Латвійський підрозділ постачальника телекомунікаційних послуг CSCTelecom став джерелом одного з найбільших витоків SMS-даних в історії Балтії. За даними дослідницької групи Cybernews, через вразливість у системі безпеки публічно доступною виявилася база даних ClickHouse, що містила понад 125 мільйонів SMS-повідомлень, надісланих у період з жовтня 2022 року по вересень 2026 року. Витік торкнувся клієнтів із Латвії, Литви та Естонії й включав повідомлення найбільших банків, служби екстреної допомоги 112, страхових компаній, медичних установ і десятків роздрібних торгових мереж.

Що саме опинилося у відкритому доступі

Згідно з публікацією LSM.lv, у скомпрометованій базі містилися не лише номери телефонів одержувачів та назви підприємств-відправників, а й повний зміст кожного SMS: коди аутентифікації, тимчасові паролі, результати медичних аналізів, інформація про бронювання із зазначенням імен та адрес, оновлення про доставку замовлень, дати поїздок та повідомлення про банківські операції. Окрім самого тексту повідомлень, були доступні метадані — часові мітки, вартість відправки, інформація про маршрутизацію в мобільній мережі. Критично важливім обставиною є те, що база оновлювалася в режимі реального часу: зловмисник, який отримав доступ, міг перехоплювати коди аутентифікації та посилання для скидання паролів ще до того, як одержувач відкривав повідомлення.

Масштаб: три мільйони SMS за один місяць

Дослідники Cybernews виявили вразливу базу даних ClickHouse наприкінці вересня 2026 року. За їхніми підрахунками, лише за вересень сервіс CSCTelecom надіслав понад три мільйони SMS-повідомлень. Серед відправників — латвійські банки Swedbank та SEB, страхові компанії ERGO, Compensa та Artea, національна лінія екстреної допомоги 112, роздрібні торговці Porsche у Латвії та Литві, сервіси доставки CityBee та Barbora (Латвія), EuroCash (Литва), DEPO (Литва та Естонія), мережі Akropolis (Латвія та Литва), IKI та PerlasGo (Литва), Autoplius (Латвія та Литва), медичні підприємства Sypsenos akademija та Denticija (Литва), а також національний авіаперевізник AirBaltic, що працював у всіх трьох країнах Балтії.

Реакція банків: від «маркетинг для пенсійних фондів» до призупинення співпраці

Керівник відділу корпоративних комунікацій латвійського відділення SEB Анете Ігаунія заявила, що банк використовував послуги CSCTelecom в обмеженому обсязі та виключно для розсилання маркетингової інформації у сфері пенсійних фондів. За її словами, для передачі конфіденційної інформації клієнтів SEB застосовує інші канали зв'язку, а сам інцидент «не впливає на безпеку систем SEB і не створює загрози ані для конфіденційної інформації клієнтів, ані для їхніх грошових коштів». При цьому Ігаунія зазначила, що CSCTelecom не повідомив SEB про подію напряму.

Позиція Swedbank Latvija виявилася більш жорсткою. Представник банку Крістіне Чекстере повідомила агентству LETA, що після отримання інформації про інцидент Swedbank негайно розпочав розслідування, вжив усіх передбачених нормативними актами дій та призупинив використання послуг CSCTelecom. Банк запросив у постачальника всю необхідну інформацію для оцінки масштабів інциденту та його можливого впливу на клієнтів. Swedbank також закликав клієнтів зберігати пильність і не довіряти підозрілим SMS, дзвінкам та електронним листам, у яких запитуються персональні дані, паролі чи коди аутентификації.

AirBaltic та інші компанії: оцінка триває

Представники AirBaltic підтвердили агентству LETA, що авіакомпанія обізнана про інформацію щодо можливого інциденту безпеки даних у системах зовнішнього постачальника послуг. Підприємство, за власною заявою, ставиться до ситуації «дуже серйозно», оскільки безпека даних та конфіденційність клієнтів є одним із його пріоритетів. AirBaltic розпочала внутрішню оцінку та тісно співпрацює із залученими постачальниками послуг і наглядовими установами. Аналогічні процедури, за логікою нормативних вимог, мають бути запущені й в решті затронутих організацій — від страхових компаній до медичних установ.

Що це означає для користувачів

Витік 125 мільйонів SMS за майже чотири роки охоплює, по суті, повсякденне цифрове життя мільйонів людей у трьох країнах Балтії. Якщо в базі містилися коди аутентифікації та тимчасові паролі, то навіть якщо вони вже втратили актуальність, їхня наявність у відкритому доступі створює ризик для соціальної інженерії: зловмисник, знаючи, що конкретний користувач отримував коди від конкретного банку чи сервісу, може використовувати цю інформацію для більш переконливих фішингових атак. Експерти в галузі кібербезпеки в подібних випадках рекомендують користувачам банків та державних сервісів активувати двофакторну аутентифікацію каналами, відмінними від SMS, та уважно перевіряти будь-які вхідні повідомлення, що запитують персональні дані. Наглядові органи Латвії, Литви та Естонії, ймовірно, будуть зобов'язані провести власні перевірки відповідно до GDPR та національного законодавства про захист даних.