Утечка данных клиентов «СушиВесла» и «БлинБерри»

Взлом баз данных сетей «СушиВесла» и «БлинБерри» обернулся утечкой персональной информации клиентов. В нелегальные сервисы по «пробиву» попали телефоны, адреса и суммы заказов пользователей.

Атака 10 октября

Изначально обе сети были исключительно волгоградскими франшизами. Теперь их филиалы, по официальным данным, работают как минимум в 21 городе России, включая Ростов, Краснодар и Екатеринбург.

В полдень 10 октября сайты и приложения обеих франшиз подверглись хакерской атаке. Изображения на страницах сменились ссылками на Telegram-канал злоумышленников и угрозами обнародовать личные данные клиентов, если им не перечислят деньги.

«Вся инфраструктура „СушиВесла“ и „БлинБерри“ была взломана. Было похищено более 3 млн данных, включая Ф. И. О., номера, почты, банковские карты, адреса пользователей и внутреннюю информацию компании. У Евгения 12 часов на то, чтобы отправить 1,3 биткойна (примерно 7 миллионов рублей. — Прим. ред.) на [наш кошелек], чтобы предотвратить утечку данных пользователей и разрушение инфраструктуры изнутри», — говорилось в сообщениях на скриншотах.

Через полчаса эти сообщения исчезли, но сайт еще какое-то время работал некорректно. Служба поддержки франшизы сначала объясняла происходящее техническими неполадками и успокаивала пользователей. Комментарии о взломе при этом удалялись из официальных групп.

Спустя несколько часов к журналистам обратился основатель обеих франшиз Евгений Купко. Он публично подтвердил кибератаку и сделал несколько важных заявлений.

«К сожалению, в цифровом мире от атак сегодня не застрахован никто — совсем недавно с этим столкнулись даже коллеги из „Додо“. И для нас это не оправдание, а поворотная точка, чтобы сделать нашу систему безопасности еще более совершенной», — писал тогда Евгений Купко.

Данные ушли с молотка

Через некоторое время в канале вероятных хакеров появился пост. Взявший на себя ответственность за взлом обвинил владельцев сети в частичном сокрытии реальных масштабов произошедшего. К сообщению он приложил файл с данными нескольких десятков предполагаемых клиентов франшизы. Платежных сведений там действительно не было, однако помимо имен и телефонов в сеть утекли адреса пользователей.

О том же вероятный хакер заявил в переписке с журналистом.

«Ситуация намного хуже. Они (речь про „БлинБерри“ и „СушиВесла“) собирали информацию о координатах доставки. Адреса также хранились ненадежно и привязывались к пользователю. Это огромный ущерб для такой сети ресторанов, а они приуменьшили масштаб этого <…>. FTL настолько гордились своей инфраструктурой, что забыли про безопасность своих проектов», — отвечал хакер на вопросы журналиста.

В ночь на 11 октября вероятный хакер сообщил, что снова взломал сайты обеих франшиз. Ближе к вечеру того же дня он, вероятно не дождавшись перевода требуемой суммы, окончательно заявил, что продаст утекшие данные специализированным сервисам по поиску информации. По его же словам, больше всего в базах было сведений о клиентах Волгограда и Краснодара.

Насколько слова вероятного хакера соответствовали действительности — неизвестно, но часть информации о пользователях «СушиВесел» действительно оказалась у злоумышленников. Судя по так называемым нелегальным ботам для «пробивов», там же оказались данные журналиста, который несколько раз пользовался сервисами доставки.

Также стало известно, что злоумышленники получили доступ к личному Telegram-аккаунту Евгения Купко — об этом он сам рассказал в соцсетях.

«Такое было, есть и будет»: взгляд эксперта

Установить степень вины какой-либо компании в утечке данных очень сложно. По словам IT-журналиста Александра Побыванца, полностью обезопаситься от взлома сейчас не может, скорее всего, никто. Технологии растут вместе с возможностями хакеров, поэтому от кибератак постоянно страдают и отечественные, и западные организации, в том числе государственные.

«С учетом того, что сейчас очень активно развиваются ИИ-агенты, которые автономно взламывают всё, что под руку попадется, кибератаки, мне кажется, будут только набирать обороты, — рассуждает Александр. — Сервисам доставки в любом случае нужно собирать личные данные, а сбор этой информации для злоумышленников — очень выгодный и дорогостоящий материал, который впоследствии можно выгодно продать. В любой стране есть круг лиц, кому всегда будет интересна их скупка. И поэтому мы наблюдаем регулярные взломы всевозможных сервисов».

