За квартал хакеры заявили о шести утечках, среди которых 2ГИС, Wildberries и SplitVPN — две оказались в открытом доступе

Анализ квартального ландшафта угроз показал, что заявления о продаже данных известных брендов не всегда подтверждаются наличием реальных образцов. Реальную же опасность представляют случаи, когда чувствительные данные публикуются в открытом доступе без требований выкупа. «Газинформсервис» указал в отчете набор кейсов, связанных с показательными утечками 2026 года.

За первые полгода штрафы за утечки персональных данных в России превысили в 1,5 раза сумму за прошлый год. Сумма штрафов составила 2,2 млн рублей, а в каждом четвертом случае нарушения связаны с персоналом, писал SecPost.

Бесплатные утечки в открытом доступе

Первый блок утечек состоит из двух кейсов, связанных со сливом данных в открытый доступ бесплатно. Так, данные сервиса SplitVPN, ранее известного как NotVPN, были загружены в интернет 22 июля. В общей сложности были слиты сведения о 23,4 млн пользователей, а объем данных составил 5 ГБ. Среди данных, полученных посредством взлома, были email, IP, токены, Apple ID и информация о платежах. Исследователи подчеркнули, что слитые токены и ID устройств в открытом доступе могли послужить материалом для захвата учетных записей.

В результате утечки SplitVPN было слито 58 млн строк в таблице deviceProxy, причем каждая строка связывает устройство с конкретным сервером VPN и временем соединения. Сами же журналы активно заполнялись в период с июня 2025 года до 21 июля 2026 года. Тем не менее в платежных таблицах не было найдено полных номеров карт. Основная аудитория, по заявлениям продавца утечки, связана с Россией, Ираном, Индией и Мьянмой. Об этом писал SecurityLab.

В качестве второй утечки в открытый доступ команда ARKTIS выделила слив базы данных Казахстанского агротехнического университета (КазАТИУ) им. С. Сейфуллина. Утечка произошла 16 сентября и включила в себя около 16 ГБ и более 20 млн строк. В слитый архив вошли ФИО студентов, ИИН, телефоны и email. При этом исследователи выделили, что ИИН с ФИО и телефоном представляют собой готовый набор для мошенничества.

Ранее в СМИ не фигурировали утечки, связанные с КазАТИУ им. С. Сейфуллина. Редакция SecPost сделала запрос в учреждение, однако на момент публикации ответ не поступил.

Три слива за один день

Исследователи отдельно выделили три случая размещения объявлений по продаже баз данных в один день.

Так, утечка данных 2ГИС произошла 22 сентября. 554 МБ в виде 700 тыс. записей были найдены в виде лота на продажу. В слив вошли адреса и телефоны организаций. Эксперты подчеркнули, что утечка стала одним из объявлений одного и того же продавца — ShinchanReal. Автор утечки за сутки опубликовал 3 лота, в число которых и вошел архив с данными 2ГИС.

В тот же день на продажу была выставлена другая база данных, связанная с сервисом доставки еды Sushi Palki. Лот с продажей данных сервиса был выставлен 22 сентября на форуме и включал 180 тыс. записей. Основной массив данных состоял из адресов доставки, телефонов и заказов клиентов, однако образца архива не было. Эксперты выделили, что утечка принадлежит тому же продавцу, который продавал данные 2ГИС, и была выставлена в тот же день, что и лот с данными картографического сервиса.

Третий лот, выставленный ShinchanReal на продажу 22 сентября, представлен утечкой Wildberries объемом 500 тыс. записей. Исследователи указали, что ни образца, ни состава полей, относящихся к сливу, не было найдено.

Редакция SecPost обратилась 20 октября в Wildberries с просьбой подтвердить или опровергнуть информацию об утечке, однако маркетплейс проигнорировал запрос.

По мнению аналитика угроз команды ARKTIS компании «Газинформсервис» Заремы Шихметовой, три объявления, выложенные за одни сутки, являются фейком и «вбросом в поток объявлений о продаже и распространении данных».

Директор по развитию ИИ-систем безопасности Artezio Сергей Матусевич же считает, что данные могли копиться месяцами, после чего их выставили пачкой для привлечения внимания и поднятия рейтинга на площадке. Особое внимание эксперт обратил на состав трех объявлений: структура слива SplitVPN выглядит правдоподобно, остальные же два идут без образцов.

«Это старый прием: настоящая база работает как паровоз, который тянет за собой сомнительные вагоны, и покупатель верит охотнее всему лоту», — подчеркнул собеседник SecPost.

Отдельно Матусевич выделил, что утечек становится меньше, а сами базы крупнее, вокруг них сложился рынок перекупщиков. Продавец сегодня, по заявлению эксперта, часто ничего не взламывает, а лишь предстает в роли посредника, скупающего данные разных людей, собирающего их из логов вредоносов и перепродающего их под своим именем.

