Утечки баз данных банков: реальный ущерб по цифрам и отчетам

Утечки баз данных банков: реальный ущерб по цифрам и отчётам

Первый оценивает последствия для организации, второй описывает переводы без согласия клиентов. Если смешать их, станет непонятно, о каком именно ущербе идёт речь.

В отчёте IBM средняя стоимость утечки в финансовом секторе оценивается в миллионы долларов. Статистика Банка России о переводах без добровольного согласия клиентов измеряется в рублях и не показывает, какая часть хищений связана именно с утечками баз. Эти цифры помогают увидеть разные стороны риска, но не складываются в одну общую оценку.

Стоимость инцидента и потери клиентов: разные метрики

В отчёте IBM Cost of a Data Breach 2024 средняя стоимость утечки для финансового сектора составила 6,08 млн долларов. Это средняя оценка совокупных затрат организаций, а не фиксированная цена любого отдельного инцидента. В расчёт входят расходы на расследование и восстановление, уведомления, возможные штрафы, а также последствия для деловых отношений и репутации.

Глобальная средняя стоимость утечки по всем отраслям в том же отчёте составила 4,88 млн долларов. Показатель финансового сектора выше на 22%. Однако он не был самым высоким: в здравоохранении средняя стоимость утечки оказалась выше.

Отдельная оценка IBM для крупных утечек, затронувших 50 млн записей и более, составляет 375 млн долларов в финансовом секторе. Это среднее для особой категории масштабных инцидентов, а не типичная сумма ущерба при утечке клиентской базы.

Банк России использует другую систему измерения. В 2024 году объём переводов без добровольного согласия клиентов составил 27,4 млрд рублей. Банки вернули 2 713,58 млн рублей, или 9,9% от этого объёма. Регуляторная статистика учитывает мошеннические операции, включая переводы, совершённые клиентами под влиянием обмана. Она не является оценкой потерь от утечек банковских баз.

IBM оценивает, во сколько утечка обходится организации. Банк России учитывает переводы без согласия клиентов. Это разные виды ущерба, и источники не связывают их напрямую.

Поэтому выражение «средний ущерб от утечки в банке» требует уточнения. Речь может идти о расходах организации, потерях клиентов от мошеннических переводов или о стоимости конкретных последствий для одного человека. Без такого уточнения число звучит убедительно, но сравнивать его не с чем.

Глобальная статистика IBM 2024: цена утечки в финансах

Исследование IBM за 2024 год охватило 604 организации в 16 странах и регионах и 17 отраслях. Данные собирал Ponemon Institute; отчёт опубликован 30 июля 2024 года. В нём финансовый сектор рассматривается отдельно, поэтому его средние показатели можно сопоставлять с общими данными по отраслям, но не следует принимать за цену каждого банковского инцидента.

Почему финансовый сектор обходится дорого? Банковские системы хранят данные, через которые можно получить доступ к счетам, платёжным операциям и сервисам. Инцидент может затронуть сразу несколько частей бизнеса: от клиентской поддержки до процессинга и регуляторной отчётности. Чем шире последствия, тем сложнее и дороже расследование и восстановление.

Но среднюю отраслевую оценку нельзя переносить на конкретный банк. У разных организаций отличаются масштаб инцидента, тип затронутых систем и объём необходимых работ. IBM даёт общий ориентир для сравнения отраслей, а не смету для отдельной утечки.

Само понятие «утечка базы» тоже не всегда описывает весь инцидент. Данные могут быть скопированы из хранилища, получены через учётную запись с избыточными правами или открыты из-за ошибки настройки. В каждом случае набор последствий будет разным, даже если итоговый заголовок новости звучит одинаково.

Анатомия угроз: атаки, сбои и человеческий фактор

В распределении причин утечек финансового сектора в отчёте IBM 51% приходится на злонамеренные атаки, 25% на сбои ИТ, 24% на человеческий фактор. Это категории причин, а не описание конкретного способа проникновения в каждый банк.

К злонамеренным атакам относятся, например, компрометация учётных данных, эксплуатация уязвимостей и действия вредоносного ПО. Для финансовых организаций важно не только перекрыть внешний доступ, но и понимать, что происходит после входа в систему. Если злоумышленник использует похищенную рабочую учётную запись, его действия могут выглядеть как обычная работа сотрудника или приложения.

Сбои ИТ могут включать ошибки конфигурации и неверно заданные права доступа. Данные оказываются доступными шире, чем предполагалось, или остаются без достаточной защиты в хранилище. Здесь одной защиты периметра недостаточно: важны контроль настроек, разделение полномочий и проверка того, кто и зачем получает доступ к данным.

Человеческий фактор охватывает ошибки при обработке информации и нарушении процедур. Например, сотрудник может отправить файл не тому адресату или выгрузить больше данных, чем нужно для задачи. Такие случаи не обязательно связаны с намерением навредить, но результатом тоже может стать раскрытие клиентской информации.

