Герман Греф – о предательстве и безопасности

https://www.vesti.ru/videos/show/vid/813132/

Герман Греф – о предательстве и безопасности

СМИ сообщили о крупной утечке учетных записей клиентов Сбербанка.

Якобы объявление о продаже свежей базы крупного банка появилось недавно на одном из форумов.

По сообщениям СМИ, в таблице содержались детальные персональные данные, подробная финансовая информация о кредитнах картах и операциях, а сама утечка могла произойти в конце августа. "Вести" пригласили в студию главу Сбербанка Германа Грефа, чтобы выяснить, насколько эта информация достоверна и как сейчас продвигается расследование.

- Герман Оскарович, во всех заголовках фигурировала цифра 60 миллионов клиентов Сбербанка. Якобы, данные о 60 миллионах куда-то утекли. Это соответствует действительности?

- Во-первых, много было информационного шума, как, собственно говоря, информация о 60 миллионах клиентов Сбербанка, имеющих кредитные карты. Всего клиентов, имеющих кредитные карты в Сбербанке, — 18 миллионов.

Речь идет именно о кредитных картах, а не о дебетовых, потому что основная масса наших клиентов имеет дебетовые карты.

Поэтому очевидно было, что здесь было много шума, но за этим шумом, конечно же, была и достоверная информация.

Мы уже 2 октября вечером, когда появилась информация, понимали, что есть утечка из нашей системы.

 Наши службы, которые занимаются кибербезопасностью, делятся на две части.

Первая — это наши внутренние службы, которые занимается обеспечением безопасности контура банка, вторая часть — это наше дочернее предприятие "Бизон", которое выполняет функции разведки в Интернете и так называемого белого хакинга — они пытаются взломать наши продукты и продукты других клиентов.

 Они 24 часа в сутки мониторят интернет-пространство, в том числе так называемого теневого Интернета.

 И мы отловили, конечно же, это объявление, и преступник вступил в контакт с нашим сотрудником.

Он не подозревал о том, что это наш сотрудник, но мы задали ему вопросы, и по этим вопросам было понятно, что утечка, которая произошла, — внутренняя.

 После чего мы начали активно прорабатывать все возможные сценарии этой утечки, и был определен круг: сначала 35 человек, потом 4 человека, а к двум часам ночи мы понимали, что это 2 человека, на которых больше всего падало подозрение.

Подозреваемый был допрошен. После предъявления ему всего собранного пула доказательств он сознался в содеянном. Преступником оказался наш сотрудник, к сожалению, выпускник одного из сильных российских вузов, получивший хорошее образование.

Он выбрал способ хищения данных очень нетривиальный. И если бы не те системы, о которых он не догадывался и которые поверх всех внутренних систем мониторили действия сотрудников, конечно, найти его было бы чрезвычайно тяжело, потому что он очень тщательно скрыл все следы преступления. Тем не менее, когда мы включили поиск, были подключены все наши силы, мы понимали, что происходит и кто потенциальный преступник.

- Преступник успел продать украденные данные или их часть?

- Никакой утечки данных, кроме 200 владельцев карт, которые не были опубликованы в открытом доступе, они находятся у нас, и еще в трех источниках, которые мы контролируем. Но все эти карты были перевыпущены, поэтому клиентам тоже волноваться нечего.

- Уже за это время были перевыпущены?

- Конечно.

- За несколько дней?

- Да, за два дня. И сейчас наши клиенты, некоторые из них находятся в командировках, по мере того как они будут возвращаться, получат новые карты. Но, несмотря ни на что, все клиенты кредитных карт были поставлены под особый мониторинг, и 200 клиентов, данные которых не были опубликованы в открытом доступе, но произошла утечка по ним, были на особом мониторинге.

 Мы контролировали каждую операцию, поэтому никакой угрозы, никакой опасности средствам клиентов не было.

Эта ситуация завершилась, и я хотел бы принести извинения всем нашим клиентам за то, что такой информационный поток обрушился.

К сожалению, мы не могли ничего сказать раньше, пока не завершились расследование и операция по поиску всех доказательств. Это было непростое время для нас, эти полутора суток, тем не менее, ни один из клиентов не вздрогнул, никак себя нестандартно не повел. И я хотел бы сказать всем нашим клиентам огромное спасибо за веру в нас, за доверие банку, которым мы очень дорожим и которым будем очень дорожить в будущем.

- А все-таки что двигало преступником? Целью было личное обогащение, он хотел просто продать базу и получить деньги?