Собеседник отметил: если в одном лоте оказываются VPN-сервис, доставка еды и маркетплейсы, в первую очередь стоит проверить, нет ли у них общего звена — подрядчика по рассылкам, колл-центра или общей CRM-системы.

Руководитель департамента специальных сервисов Infosecurity (входит в «Софтлайн Решения», ГК Softline) Константин Мельников выделил, что три объявления от одного нового продавца за сутки указывают на попытку перепродажи уже опубликованных материалов.

Сами же инциденты, по мнению эксперта, произошли в разное время, поэтому продавец не мог быть причастен ко всем им. «По сути, речь идет либо о перепродаже уже опубликованных баз, либо о попытке обмануть покупателей», — подчеркнул Мельников.

При этом исследователи выделили еще один случай показательной утечки. 26 июля было заявлено, что произошел взлом нигерийского банка Zenith Bank. Объем данных составил 874 ГБ, состоящих из 90 млн записей. По информации специалистов, большая часть слитой информации была представлена в виде ПДн и счетов клиентов, а также в виде ID-документов.

Что означает отсутствие образцов и состава полей в отдельных утечках

Шихметова отметила, что, скорее всего, упомянутые объявления без образцов являются фейком, поскольку в качестве доказательств продавец выложил только скриншоты из открытых источников, не фиксирующие утечку и не подтверждающие компрометацию.

Мельников из ГК Softline объяснил, что отсутствие образца в объявлении можно объяснить разными причинами: продавец не хочет показывать базу до оплаты либо у него отсутствует то, что он обещает.

«В даркнете это отдельный вид мошенничества. Как говорят сами участники таких площадок, обманутый злоумышленник в полицию не пойдет, на этой аксиоме и строится целая индустрия», — уточнил эксперт.

Собеседник подчеркнул: если продавец действительно намерен заработать на продаже базы данных, он заинтересован в подтверждении подлинности архива. Тем не менее Мельников уточнил, что наличие образца тоже не гарантирует подлинность базы.

«Есть отдельная каста мошенников, которые обманывают мошенников: они генерируют образцы данных с максимально похожими полями, а с развитием доступных инструментов искусственного интеллекта сделать убедительную подделку стало еще проще», — объяснил эксперт.

В другом же варианте, как указал собеседник, злоумышленники собирают старые, давно известные базы и выдают их за новую утечку.

Также эксперт выделил, что существуют случаи, когда за заявлением о взломе известной компании стоит инцидент у ее подрядчика. Так, Мельников привел пример: злоумышленники могут получить доступ к инфраструктуре поставщика, работающего с данными компании, а затем заявить, что была взломана сама компания.

Матусевич сходится с экспертом во мнении и считает, что объявление без образца и списка полей выглядит для опытного покупателя как приглашение к обману. При этом собеседник заметил, что для маркетплейса масштаба Wildberries 500 тыс. записей — всего лишь капля. Матусевич подчеркнул: если данные и настоящие, то, скорее всего, они слиты не из самой платформы, а от подрядчика, владельца пункта выдачи или продавца, ведущего базу клиентов.

При этом собеседник SecPost отметил, что отсутствие образца в публичном объявлении еще не доказывает фейк, поскольку ценные базы все чаще продаются в закрытом режиме. «Публичный пост для продавца — просто витрина, а образцы показывают уже в личной переписке», — объяснил Матусевич.

Зачем злоумышленники выкладывают базы данных в открытый доступ бесплатно

Шихметова из «Газинформсервиса» отметила, что исследователи идентифицируют указанные утечки как хактивизм.

Матусевич объяснил, что на это есть несколько мотивов, которые могут переплетаться. Часть публикаций, по мнению эксперта, делают политически мотивированные группы, стремящиеся к максимальному ущербу, который бесплатные публикации и обеспечивают. Другие же, отметил собеседник SecPost, выкладывают базы ради репутации.

«Бесплатный слив на форуме или в телеграм-канале работает как пробник в магазине: собирает аудиторию и доверие, а следующие базы этот продавец уже продаст», — указал эксперт.

Собеседник считает, что необходимо понимать: бесплатный слив чаще всего знаменует конец жизни базы. Самые ценные данные сначала продаются в узком кругу и используются мошенниками и операторами ботов для пробива. Только после этого, указал Матусевич, выжатую базу выкладывают в открытый доступ, поскольку продавцу это ничего не стоит, а товар конкурентов обесценивается.

Именно поэтому, считает эксперт, бесплатные сливы данных — самые опасные.

«Когда база лежит в открытом доступе, ей может воспользоваться кто угодно, даже мошенник без всякой квалификации», — уточнил Матусевич.

Собеседник привел пример: токены и идентификаторы устройств из SplitVPN позволяют войти в чужой аккаунт без пароля, а ИИН вместе с телефоном и почтой дают готовый сценарий для звонка от имени банка или госоргана.