Более миллиона кредитных историй россиян находились в открытом доступе в результате ошибки в конфигурации базы данных на одном из серверов, предположительно принадлежавшем микрофинансовой компании (МФК). Об этом сообщает «Коммерсант».
Независимый исследователь по кибербезопасности, руководитель проекта Security Discovery Боб Дьяченко сообщил в среду вечером, 16 октября, в своем Twitter об обнаруженном сервере онлайн-кредитора, на котором находились кредитные истории более миллиона россиян, полученные из бюро кредитных историй (БКИ) «Эквифакс», а также c данными сотовых операторов. Он пояснил изданию, что обнаружил открытую СУБД MongoDB 10 октября, но она была проиндексирована специализированными поисковиками вроде Shodan или BinaryEdge еще 28 августа. Дьяченко сообщил о проблеме в БКИ, после чего база данных была закрыта. Но так как поисковики проиндексировали ее давно, то шансы, что ее кто-либо успел скачать, по его мнению, высокие.
Как пишет «Коммерсант», название базы данных отсылает к микрофинансовой компании «ГринМани», выдававшей онлайн-займы. Основной объем утекшей информации приходится на кредитные истории, хранящиеся в коллекции «Эквифакс», — свыше 1 млн записей. Похожие данные содержатся и в коллекции ОКБ, но записей в ней намного меньше — около 130 тыс.
По словам гендиректора «ГринМани» Андрея Луцыка, проводится проверка для выяснения «всей информации по данному случаю». В «Эквифакс» заявили, что оттуда данные не утекали. В ОКБ подтвердили, что «ГринМани» была одним из их клиентов с 2015 года по сентябрь 2019-го. В ЦБ заявили, что требования к обеспечению защиты информации для некредитных финансовых организаций уже установлены положением №684-П.
ЦБ исключил МФК «ГринМани» из реестра МФО 12 сентября за нарушения, связанные как с отношениями с заемщиками, так и с предоставлением недостоверной отчетности регулятору.