Латвийское подразделение поставщика телекоммуникационных услуг CSCTelecom стало источником одной из крупнейших утечек SMS-данных в истории Балтии. По данным исследовательской группы Cybernews, из-за уязвимости в системе безопасности публично доступной оказалась база данных ClickHouse, содержащая более 125 миллионов SMS-сообщений, отправленных в период с октября 2022 года по сентябрь 2026 года. Утечка затронула клиентов из Латвии, Литвы и Эстонии и включала сообщения крупнейших банков, службы экстренной помощи 112, страховых компаний, медицинских учреждений и десятков розничных торговых сетей.
Что именно оказалось в открытом доступе
Согласно публикации LSM.lv, в скомпрометированной базе содержались не только номера телефонов получателей и названия предприятий-отправителей, но и полное содержание каждого SMS: коды аутентификации, временные пароли, результаты медицинских анализов, информация о бронировании с указанием имён и адресов, обновления о доставке заказов, даты поездок и уведомления о банковских операциях. Помимо самого текста сообщений, были доступны метаданные — временные метки, стоимость отправки, информация о маршрутизации в мобильной сети. Критически важным обстоятельством является то, что база обновлялась в режиме реального времени: злоумышленник, получивший доступ, мог перехватывать коды аутентификации и ссылки для сброса паролей ещё до того, как получатель открывал сообщение.
Масштаб: три миллиона SMS за один месяц
Исследователи Cybernews обнаружили уязвимую базу данных ClickHouse в конце сентября 2026 года. По их подсчётам, только за сентябрь сервис CSCTelecom отправил более трёх миллионов SMS-сообщений. Среди отправителей — латвийские банки Swedbank и SEB, страховые компании ERGO, Compensa и Artea, национальная линия экстренной помощи 112, розничные торговцы Porsche в Латвии и Литве, сервисы доставки CityBee и Barbora (Латвия), EuroCash (Литва), DEPO (Литва и Эстония), сети Akropolis (Латвия и Литва), IKI и PerlasGo (Литва), Autoplius (Латвия и Литва), медицинские предприятия Sypsenos akademija и Denticija (Литва), а также национальный авиаперевозчик AirBaltic, работавший во всех трёх странах Балтии.
Реакция банков: от «маркетинг для пенсионных фондов» до приостановки сотрудничества
Руководитель отдела корпоративных коммуникаций латвийского отделения SEB Анете Игауния заявила, что банк использовал услуги CSCTelecom в ограниченном объёме и исключительно для рассылки маркетинговой информации в сфере пенсионных фондов. По её словам, для передачи конфиденциальной информации клиентов SEB применяет другие каналы связи, а сам инцидент «не влияет на безопасность систем SEB и не создаёт угрозы ни для конфиденциальной информации клиентов, ни для их денежных средств». При этом Игауния отметила, что CSCTelecom не сообщил SEB о произошедшем инциденте напрямую.
Позиция Swedbank Latvija оказалась более жёсткой. Представитель банка Кристине Чекстере сообщила агентству LETA, что после получения информации об инциденте Swedbank незамедлительно начал расследование, предпринял все предусмотренные нормативными актами действия и приостановил использование услуг CSCTelecom. Банк запросил у поставщика всю необходимую информацию для оценки масштабов инцидента и его возможного влияния на клиентов. Swedbank также призвал клиентов сохранять бдительность и не доверять подозрительным SMS, звонкам и электронным письмам, в которых запрашиваются персональные данные, пароли или коды аутентификации.
AirBaltic и другие компании: оценка продолжается
Представители AirBaltic подтвердили агентству LETA, что авиакомпания осведомлена о появившейся информации о возможном инциденте безопасности данных в системах внешнего поставщика услуг. Предприятие, по собственному заявлению, относится к ситуации «очень серьёзно», поскольку безопасность данных и конфиденциальность клиентов являются одним из его приоритетов. AirBaltic начала внутреннюю оценку и тесно сотрудничает с вовлечёнными поставщиками услуг и надзорными учреждениями. Аналогичные процедуры, по логике нормативных требований, должны быть запущены и в остальных затронутых организациях — от страховых компаний до медицинских учреждений.
Что это значит для пользователей
Утечка 125 миллионов SMS за почти четыре года охватывает, по сути, повседневную цифровую жизнь миллионов людей в трёх странах Балтии. Если в базе содержались коды аутентификации и временные пароли, то даже если они уже утратили актуальность, их наличие в открытом доступе создаёт риск для социальной инженерии: злоумышленник, зная, что конкретный пользователь получал коды от конкретного банка или сервиса, может использовать эту информацию для более убедительных фишинговых атак. Эксперты в области кибербезопасности в подобных случаях рекомендуют пользователям банков и государственных сервисов активировать двухфакторную аутентификацию по каналам, отличным от SMS, и внимательно проверять любые входящие сообщения, запрашивающие персональные данные. Надзорные органы Латвии, Литвы и Эстонии, вероятно, будут обязаны провести собственные проверки в соответствии с GDPR и национальным законодательством о защите данных.
