Номер карты за час: что известно об утечке «СберСпасибо»

Номера банковских карт в утёкшей базе «СберСпасибо» были захэшированы. Только подобрать их, по оценке основателя DLBI Ашота Оганесяна, можно примерно за час.

База гуляет по сети с марта 2023 года, а 11 ноября 2026-го её добавили в Have I Been Pwned¹, так что теперь любой может проверить, есть ли там его почта.

Данные выложили в открытый доступ 9 марта 2023 года. По информации DLBI, их получили, предположительно, из мобильного приложения бонусной программы Сбербанка. Позже всплыла вторая часть с той же структурой, актуальная на 22 января 2023 года. Сервис Троя Ханта загрузил базу только сейчас.

В утечке: номера телефонов, 3,3 миллиона уникальных адресов почты, даты рождения и регистрации. Плюс детали программы лояльности: когда человек вступил и на какие предложения партнёров тратил бонусы. То есть база рассказывает не только кто вы, но и где вы покупаете.

Номера карт хранились как SHA-1. Звучит надёжно, но в номере карты 16 цифр, первые шесть — это BIN банка, а последняя вычисляется по алгоритму Луна. Остаётся девять неизвестных цифр, около миллиарда вариантов, и перебрать их современному компьютеру несложно.

Что сказали в Сбере?

В «СберСпасибо» тогда ответили, что подобные сообщения обычно связаны с мошенниками, которые выдают компиляции старых баз за свежие. Роскомнадзор пообещал проверить информацию и отметил, что на следующий день после публикации уведомления об инциденте от компании так и не поступило. Have I Been Pwned тоже осторожно пишет, что данные «предположительно» взяты из «СберСпасибо».

Источники

1. Have I Been Pwned ↩