- Да, это корыстный мотив. Он объяснил нам это личными причинами, которые мы тоже проверяем. Но очевидно, что даже та сумма, за которую он пытался продать этот массив, не соответствует никаким личным мотивам, это значительно больше.

- Пять рублей за строчку он просил.

- Сначала пять рублей за строчку, потому уже и иные цифры назывались.

Но очевидно, что мотив корыстный, и никакие обстоятельства не могут служить прощением в такого рода преступлении. Мы расцениваем это как внутреннее предательство. Люди, в которых мы инвестируем средства, растим высококлассных специалистов, они начинают работать против нас и против клиентов. Это недопустимо. И, конечно, они за это должны понести наказание.

- Что ему грозит?

- Ему грозит уголовная ответственность. Я не могу пока ни раскрывать, ни комментировать, потому что это уже дело правоохранительных органов или суда.

- Вы показывали съемочным группам, в том числе и нашим, ваш центр кибербезопасности. Он выглядит очень впечатляюще, как из фильмов о будущем. И вы говорили о трех контурах внешней безопасности, которые до настоящего момента не были пробиты. Ни один, даже первый. Понятно, что по внутренним причинам произошла утечка, тем не менее этот внешний контур, он в этом случае тоже оказал какую-то свою функцию? Он сработал, подействовал, защитил клиентов?

- Всегда в любой системе самое сложная защита — это защита от предательства.

 Я бытовым языком это называю, но в нашем лексиконе это предательство, когда внутренний сотрудник, который призван защищать, вдруг меняет свою функцию на противоположную.

 Это, конечно, просто недопустимо!

Внешний контур чрезвычайно важен, потому что он сужает моментально объем поиска. Когда ты понимаешь, что это сотрудник, это моментально облегчает задачу и дает высокую вероятность того, что мы в конце концов его найдем.

 Через четыре часа подозреваемый сидел в банке, его опрашивали.

- А как вы думаете, почему он был уверен, что его не найдут?

- Это проблема профессиональной деформации. Человек достигает определенного уровня профессионализма, ему кажется, что он его достиг настолько, что может быть лучшим, может перехитрить всех.

Это характерно для любого человека, наверное, не только для молодого. А уж человека 28-летнего это может очень серьезно подвести, как в этом случае. Поэтому, конечно же, мы пытаемся людям это объяснять, что вы можете в один момент сломать не только свою карьеру, но и свою жизнь.

- Какие выводы вы сделали из этой ситуации? То, что случилось, — это ведь прецедент?

- Это правда, у нас это впервые. Знаете, как в таких случаях говорят: если бы этого не случилось, то нужно было бы придумать это. Вот такой случай мы даже придумать не могли. И хорошо, что это произошло, потому что это приведет к тому, что мы сделаем огромное количество выводов из этой ситуации, очень серьезно усилим работу по защите наших систем от внутренних недобросовестных действий.

- В СМИ писали, что эти данные, которые были в его таблицах, не содержали информацию для прямого списания денег, они бы все равно не позволили этого сделать, но, видимо, могли использоваться для социальной инженерии, которая сейчас очень распространена. Как бороться с этим? В прошлом году объем украденных денег по стране с помощью социальной инженерии превысил миллиард с лишним.

- Есть очень простые правила. Я не хочу даже морочить голову подробными инструкциями, хотя они всегда есть на наших сайтах, в Сбербанке-онлайн и так далее. Первое: никогда сотрудник любого банка не будет вам звонить и спрашивать ваши данные, потому что он всегда этими данными владеет.

Если вы позвонили в банк с тем, чтобы идентифицировать свою операцию, то вам могут быть заданы вопросы по поводу кодового слова, как правило, какие-то ваши данные могут быть уточнены, паспортные данные или место жительства.

Но только в ответ на ваш звонок. Если звонят вам, сто процентов, что это мошенник. Никогда не отвечайте! Это первое правило. Второе правило: никогда никому, ни одному человеку не доверяйте код, который написан на обратной стороне карты.

Никогда не переключайте свои мобильные устройства на телефоны ваших родных, близких или тем более незнакомых людей.

И никогда никому не давайте пин-код или ваши кодовые слова. Это самая приватная информация, которую вы должны хранить при себе. Если вы следуете хотя бы этим двум правилам, вы на порядки минимизируете возможное хищение ваших денег.

- Большое спасибо, Герман Оскарович, за ваши подробные разъяснения. Будем надеяться, что этот прецедент останется единственным и больше никогда не повторится.