio 27 d. duomenų bazė buvo užverta ir šiuo metu yra neprieinama.