Причины требуют разных мер. Мониторинг подозрительных входов не исправит ошибку конфигурации, а обучение сотрудников не остановит атаку через уязвимый компонент. Защита работает как набор взаимодополняющих практик: контроль доступа, наблюдение за действиями в системах, управление конфигурациями и понятные правила работы с данными.

Одна и та же утечка может начаться с разных причин. Поэтому сводить защиту к одному инструменту, будь то фильтр трафика или обучение сотрудников, недостаточно.

Сколько времени занимает обнаружение и локализация

По данным IBM, финансовым организациям в среднем требовалось 168 дней, чтобы обнаружить утечку, и ещё 51 день, чтобы локализовать её. Эти показатели описывают среднее время в исследовании, а не обязательный срок для каждого инцидента.

Промежуток между компрометацией и обнаружением важен потому, что организация может долго не знать о несанкционированном доступе. Если используются действительные учётные данные, а запросы не отличаются от обычной активности, отдельное событие легко пропустить. Чтобы увидеть закономерность, приходится сопоставлять журналы доступа, действия пользователей и обращения к данным из разных систем.

После обнаружения начинается локализация. Нужно понять, какие учётные записи и сервисы затронуты, ограничить доступ злоумышленника и проверить, не распространился ли инцидент дальше. Банковская инфраструктура обычно состоит из взаимосвязанных систем, поэтому отключение одного элемента может повлиять на другие процессы. При этом поспешные действия без оценки связей иногда мешают расследованию или нарушают работу сервиса.

Длительное обнаружение может расширить круг затронутых данных и усложнить восстановление. Но временные метрики сами по себе не говорят, сколько записей было похищено или сколько денег потеряли клиенты. Они показывают скорость реакции организации, а не итоговый финансовый ущерб.

Российская практика: переводы без согласия и ДБО

По данным Банка России, в 2024 году объём переводов без добровольного согласия клиентов вырос на 74,36% по сравнению с 2023 годом и достиг 27,4 млрд рублей. Доля таких операций в общем объёме денежных переводов составила 0,00066%. Банки вернули клиентам 2 713,58 млн рублей, или 9,9% от суммы переводов без согласия. В 2023 году показатель возврата составлял 8,7%.

Эти данные показывают масштаб мошеннических переводов, но не масштаб утечек клиентских баз. Между утечкой данных и потерей денег может быть связь, однако статистика регулятора не позволяет определить, какая доля переводов началась именно с утечки банковской информации. Часть схем строится на обмане клиента по телефону или в мессенджере, без доказанной связи с компрометацией базы.

Отдельно Банк России приводит данные по дистанционному банковскому обслуживанию. В 2024 году на операции через ДБО пришлось 9 602,57 млн рублей хищений, из которых клиентам вернули 1 317,69 млн рублей. ДБО важно рассматривать как канал проведения операций, а не как доказательство того, что хищение началось с утечки данных. Клиента могут убедить самому подтвердить перевод или передать сведения, необходимые для доступа к сервису.

В том же году финансовые организации сообщили о 750 компьютерных атаках и инцидентах. Годом ранее показатель превышал 1 000. Банк России выделяет среди основных типов отказ в обслуживании, вредоносное ПО и компрометацию учётных данных. Это общая статистика киберинцидентов в финансовом секторе, а не число утечек клиентских баз.

Статистика мошеннических переводов помогает оценить потери клиентов, но не отвечает на вопрос, сколько российских банковских баз утекло и сколько ущерба причинили именно эти утечки.

С 25 июля 2024 года действует обновлённое регуляторное определение операции без добровольного согласия. Оно расширило критерии, которые применяются при выявлении таких операций, и закрепило требования к использованию банками антифрод-механизмов. Эти изменения важны для понимания того, как регулируется противодействие хищениям, но сами по себе не доказывают связь между переводами без согласия и утечками данных.

Что цифры показывают, а чего не показывают

В оценках IBM и Банка России речь идёт о разных слоях проблемы. По IBM, средняя стоимость утечки для финансового сектора в 2024 году составила 6,08 млн долларов. Это средняя оценка затрат организаций, а не фиксированная стоимость отдельного инцидента. По Банку России, объём переводов без добровольного согласия клиентов достиг 27,4 млрд рублей, но эту сумму нельзя считать ущербом от утечек баз.

В доступной статистике нет сопоставимой оценки совокупного ущерба именно от утечек баз российских банков. Также из данных о переводах без согласия нельзя определить долю хищений, которые начались с утечки. Это ограничение источников, а не основание подменять одну метрику другой.

Для организаций важны стоимость последствий, время обнаружения и скорость локализации. Для клиентов важны защита доступа к счёту, распознавание мошеннических сценариев и возможность быстро сообщить банку о подозрительной операции. Эти уровни связаны общей темой финансовой безопасности, но требуют разного учёта и разных мер защиты.

Поэтому корректный разговор об ущербе начинается с вопроса, кто его понёс и что именно измеряется. Пока корпоративные затраты на устранение утечки смешивают с деньгами, похищенными у клиентов, цифры будут создавать видимость точной оценки там, где её нет.