Александр Побыванец отметил, что за утечку персональных данных в первую очередь отвечают компании, допустившие ее: их облагают большими штрафами в зависимости от объемов раскрытой информации. Вот только попавшие в Сеть базы данных удалить оттуда полностью уже не получится.

«Государство, конечно, пытается за всем этим следить. Те же компании получают штрафы в случае утечек. Однако конкретные лица, устроившие взлом, зачастую находятся вообще в другой стране, и привлечь их к ответственности очень трудно. Но, судя по новостям, хакеров периодически все же ловят», — поясняет Александр.

Хуже всего то, что от утечек личных данных не застрахован ни один человек. Даже при соблюдении цифровой гигиены и наличии нескольких номеров телефонов при должном усердии вас все равно могут вычислить благодаря огромному количеству информации, уже попавшей к злоумышленникам.

«Как правило, люди ленятся иметь несколько цифровых аккаунтов или номеров телефонов, потому что это банально неудобно, — рассуждает Александр. — Но даже если и пытаться себя обезопасить, тот же адрес доставки мы скрыть не можем, и в случае утечек будет известно, где живет клиент. Поэтому, увы, такие истории не раз были, происходят сейчас и будут происходить».

Ранее целью хакерской атаки прямо в новогоднюю ночь становился сайт прокуратуры Волгоградской области. При заходе на главной странице появлялась картинка животного — помеси свиньи и собаки, под ней вопрос «доколе», а выше — объяснение, почему сайт подвергся атаке хакеров.

«Повлиять на защиту от слива можно одним-единственным способом — изначально никуда данные не передавать»

О том, что уберечься от утечки персональных данных в Сеть обычному пользователю практически невозможно, рассказывал и глава подразделения глобального центра исследования и анализа угроз (GReAT) в России и странах СНГ «Лаборатории Касперского» Дмитрий Галов.

«Бояться, что какие-то ваши данные утекут в Сеть, абсолютно бесполезно. Почему? Потому что повлиять на это нельзя. Точнее, повлиять можно одним-единственным способом — изначально их туда не передавать. Когда мы данные передали, то их хранение, обработка и использование остаются на откуп той организации, куда мы это отдали, — рассказывал Дмитрий Галов. — Вы же понимаете, что, когда компания заботится о безопасности персональных данных ее пользователя, она заботится не о вас, а о своей репутации и выгоде. Потому что если слив произошел, то это риски, прежде всего, для компании».

По словам Дмитрия Галова, полная «кибераскеза» сейчас практически невозможна: мало кто способен принципиально не селиться в отелях, лишь бы не показывать на ресепшен паспорт, или не регистрироваться в соцсетях, чтобы не оставлять номер телефона. Идеальный «кибераскет» в таком случае выглядел бы как человек, живущий в землянке посреди леса с лучиной, но со спасенным от сетевых мошенников золотым «ролексом».

«Но жизнь так не складывается. Мы ездим на каршеринге, заказываем суши и бургеры, скидываем селфи с документами, — говорит Дмитрий Галов. — И при всем осознании своей потерянности в этой жизни с точки зрения контроля данных хотя бы не стоит упрощать жизнь злоумышленникам. Всегда надо понимать, что ваш скан паспорта может появиться где угодно и в любой момент, потому что он утечет вместе со взломанной и скопированной базой».

Дмитрий Галов просит всегда быть готовым к последствиям подобных утечек. Суть в том, что злоумышленникам интересна любая информация, даже на первый взгляд абсолютно ненужная.

«К примеру, утечет какая-нибудь база данных суши-кафешки в каком-нибудь Волгограде. Кому она может быть нужна? Думаете, что никому? На самом деле нет, — приводил пример эксперт. — Ее можно купить, ее можно попилить и дальше, например, сделать таргетированную рассылку по клиентам этого кафе со словами „вы у нас уже заказывали“. Даже можно указать, что заказывали, когда заказывали и на какую сумму. И предложить, например, скачать приложение для заказов через агрегатор, а заодно подсунуть „вредонос“ через личный промокод на 100%-ю скидку. Человек скачает, что ему дали, нажмет переход по ссылке, загрузит то, что ему попало, и станет жертвой кибермошенников. Так что это хороший таргетинг с точки зрения злоумышленников».