По
информации сервиса разведки утечек данных и мониторинга даркнета DLBI, в открытый доступ попали данные 48 млн пользователей, полученные предположительно из мобильного приложения бонусной программы «СберСпасибо» (spasibosberbank.ru), включая номера телефонов, адреса электронной почты, даты рождения, даты регистрации, хэши карт (SHA1 без соли), которые можно восстановить перебором.
Эксперты DLBI выяснили, что в архиве с утечкой содержатся два текстовых файла (Orders на 820 МБ и Users на почти 13 ГБ) с информацией:
- номера телефонов пользователей (47,9 млн уникальных номеров);
- адрес электроной почты (3,3 млн уникальных адресов);
- хешированные (SHA1 без соли) номера банковских карт (основной карты и дополнительных);
- дата рождения клиентов;
- дата создания и обновления записи пользователей в программе (с 22.07.2015 по 07.06.2022).
В DLBI считают, что не смотря на то, что номера банковских карт хранятся в одном из этих файлов в виде хеша, из-за использования устаревшей функции хеширования SHA1, нет никаких проблем восстановить их реальные значения прямым перебором всех цифр. «Примерно около одного часа на все номера, что там есть. Они без соли, поэтому перебор идёт сразу всех,
просто там перебирать надо не все — первые шесть цифр известны это BIN-коды банка», — пояснил основатель сервиса DLBI Ашот Оганесян.
.gif)
