Kolejny możliwy wyciek danych na Łotwie i Litwie

Ponad 125 mln wiadomości SMS wysyłanych przez banki, ubezpieczycieli, firmy handlowe i usługodawców z Łotwy i Litwy mogło dostać się w niepowołane ręce. Lukę w zabezpieczeniach bazy danych należącej do operatora telekomunikacyjnego CSC Telecom wykryli dziennikarze portalu Cybernews. Zgromadzone w niej wiadomości pochodziły z okresu od października 2022 r. do września 2026 r. i były aktualizowane na bieżąco, co oznacza, że osoby uzyskujące dostęp do systemu mogły przechwytywać treść SMS-ów jeszcze przed ich odczytaniem przez odbiorców.

W bazie znajdowały się między innymi kody autoryzacyjne, linki do zmiany haseł, informacje o transakcjach bankowych, saldach rachunków, wynikach badań medycznych, rezerwacjach podróży i przesyłkach. Dotyczyło to klientów takich firm jak Swedbank, SEB, ubezpieczyciele ERGO i Compensa, a także sieci handlowych DEPO i Akropolis, operatora CityBee oraz linii lotniczej airBaltic. Wśród ujawnionych danych były również numery telefonów i szczegóły pozwalające odtworzyć zwyczaje zakupowe oraz podróżnicze użytkowników.

Problem dotyczył przede wszystkim Łotwy i Litwy. Estoński oddział CSC Telecom zapewnił, że jego usługi SMS działają na oddzielnych serwerach i w osobnej bazie danych, dlatego incydent nie umożliwił dostępu do informacji o klientach w Estonii. Potwierdził to również estoński SEB. Firma zapowiedziała jednak dodatkowy przegląd zabezpieczeń.

CSC Telecom poinformował o zamknięciu dostępu do bazy i usunięciu luki. Spółka twierdzi, że nie ma dowodów na skopiowanie lub wykorzystanie danych przez osoby nieuprawnione, ale nie można całkowicie wykluczyć takiej możliwości. Eksperci wskazują, że dostęp wymagał znajomości adresu IP, portu sieciowego i domyślnego hasła, nie była to więc baza otwarta dla wszystkich użytkowników internetu. Łotewska policja, urząd ochrony danych osobowych oraz zespół reagowania na incydenty cyberbezpieczeństwa CERT.LV rozpoczęły sprawdzanie okoliczności zdarzenia.

Banki zapewniają, że na obecnym etapie nie stwierdzono zagrożenia dla środków klientów ani dostępu do bankowości internetowej. Swedbank zawiesił współpracę z CSC Telecom, a SEB wyjaśnia zakres incydentu, zaznaczając, że wykorzystywał usługę wyłącznie do przesyłania ogólnych informacji dotyczących funduszy emerytalnych. Firmy apelują o ostrożność wobec podejrzanych SMS-ów, telefonów i wiadomości e-mail.