Ogromna varnostna luknja razkrila 125 milijonov sporočil SMS, tudi bančne podatke

Predstavljajte si, da bi lahko neznanec prebral vaše bančno obvestilo, enkratno prijavno kodo ali rezultat zdravstvene preiskave, še preden bi sporočilo prispelo na vaš telefon. Prav takšno tveganje je razkrila varnostna napaka pri latvijskem telekomunikacijskem ponudniku CSCTelecom.

Raziskovalci portala Cybernews so 28. septembra odkrili javno dostopno podatkovno zbirko z več kot 125 milijoni sporočil SMS. Podatki so segali od oktobra 2022 do septembra 2026, zbirka pa se je posodabljala v realnem času.

Med izpostavljenimi informacijami so bile telefonske številke, enkratne prijavne kode, začasna gesla, podatki o bančnih transakcijah, zdravstveni izvidi in podrobnosti potovanj. V zbirki so bila tudi sporočila, povezana z bankama Swedbank in SEB, letalsko družbo airBaltic ter številnimi drugimi podjetji in organizacijami v baltskih državah.

Posebej občutljivi so bili podatki iz sporočil banke Swedbank, ki so med drugim vsebovali številke računov IBAN, zneske transakcij in stanje na računih.

Po razkritju je Swedbank začasno ustavila uporabo storitev ponudnika in začela preiskavo. Banka SEB medtem pojasnjuje, da je storitev uporabljala le za omejeno pošiljanje splošnih informacij in da njeni občutljivi bančni podatki niso bili prizadeti.

Latvijska nacionalna organizacija za kibernetsko varnost CERT.LV je zahtevala dodatno preiskavo. Za zdaj namreč ni potrjeno, ali so nepooblaščene osebe podatke dejansko prenesle.

Incident opozarja na pogosto spregledano tveganje. Tudi kadar podjetje ustrezno varuje svoje sisteme, lahko zaupne informacije ostanejo nezaščitene pri zunanjih ponudnikih storitev