В даркнете выставили на продажу данные 10 млн пользователей букмекерской платформы

Дочерняя компания «Сбера», занимающаяся управлением цифровыми рисками, BI.ZONE обнаружила информацию о продаже данных пользователей букмекерской платформы Pin-Up.bet на одном из теневых форумов. Скомпрометированными оказали почти 10 млн учетных записей, в том числе 7,8 млн — аккаунты, зарегистрированные из России. Информацию об утечке РБК подтвердили руководитель группы исследования публичных утечек Group-IB Олег Деров и основатель сервиса анализа утечек данных DLBI Ашот Оганесян. 

Платформа Pin-Up.bet позволяет делать ставки на спорт и играть в онлайн-казино. В России деятельность онлайн-казино запрещена. Международная версия сайта заблокирована по решению Федеральной налоговой службы (ФНС), однако пользователям доступны его зеркала. В России также работает сайт Pin-Up.ru, который принимает только ставки на спорт, не предоставляя возможность играть в онлайн-казино. Владелец доменного имени pin-up.ru ООО «Уильям Хилл» указан в реестре организаций по проведению азартных игр в букмекерских конторах или тотализаторах ФНС.

Из предлагаемых к продаже данных (9,975 млн аккаунтов) 7,8 млн зарегистрированы в России, 1,3 млн — в Великобритании, 600 000 — в Турции, остальные — в Бразилии, США, Германии и Азербайджане. В сэмплах (образцах сведений об отдельных пользователях) указаны такие персональные данные, как город, адрес, телефон и другие. Владелец базы готов за $10 000  в криптовалюте предоставить покупателю сведения об электронной почте пользователей, дате рождения, номере телефона, финансовую информацию, адрес, пол, любимую игру, в которой сделано наибольшее количество ставок и т.д. 

«Автор объявления заявляет, что продаваемая база актуальна на конец 2020 года. Для предотвращения вероятных последствий мы рекомендуем пользователям сменить пароли и настроить двухфакторную аутентификацию, если это возможно», — сообщил директор блока экспертных сервисов BI.ZONE Евгений Волошин. Объявление о продаже базы появилось в даркнете 5 октября. 

«Pin-Up.bet является нашим партнером, но прямого отношения к этой компании мы не имеем. Разница в том, что Pin-Up.ru является лицензированной букмекерской компанией, работаем согласно российскому законодательству, у нас предоставляются только ставки на спортивные события», —  сообщил консультант Pin-Up.ru в ответ на запрос РБК.  Он отметил, что у них нет информации по Pin-Up.bet. Управляющий партнер юридической компании AVG Legal Алексей Гавришев объяснил, что в отличие от нелегальных легальные букмекеры платят налоги, выполняют требование по максимальному размеру вознаграждения, взимаемого организатором азартных игр в тотализаторе с участников (не выше 30%) и т.д. 

«Случаи, когда в сеть утекают данные букмекерских платформ, происходят довольно редко. Я бы сказал, что это крупный слив. Скорее всего, взломали сервер. Слить могли через какую-то уязвимость вроде SQLi (один из распространенных способов взлома сайтов и программ, работающих с базами данных)», — отметил Оганесян из DLBI. Он назвал указанную продавцом цену слишком высокой и усомнился, что базу кто-либо купит. Деров из Group-IB оценил утечку как крупную, но не рекордную ни для России, ни для мира. 

Эксперт Центра продуктов Dozor компании «Ростелеком-Солар» Алексей Кубарев отметил, что, как правило, при регистрации пользователи различных букмекерских сервисов и онлайн-казино предоставляют достаточно полный набор своих персональных данных, включая чувствительную информацию. По оценке Дерова, даже без компрометации паролей утечка представляет угрозу для пользователей. Данные из базы, выставленной на продажу, позволят проводить массовые спам-рассылки и целевые фишинг- и вишинг-атаки, отметил он. Утечка может обернуться для скомпрометированных пользователей либо попытками скама от мошенников, когда злоумышленник сначала втирается к пользователю в доверие, а потом вынуждает раскрыть данные и отдать деньги, либо спамом от других букмекеров, подтвердил Оганесян.

Руководитель отдела анализа цифровых угроз компании «Инфосекьюрити» (входит в группу Softline) Александр Вураско сказал: «На подобном сайте всегда будет много мертвых учеток, а также масса учетных записей, принадлежащих одним и тем же людям, пусть даже это и противоречит пользовательскому соглашению». Он предупредил о наличии в политике обработки персональных данных Pin-Up.bet  расплывчатых  формулировок, в том числе о передаче их третьим лицам, об отказе компании от ответственности за ущерб, связанный потерей данных и др. В пользовательском соглашении оговаривается, что все споры регулируются законодательством Кипра.