На сервер Bereke Bank смог отправить сообщение посторонний: что показала проверка
Что произошло
Агентство по регулированию и развитию финансового рынка (АРРФР) проверило Bereke Bank после того, как на сайте банка обнаружили открытую техническую функцию, через которую посторонний человек смог отправить сообщение на сервер. По итогам проверки регулятор не выявил угроз для клиентов, сообщили BES.media в агентстве.
Что установила проверка АРРФР
В начале октября на сайте Bereke Bank обнаружили открытую техническую функцию, которая позволяла отправлять сообщения на сервер банка. После появления информации об этом АРРФР совместно с руководством Bereke Bank изучило обстоятельства произошедшего.
По результатам проверки выяснилось, что через открытую функцию действительно можно было отправлять технические сообщения. Однако, как установил регулятор, она не позволяла просматривать данные клиентов или управлять сервером. Отправленные сообщения сохранялись в отдельном журнале, который разработчики использовали для проверки работы сайта.
В агентстве также уточнили, что Bereke Bank не использует MCP-сервер, о котором ранее говорилось в публикации об инциденте.
Как житель Алматы обнаружил открытую функцию на сайте банка
Проблему заметил житель Алматы Алишер Ахметов. По его словам, он обратил внимание на то, что сайт Bereke Bank работает медленно, и решил проверить страницу с помощью специальной консоли браузера. Открыв её, Ахметов увидел сообщение о работе Browser Logger и MCP server. После этого он решил проверить, можно ли отправить сообщение на сервер банка. Для этого Ахметов направил тестовый текст Bereke_Test_12345 и получил подтверждение, что сервер принял запрос. Именно возможность отправить сообщение через обнаруженную функцию стала причиной его обращения к специалистам по информационной безопасности.
Куда обратился Ахметов после обнаружения проблемы
После проверки открытой функции житель Алматы направил информацию о находке в несколько организаций и государственных органов. В их числе были служба кибербезопасности Bereke Bank, KZ-CERT, министерство внутренних дел, Национальный банк и другие ведомства.
По словам Ахметова, после обращения в службу кибербезопасности банка ему сообщили, что не смогли найти отправленную им тестовую запись. При этом, как утверждает алматинец, пресс-служба Bereke Bank подтвердила наличие "недостатка конфигурации сайта".
Куда ещё обратилась редакция
Позже BES.media направило запросы в министерство искусственного интеллекта и цифрового развития, МВД и другие ведомства. Генеральная прокуратура перенаправила запрос редакции в АРРФР, МВД и прокуратуру Астаны.
В министерстве искусственного интеллекта и цифрового развития сообщили, что не знали о ситуации с сайтом Bereke Bank и не проводили проверку. В ведомстве напомнили, что организации обязаны защищать персональные данные. За нарушение этих требований предусмотрена административная или уголовная ответственность. При этом министерство не ведёт отдельную статистику по открытым служебным интерфейсам и другим техническим уязвимостям.
В МВД сообщили, что уголовное дело по этому случаю не открывали. Там пояснили, что проверкой технических уязвимостей и безопасности информационных систем должны заниматься профильные организации и уполномоченные органы.
В министерстве культуры и информации также отметили, что за кибербезопасность и защиту персональных данных отвечает министерство искусственного интеллекта и цифрового развития. Само ведомство следит за распространением информации в интернете и совместно с Государственной технической службой и операторами связи может ограничивать доступ к запрещённым материалам.
Почему это важно
Банки хранят деньги и персональные данные миллионов казахстанцев, поэтому даже небольшие недостатки в защите их сайтов вызывают вопросы. В данном случае регулятор не обнаружил угрозы для клиентов, однако сам факт того, что посторонний человек смог воспользоваться открытой технической функцией, показывает, насколько важно своевременно выявлять и устранять подобные проблемы.
