База данных с записями о сотрудниках Сбербанка была опубликована на специализированном форуме phreaker.pro анонимным пользователем. В базе оказались также их логины для входа в операционную систему, они в большинстве случаев совпадали с адресами электронной почты. Всего в базе оказалось 421 тысяча записей. Также из документа можно узнать, в каком подразделении работает сотрудник, в нем нашлось и три e-mail адреса президента банка Германа Грефа.

База данных объемом 47 Мб содержит информацию о сотрудниках «дочек» Сбербанка, в том числе за рубежом. При этом по числу фамилий она превышает численность работников банка, которая составляет почти 300 тысяч человек. То есть база может включать и данные некоторых уволенных специалистов.

«Коммерсант» установил, что данные в базе актуальны на 1 августа 2018 года. Один из сотрудников Сбербанка подтвердил их подлинность. Причину утечки в банке не называют, однако есть вероятность, что это злонамеренные действия одного из действующих или бывших сотрудников. При этом в Сбербанке подчеркивают, что к адресной книге имеют доступ все работники, и эта база «не несет угрозы раскрытия их персональных данных».

Герман Греф выразил недовольство ситуацией, сообщает СМИ. Знают об утечке и в департаменте информационной безопасности Центробанка, считая ее малоприятной.

 «Ситуация выглядит еще более неприятной, потому что утечка информации произошла при работающей в банке DLP-системе (система для борьбы с утечками информации). Пользовательскую базу такого типа как в описанном инциденте довольно просто украсть – доступ к ней есть даже у рядового сисадмина банка. Но подозревать абсолютно любого работника – неправильно. Служащий должен иметь хотя бы минимальные технические знания и доступ к Active Directory. – Современные системы контроля решают задачу защиты подобных данных, и как видим на практике, подобные базы довольно редко утекают в Сеть из финансовых компаний, – комментирует ведущий аналитик «СёрчИнформ» Алексей Парфентьев. – Причиной данной утечки может быть недостаточно эффективная защита баз данных в банке. Предположения о том, что утечку допустил бывший сотрудник, учетная запись которого была доступна после увольнения, также не лишены смысла. «Мертвые души» часто оказываются причинами утечек такого рода, хотя их существование само по себе должно настораживать. Кроме репутационных потерь, инцидент, хоть и не касается клиентов, несет косвенные риски для них. Слитые данные могут быть использованы для фишинговых и DDoS-атак, информация о подразделении, в котором работает сотрудник, может быть использована социальными инженерами для получения доступа во внутреннюю сеть»