Автосалон подозревается в продаже клиентской базы

Илья Шабанов 07 Мая 2009 - 10:55

...

Крупный воронежский автосалон КМ/Ч (специализируется на продаже автомобилей Chevrolet и Opel) подозревают в распространении базы с подробной информацией о клиентах.

В редакцию «Агентства Бизнес Информации» поступила информация от одного из клиентов компании, который приобрел автомобиль Opel в салоне КМ/Ч по кредитной схеме. Кредит выдавал Центрально-Черноземный банк Сбербанка РФ, а страхователем по КАСКО (обязательное для кредитного автомобиля) выступило воронежское отделение Ингосстраха.

По сообщению собеседника агентства, к концу первого года страховки по КАСКО автовладельцу стали поступать письменные (на домашний адрес) обращения от страховых компаний, а так же звонки на мобильный телефон. Предложения застраховать автомобиль по КАСКО поступили в частности от «Первая страховая компания», «Финальянс», СК «Россия», Кредитно-страховое бюро и т.п.

Фактически получается, что в цепочке «Ингосстрах-банк-КМ/Ч» кто-то продал или отдал бесплатно клиентскую базу со всеми личными данными клиентов. Обратившийся в агентство человек является руководителем крупной организации и он очень огорчен, что информация о нем, его домашний адрес, мобильный телефон и стоимость его автомобиля попали посторонним.

После официального обращения в «Ингосстрах», там провели расследование и неофициально сообщили, что, вероятнее всего, утечка информации произошла из автосалона КМ/Ч и они намерены обратится в правоохранительные органы с заявлением по данному факту.

В банке возможность утечки информации исключили. По неофициальной информации, в КМ/Ч утечку информации подтвердили, а возможность дальнейшей потери конфиденциальных данных исключили. Однако, пока никто уголовной ответственности за случившееся не понес, несмотря на наличие соответствующей статьи в уголовном кодексе РФ.

Главный аналитик компании InfoWatch, Николай Федотов, отметил: «Никакой уголовной ответственности за разглашение персональных данных не предусмотрено. Предусмотрена административная (ст. 13.11 КоАП). Однако доказать утечку конфиденциальных данных будет непросто, учитывая, что операторами являлись целых три организации (из них две - крупные). К сожалению, наказать оператора ПД можно только за несоблюдение установленного порядка защиты ПД. Каждому ясно, что несоблюдение не обязательно приведёт к утечке. И наоборот: утечка может произойти даже при полном соблюдении всех установлений».

«Что же касается телефонного спама от страховых агентств, то случаев таких в России отмечалось немало. Как до вступления в силу закона "О персональных данных", так и после. В отличие от оператора, допустившего утечку, агентство-спамер привлечь к ответственности гораздо проще, - считает представитель InfoWatch. – Достаточно всего лишь подтвердить факт обращения этого агентства к гражданину. Обращались - значит, обрабатывали персональные данные. Обрабатывали - предъявите письменное согласие, предусмотренное ст.6 и 9 ЗоПД. Нет согласия - нарушили порядок обработки ПД. Заявление в прокуратуру - протокол - штраф. Такие прецеденты также имели место».

Источник

Следующая главная новость »

SOC без иллюзий: от выбора технологий к реальной защите - обсудим в эфире AM Live! Регистрируйтесь »

Татьяна Никитина 04 Февраля 2026 - 21:18

Уязвимости программ Домашние пользователи Корпорации

Расширения Chrome могут слить секреты URL через атаку по стороннему каналу

Как оказалось, расширения Chrome можно использовать для слива кодов авторизации, сеансовых ID и других секретов из URL любой открытой вкладки. Никаких специальных разрешений для этого не понадобится, только доступ к declarativeNetRequest API.

Этот механизм, пришедший на смену webRequest API, позволяет расширениям сообщать браузеру, что следует изменить или заблокировать на загружаемой странице (заголовки, реклама, трекеры).

Правила обработки запросов при этом добавляются динамически, а фильтрация осуществляется по регулярным выражениям, соответствующим подмножествам знаков, которые могут присутствовать на определенных позициях в URL.

Исследователь Луан Эррера (Luan Herrera) обнаружил, что блокировку, диктуемую правилами, Chrome производит почти мгновенно, за 10-30 мс, а остальные запросы выполняются дольше (~50-100ms) — из-за сетевых подключений. Эту разницу во времени расширение может использовать для бинарного поиска с целью посимвольного слива URL.

// extensions/browser/api/web_request/extension_web_request_event_router.cc:1117-1127
case DNRRequestAction::Type::BLOCK:
  ClearPendingCallbacks(browser_context, *request);
  DCHECK_EQ(1u, actions.size());
  OnDNRActionMatched(browser_context, *request, action);
  return net::ERR_BLOCKED_BY_CLIENT;

Оракул для подобной тайминг-атаки строится с использованием chrome.tabs.reload для перезагрузки страницы и перехватчика chrome.tabs.onUpdated, помогающего отследить событие status === "complete". Замер времени между reload и завершением загрузки покажет, заблокирован запрос или успешно обработан.

Повторение проверок и бинарного поиска позволяет получить полный URL (с довеском после «?»), затратив на каждый знак строки несколько прогонов. Таким образом, можно незаметно для пользователя украсть включенные приложением в адрес секреты — токены OAuth и сброса пароля, API-ключи, ссылки на контент, закрытый для поисковых систем.

Проверка PoC проводилась на Windows 11 24H2 с использованием Chrome разных версий: