--- title: "125 мільйонів SMS від банків, 112 та ритейлу: з бази даних латвійського CSCTelecom витекли коди аутентифікації та особисті дані" description: "З публічно доступної бази даних латвійського CSCTelecom витекли 125 млн SMS від Swedbank, SEB, 112 та ритейлу за 2022–2026 рр. Витік торкнувся Латвії, Литви та Естонії; банки призупинили співпрацю з провайдером." date: 2026-11-12T10:37:53.626Z lang: uk url: https://xab.info/uk/posts/vytik-125-mln-sms-csctelecom-latvia-banky tags: [data-breach, sms-leak, csctelecom, latvia, swedbank, seb, cybersecurity, baltics, airbaltic] author: "Олександр Буран" publisher: "XAB.info" --- # 125 мільйонів SMS від банків, 112 та ритейлу: з бази даних латвійського CSCTelecom витекли коди аутентифікації та особисті дані ## Ключові тези - З бази даних ClickHouse латвійського CSCTelecom публічно доступними стали понад 125 млн SMS-повідомлень за період з жовтня 2022 по вересень 2026 року - Витік торкнувся клієнтів Swedbank, SEB, 112, страхових компаній, ритейлу та AirBaltic у Латвії, Литві та Естонії - База оновлювалася в реальному часі, що дозволяло перехоплювати коди аутентифікації до їх отримання одержувачем - Swedbank призупинив використання послуг CSCTelecom і розпочав розслідування; SEB заявив, що використовував провайдера лише для маркетингу пенсійних фондів Латвійський підрозділ постачальника телекомунікаційних послуг CSCTelecom став джерелом одного з найбільших витоків SMS-даних в історії Балтії. За даними дослідницької групи Cybernews, через вразливість у системі безпеки публічно доступною виявилася база даних ClickHouse, що містила понад 125 мільйонів SMS-повідомлень, надісланих у період з жовтня 2022 року по вересень 2026 року. Витік торкнувся клієнтів із Латвії, Литви та Естонії й включав повідомлення найбільших банків, служби екстреної допомоги 112, страхових компаній, медичних установ і десятків роздрібних торгових мереж. ### Що саме опинилося у відкритому доступі Згідно з публікацією LSM.lv, у скомпрометованій базі містилися не лише номери телефонів одержувачів та назви підприємств-відправників, а й повний зміст кожного SMS: коди аутентифікації, тимчасові паролі, результати медичних аналізів, інформація про бронювання із зазначенням імен та адрес, оновлення про доставку замовлень, дати поїздок та повідомлення про банківські операції. Окрім самого тексту повідомлень, були доступні метадані — часові мітки, вартість відправки, інформація про маршрутизацію в мобільній мережі. Критично важливім обставиною є те, що база оновлювалася в режимі реального часу: зловмисник, який отримав доступ, міг перехоплювати коди аутентифікації та посилання для скидання паролів ще до того, як одержувач відкривав повідомлення. ### Масштаб: три мільйони SMS за один місяць Дослідники Cybernews виявили вразливу базу даних ClickHouse наприкінці вересня 2026 року. За їхніми підрахунками, лише за вересень сервіс CSCTelecom надіслав понад три мільйони SMS-повідомлень. Серед відправників — латвійські банки Swedbank та SEB, страхові компанії ERGO, Compensa та Artea, національна лінія екстреної допомоги 112, роздрібні торговці Porsche у Латвії та Литві, сервіси доставки CityBee та Barbora (Латвія), EuroCash (Литва), DEPO (Литва та Естонія), мережі Akropolis (Латвія та Литва), IKI та PerlasGo (Литва), Autoplius (Латвія та Литва), медичні підприємства Sypsenos akademija та Denticija (Литва), а також національний авіаперевізник AirBaltic, що працював у всіх трьох країнах Балтії. ### Реакція банків: від «маркетинг для пенсійних фондів» до призупинення співпраці Керівник відділу корпоративних комунікацій латвійського відділення SEB Анете Ігаунія заявила, що банк використовував послуги CSCTelecom в обмеженому обсязі та виключно для розсилання маркетингової інформації у сфері пенсійних фондів. За її словами, для передачі конфіденційної інформації клієнтів SEB застосовує інші канали зв'язку, а сам інцидент «не впливає на безпеку систем SEB і не створює загрози ані для конфіденційної інформації клієнтів, ані для їхніх грошових коштів». При цьому Ігаунія зазначила, що CSCTelecom не повідомив SEB про подію напряму. Позиція Swedbank Latvija виявилася більш жорсткою. Представник банку Крістіне Чекстере повідомила агентству LETA, що після отримання інформації про інцидент Swedbank негайно розпочав