Напомним, что бюллетень безопасности с сообщением о критической уязвимости сотрудники The OpenSSL Project выпустили еще 7 апреля 2014 года. Как отмечает пресс-служба ЦБ РФ, уязвимость позволяет осуществить несанкционированный доступ к используемым ключам шифрования, а также к зашифрованным данным, передающимся при использовании сайтов в сети Интернет, в том числе систем интернет-банкинга.

«Указанная информация может быть использована операторами по переводу денежных средств, операторами услуг платежной инфраструктуры при реализации требования, содержащегося в абзаце четвертом подпункта 2.8.1 пункта 2.8 Положения Банка России от 09.06.2012 № 382-П «О требованиях к обеспечению защиты информации при осуществлении переводов денежных средств и о порядке осуществления Банком России контроля за соблюдением требований к обеспечению защиты информации при осуществлении переводов денежных средств», — сообщает Центробанк.

Эффективные меры по минимизации риска, связанного с наличием указанной уязвимости, по мнению ЦБ РФ, включают:

• обновление программного обеспечения OpenSSL до актуальной версии;

• смену криптографических ключей в порядке, определенном в соответствии с пунктом 2.9.3 Положения Банка России № 382-П, в случае если программное обеспечение OpenSSL более ранних версий использовалось для криптографической защиты информации;

• доведение до клиентов информации о рекомендуемых мерах по снижению возможных рисков в соответствии с пунктом 2.12.3 Положения Банка России № 382-П.

Пока достоверных сведений о получении злоумышленниками данных банковских учетных записей нет. Однако суть в том, что из-за маленькой ошибки кто угодно может получить доступ к оперативной памяти компьютеров, чьи коммуникации «защищены» уязвимой версией OpenSSL.

В то же время некий хакер Кристалинский создал сайт «SOS ! РЖД», где сообщил, что с 7 по 14 апреля при покупке билетов на сайте РЖД через платежный шлюз ВТБ24 при помощи уязвимости в OpenSSL могло быть скомпроментировано около 200 тыс. карт. В доказательство авторы опубликовали данные по картам, которые, по их мнению, были скомпроментированы 14 апреля. Один из клиентов РЖД нашел данные своей карты на сайте, о чем сообщил «Роем.ру». Это оказалась карта Рокетбанка. Представитель Рокетбанка сообщил «Б.О», что в результате банк вычислил, что в указанный период билеты на сайте РЖД покупали около 30 его клиенов, и всем им бесплатно перевыпустил карты.

При этом ВТБ24 опровергает информацию, что утечка через его платежный шлюз была возможна, утверждая, что он изначально не был защищен. «Даже если отдельные номера карт совпадают, это не говорит о том, что была утечка именно через сайт. Обратите внимание на карты с явно нереальными данными, на просроченные карты и т.п.», — прокомментировал «Б.О» указанный выше сайт руководитель пресс-службы ВТБ24 Артем Бочкарев.