Мащабен теч на лични данни: Над 3 млн. записа, свързвани с ДЗИ, и още 300 хил. с Generali

Ключови думи: ДЗИ, Generali, лични данни, КЗЛД, хакерска атака

Данни на милиони български граждани са попаднали в мащабен теч, свързван със застрахователните компании ДЗИ и Generali, съобщава разследващият сайт Bird.bg. Според направената от медията проверка масивът, отнасящ се до ДЗИ, съдържа над 3 млн. записа с имена, ЕГН, адреси и телефони, а друг набор от информация, свързван с Generali, обхваща над 300 хил. души. Двете числа не са независимо потвърдени от държавен орган към момента и следва да се разграничават от официално установения брой засегнати лица. По информация на Bird.bg за случаите е уведомена Комисията за защита на личните данни.

Случаят с ДЗИ не започва сега. Още на 28 август застрахователят изпрати съобщения до свои клиенти, с които ги предупреди за възможно изтичане на ограничен обем лични данни - име, ЕГН и информация за контакт. Компанията подчерта тогава, че няма данни за проникване в собствените й информационни системи, нито за неразрешено използване на информацията. ДЗИ увери още, че застрахователните полици, продуктите и услугите работят нормално и не са засегнати от случая.

Флагман.бг предупреди още през август: ДЗИ съобщи за възможно изтичане на лични данни

Няколко дни след предупреждението в хакерски форум се появи твърдение за продажба на база с 3 134 269 записа, свързвани с клиенти на ДЗИ. Публикуваното описание сочи значително по-широк набор от информация - освен имена и ЕГН се посочват адреси, телефонни номера, дати на раждане, гражданство и при част от записите допълнителни идентификационни данни. Проверка на извадка от публикуваната информация показва съвпадения при част от тези полета, но пълната автентичност и произходът на целия масив остават предмет на проверка. Именно това е причината да не може категорично да се твърди, че над 3 млн. записа са били изтеглени директно от сървърите на самия застраховател.

Една от версиите е информацията да е преминала през външна система, посредник или друга организация, която има законен достъп до част от клиентските данни. Застрахователният сектор работи с широк кръг брокери, партньори и обработващи информация дружества, което създава допълнителни точки, през които данните преминават. Към момента няма публично доказателство, което да установява конкретния технически източник на теча. Затова твърдението за пробив през застрахователен посредник остава хипотеза, докато разследването не установи точния механизъм.

За втория масив Bird.bg съобщава за над 300 хил. записа, свързвани с Generali. Не откриваме публично съобщение на българското дружество, което да потвърждава този конкретен брой или начина, по който информацията е напуснала контролираната от компанията среда. На официалната си страница Generali поддържа отделен канал за докладване на нарушения на сигурността на личните данни и посочва сред обработваната информация имена, адреси, ЕГН, данни за полици, автомобили, щети и други категории. Това само по себе си не доказва съдържанието или произхода на разглеждания масив.

Припомнете си във Флагман.бг: Какво се случи след предишния голям скандал с изтичане на данни от застрахователния сектор

Рискът за засегнатите хора не приключва с факта, че данните са станали достъпни на трети лица. Комбинация от име, ЕГН, адрес и телефон позволява изграждането на убедителни сценарии за телефонни и онлайн измами, при които нападателят вече разполага с достатъчно лична информация, за да се представи за служител на банка, застраховател или държавна институция. Именно след първоначалния сигнал ДЗИ предупреди клиентите си да не предоставят допълнителни лични или финансови данни през непроверени канали. Компанията стартира и информационна кампания за разпознаване на подозрителни обаждания, имейли и злонамерени линкове.

Още във Флагман.бг: Случаят с хакера Емил Кюлев и атаките срещу банки, компании и институции

Застрахователният сектор вече е преминавал през сходен скандал. Преди години в публичното пространство беше разпространена база с данни, за която се твърдеше, че е свързана с „Лев Инс“, а човекът зад атаките използваше псевдонима „Емил Кюлев“. Компанията оспорваше твърдението, че данните произхождат от нейните системи, а случаят стигна до проверки и разследвания. Настоящият казус отново поставя въпроса не само за защитата на централните информационни системи, а и за сигурността по цялата верига от дружества и посредници, които обработват лични данни на застрахованите.