Консультант по вопросам кибербезопасности Егор Папишев на своей странице в Facebook сообщил, что в даркнете выставлены на продажу две базы клиентов компании «Нова Пошта» на 500 тысяч и 18 млн пользователей соответственно.

Сегодня обнаружен факт продажи неустановленными лицами базы данных клиентов «Нова Пошта». Как таковых баз две: первая содержит информацию порядка полумиллиона человек, с персональными данными в разбивке ФИО/телефон/город/серия и номер паспорта/email. Вторая — 18 миллионов записей, но с меньшей детализацией (только ФИО и телефон)

Егор Папишев

По его словам, удалось связаться с продавцом, узнать цены и проверить достоверность информации.

Во-первых, предоставлен произвольный кусок базы. Во-вторых, я попросил прислать мне значения записей из базы, дав ему несколько номеров телефонов для идентификации. Номера принадлежали совершенно разным людям из разных городов и никак не были связаны друг с другом. Ответ пришел меньше, чем через пять минут, и содержал абсолютно точные и свежие данные о клиентах (включая измененную, в связи с недавним замужеством, фамилию одной из них). Для дополнительной проверки я задал еще несколько телефонных номеров, которые априори не могли быть использованы в сервисе «Нова Пошта» (это корпоративные номера) и верно – их в этой базе не оказалось. Кроме того, в демонстрационном экземпляре я наблюдаю как минимум нескольких человек с емейлами в домене [at]novaposhta.com.ua

Егор Папишев

То есть, по мнению эксперта, база актуальна. При этом цена составляет всего 1500 гривен за первую базу (на 500 тысяч человек). Предполагается, что утечка была организована через инсайдера в самой компании.

При этом, по данным пресс-службы «Новой Пошты», которые были опубликованы в комментариях, «база, которая фигурирует в посте, не является релевантной». Так это или нет — сложно сказать, однако если данные всё же корректны, это может иметь последствия.

Далее идут варианты использования этих данных в качестве компонента атак социальной инженерии, с разнообразными, далеко идущими последствиями

Егор Папишев