Утечка у CTS в Страсбурге: данные около 230 000 клиентских аккаунтов. Что обязана сделать компания, чего ждать после утечки и как не попасться на фишинг

Что случилось

28 октября Compagnie des transports strasbourgeois (CTS), которая возит Страсбург на трамваях и автобусах, сообщила об утечке данных. По словам компании, через её сайт незаконно выгрузили сведения примерно из 230 000 клиентских аккаунтов — это около четырёх из десяти при общем числе порядка 586 000.

Что попало в утечку, по данным CTS: фамилия и имя, дата рождения, адрес и идентификаторы аккаунта. Банковских реквизитов и паролей, как утверждает компания, среди украденного нет. CTS говорит, что остановила выгрузку, как только её обнаружила, усилила защиту сайта, сообщила в CNIL, предупредила затронутых клиентов и собирается подать жалобу. Когда именно произошло проникновение и сколько оно длилось, не сообщается.

Сама компания предупреждает: остерегайтесь писем, которые якобы приходят от CTS и просят какие-либо сведения, особенно банковские.

Почему «без банковских данных» не значит «без риска»

Имя, дата рождения и адрес сами по себе деньги со счёта не снимут. Но с ними мошенническое сообщение выглядит убедительнее: письмо, где к человеку обращаются по имени и упоминают его адрес, вызывает больше доверия. Поэтому CTS и просит с подозрением относиться к письмам от её имени.

Что правила требуют от компании

По разъяснениям CNIL на основе RGPD (GDPR), организация, у которой произошла утечка персональных данных:

• должна уведомить CNIL не позднее чем через 72 часа после того, как узнала об инциденте;
• если риск для людей высокий — сообщить им самим как можно раньше;
• в таком сообщении должна понятно объяснить, что произошло, какие могут быть последствия, кому писать (DPO или другой контакт) и что сделано, чтобы ограничить ущерб; при необходимости — дать рекомендации, например сменить пароли.

Полезно помнить: уведомление, как его описывает CNIL, объясняет и советует. Присылать номер карты в ответ оно не предлагает.

Что делать клиенту CTS — и вообще после любой утечки

Рекомендации Cybermalveillance.gouv.fr и CNIL:

1. С подозрительными сообщениями — ничего не делать. Не переходить по ссылкам, не открывать вложения, не отвечать. Есть сомнения — связаться с организацией самому, через сайт, открытый не из письма (лучше — из своей закладки).
2. Проверять ссылки и адрес сайта. Навести курсор на ссылку, не нажимая; сверить адрес сайта — одна изменённая буква выдаёт подделку. Серьёзные организации не запрашивают банковские данные и пароли по почте или телефону.
3. Пароли. CNIL советует менять пароли, начиная с самых важных сервисов, не использовать один пароль в разных местах и включать многофакторную аутентификацию, где она есть.
4. Сообщать о мошенничестве. Подозрительные письма — на signal-spam.fr, подозрительные SMS — на номер 33700, поддельные сайты — на phishing-initiative.fr.

Если уже нажали или отправили данные

По Cybermalveillance.gouv.fr:

• сообщили данные карты или видите чужие списания — сразу делать opposition в банке;
• сменить пароли на затронутом сайте и везде, где стоял тот же пароль; проверить дату последнего входа в аккаунт;
• сохранить доказательства, прежде всего само мошенническое сообщение;
• подать жалобу (plainte) в комиссариат или жандармерию либо письменно прокурору; бесплатная помощь пострадавшим — France Victimes, 116 006 (ежедневно 9:00–19:00); консультация — Info Escroqueries, 0 805 805 817 (бесплатно, пн–пт 9:00–18:30).

Если кто-то воспользовался чужой личностью (usurpation d'identité), CNIL советует как можно скорее подать жалобу, а при подтверждённой краже личности — запросить через CNIL проверку файла банковских счетов FICOBA.

Про компенсацию

CNIL прямо указывает, что сама компенсаций не назначает: возмещение ущерба — вопрос гражданского суда.

Коротко

Утечка у CTS — повод не для паники, а для нескольких недель повышенного внимания к почте и SMS. Любое сообщение «от CTS», «от банка» или «от госоргана» с просьбой подтвердить данные стоит проверять через официальный сайт, открытый самостоятельно.