розслідування, вжив усіх передбачених нормативними актами дій та призупинив використання послуг CSCTelecom. Банк запросив у постачальника всю необхідну інформацію для оцінки масштабів інциденту та його можливого впливу на клієнтів. Swedbank також закликав клієнтів зберігати пильність і не довіряти підозрілим SMS, дзвінкам та електронним листам, у яких запитуються персональні дані, паролі чи коди аутентификації. ### AirBaltic та інші компанії: оцінка триває Представники AirBaltic підтвердили агентству LETA, що авіакомпанія обізнана про інформацію щодо можливого інциденту безпеки даних у системах зовнішнього постачальника послуг. Підприємство, за власною заявою, ставиться до ситуації «дуже серйозно», оскільки безпека даних та конфіденційність клієнтів є одним із його пріоритетів. AirBaltic розпочала внутрішню оцінку та тісно співпрацює із залученими постачальниками послуг і наглядовими установами. Аналогічні процедури, за логікою нормативних вимог, мають бути запущені й в решті затронутих організацій — від страхових компаній до медичних установ. ### Що це означає для користувачів Витік 125 мільйонів SMS за майже чотири роки охоплює, по суті, повсякденне цифрове життя мільйонів людей у трьох країнах Балтії. Якщо в базі містилися коди аутентифікації та тимчасові паролі, то навіть якщо вони вже втратили актуальність, їхня наявність у відкритому доступі створює ризик для соціальної інженерії: зловмисник, знаючи, що конкретний користувач отримував коди від конкретного банку чи сервісу, може використовувати цю інформацію для більш переконливих фішингових атак. Експерти в галузі кібербезпеки в подібних випадках рекомендують користувачам банків та державних сервісів активувати двофакторну аутентифікацію каналами, відмінними від SMS, та уважно перевіряти будь-які вхідні повідомлення, що запитують персональні дані. Наглядові органи Латвії, Литви та Естонії, ймовірно, будуть зобов'язані провести власні перевірки відповідно до GDPR та національного законодавства про захист даних. ## Перевірка фактів і джерела - [Из базы данных CSCTelecom в Латвии могли утечь 125 млн SMS-сообщений клиентам](https://rus.err.ee/1610193136/iz-bazy-dannyh-csctelecom-v-latvii-mogli-utech-125-mln-sms-soobwenij-klientam) - Першоджерело: повна деталізація витоку, список зачеплених компаній, коментарі SEB, Swedbank, AirBaltic. Дані збігаються з основою статті. - [Из базы данных CSCTelecom в Латвии могли утечь 125 миллионов SMS клиентам, в том числе от банков и ...](https://rus.lsm.lv/statja/novosti/obschestvo/11.11.2026-iz-bazy-dannyx-csctelecom-v-latvii-mogli-utec-125-millionov-sms-klientam-v-tom-cisle-ot-bankov-i-torgovcev-izdanie.a671536/) - Незалежне латвійське видання LSM.lv підтверджує факт витоку, період (жовтень 2022 — вересень 2026), список відправників та механізм реального часу. Дані узгоджені з джерелом 1. ## Часті запитання ### Який обсяг даних витік із бази CSCTelecom? За даними Cybernews, публічно доступними стали понад 125 мільйонів SMS-повідомлень, надісланих у період з жовтня 2022 по вересень 2026 року. Лише за вересень 2026 року сервіс надіслав понад три мільйони повідомлень. ### Які компанії та сервіси постраждали від витоку? Серед відправників — банки Swedbank та SEB, страхові компанії ERGO, Compensa, Artea, служба 112, Porsche, CityBee, Barbora, EuroCash, DEPO, Akropolis, IKI, PerlasGo, Autoplius, AirBaltic, а також литовські медичні підприємства Sypsenos akademija та Denticija. ### Що саме містилося у витеклих даних? У базі були номери телефонів одержувачів, назви відправників, повний зміст SMS (коди аутентифікації, тимчасові паролі, результати меданалізів, дані бронювань, повідомлення про банківські операції), а також метадані: часові мітки, вартість, інформація про маршрутизацію. ### Як відреагували Swedbank та SEB? Swedbank призупинив використання послуг CSCTelecom, розпочав розслідування та закликав клієнтів бути пильними. SEB заявив, що використовував провайдера лише для маркетингової розсилки по пенсійних фондах, і підкреслив, що інцидент не зачіпає безпеку клієнтських даних та коштів. ### Чи торкнувся витік інших країн, окрім Латвії? Так. Хоча CSCTelecom працює переважно в Латвії, витік також торкнувся підприємств і приватних осіб у Литві та Естонії, включаючи клієнтів DEPO, IKI, PerlasGo, EuroCash, Porsche та AirBaltic.