Швейцарский провайдер биткоин-финансовых услуг Pocket Bitcoin раскрыла, что инцидент безопасности в августе привёл к утечке личной и финансовой информации более чем 5 400 клиентов, включая банковские данные, а в меньшем числе случаев — и более чувствительные сведения.

Согласно информации, опубликованной @WuBlockchain, Pocket Bitcoin сообщила, что в ходе инцидента были раскрыты данные 5 120 клиентов. Затронутая информация включала имена, адреса, суммы и даты банковских переводов, а некоторые записи также содержали номера IBAN.

Ещё у 291 клиента были раскрыты более чувствительные сведения. По данным компании, эта информация потенциально включала документы, удостоверяющие личность, записи о происхождении средств, биткоин-адреса и адреса проживания. Подобные данные обычно собираются регулируемыми криптовалютными финансовыми компаниями для соблюдения требований по противодействию отмыванию денег и процедур «Знай своего клиента» (KYC), поэтому даже компании, никогда не работающие с приватными ключами клиентов, хранят большие объёмы конфиденциальных персональных данных.

Базы данных клиентов и транзакций не были скомпрометированы, сообщает компания

Pocket Bitcoin заявила, что базы данных клиентов и транзакций не были скомпрометированы в ходе инцидента. Утечка произошла из банковской переписки и списков транзакций, хранившихся в затронутой системе поддержки компании.

Это различие имеет существенное значение, поскольку, по словам компании, инцидент не затронул основные базы данных с записями клиентских транзакций. Pocket Bitcoin также сообщила, что биткоин-активы и приватные ключи не пострадали. Pocket Bitcoin работает по модели, при которой клиенты покупают Bitcoin через платформу и хранят его в режиме самостоятельного хранения (self-custody), то есть компания не управляет приватными ключами клиентов — такая конструкция ограничивает прямые финансовые последствия подобной утечки персональными данными, а не средствами клиентов.

Компания заявила, что в настоящее время нет признаков злоупотребления раскрытой информацией. Однако утечка банковских данных, адресов проживания и записей о происхождении средств может создать потенциальные риски для конфиденциальности и безопасности пострадавших клиентов, особенно если эта информация позже будет объединена с данными из других источников.

Органы защиты данных и полиция уведомлены

Pocket Bitcoin сообщила, что уведомила об инциденте органы защиты данных Швейцарии и Лихтенштейна, а также полицию. Подобное уведомление регуляторов соответствует обязательствам, которые компании несут в рамках швейцарского законодательства о защите данных — после пересмотра 2023 года оно во многих случаях требует уведомления об утечках персональных данных, — а также Общего регламента ЕС по защите данных (GDPR), который применяется к компаниям, обслуживающим клиентов из ЕС, и обычно требует уведомления о соответствующих утечках в течение 72 часов.

Такая реакция вписывается в более широкий регуляторный фокус на кибербезопасность и защиту персональных данных во всех финансовых услугах. Криптовалютные компании, работающие с банковской информацией и данными, удостоверяющими личность, несут дополнительные риски: скомпрометированные персональные данные могут быть использованы для мошенничества, социальной инженерии или целевых атак, даже когда цифровые активы и приватные ключи остаются в безопасности. Похожие инциденты в других криптовалютных компаниях, включая утечки на уровне бирж, затронувшие данные клиентов, показали, что компрометация только данных всё равно может нанести клиентам значительный ущерб и репутационный вред.

Поэтому для Pocket Bitcoin и пострадавших клиентов ближайшая задача — определить полный масштаб раскрытой информации и отслеживать, не появится ли злоупотребление данными после раскрытия инцидента.

Источник: Hokanews