CSCTelecom открыл 125 млн SMS: коды Swedbank и рейсы airBaltic

Латвийский филиал CSCTelecom (компания, которая рассылает SMS от имени банков, магазинов и госорганов) оставил в открытом доступе базу ClickHouse с более чем 125 миллионами текстовых сообщений. Исследователи портала Cybernews обнаружили её 28 сентября 2026 года; записи шли с октября 2022-го по сентябрь 2026-го и подгружались в реальном времени. Это касается любого, кто получал коды от Swedbank, SEB, airBaltic или 112 в Латвии, Литве и Эстонии: одноразовый пароль могли перехватить до того, как он появился на вашем экране.

База содержала полный текст SMS, номера получателей, имена отправителей-компаний, время, стоимость отправки и маршруты по сетям. Среди содержимого - коды двухфакторной аутентификации (2FA, одноразовый код входа), ссылки на сброс пароля, суммы переводов и остатки по счетам, фамилии и даты рейсов, результаты анализов, адреса доставки. В сентябре 2026 через шлюз ушло больше 3 млн сообщений только за месяц.

Что именно утекло и у кого

Под удар попали не «какие-то мелкие рассылки», а повседневные сервисы Балтии. По данным Cybernews, в базе были SMS Swedbank (Латвия): IBAN, суммы, получатели, остатки, иногда даже магазин покупки. У SEB - номера телефонов клиентов; банк позже заявил, что через CSCTelecom шлёт в основном маркетинг пенсионных фондов, а чувствительное идёт другими каналами. Страховщики ERGO, Compensa, Artea - номера полисов, госномера машин, суммы счетов.

Литовские и эстонские бренды тоже: сеть IKI и Perlas Go (коды авторизации), DEPO и Akropolis (заказы), EuroCash1 (тревоги по банкоматам), Autoplius, каршеринг CityBee, доставка Barbora, Porsche. Авиакомпания airBaltic - телефоны, фамилии, детали рейсов по всем трём странам. Даже латвийская служба 112: номера и детали вызовов. Клиники Šypsenos akademija и Denticija - медданные. CSCTelecom работает в основном в Латвии, но клиенты и получатели сидят по всей Балтии и дальше.

Исследователи подчёркивают: четыре года истории SMS позволяют собрать портрет человека - где он покупает, в каком банке держит деньги, когда летает, какие анализы сдаёт. Номера с уведомлениями Porsche или крупными остатками на счёте удобно отсортировать для целевого мошенничества.

Почему реальное время страшнее архива

Обычная утечка - это снимок прошлого. Здесь база жила: новое SMS появлялось в ней в тот же момент, когда уходило в сеть. Человек, который смотрел ленту, мог скопировать код 2FA или ссылку сброса пароля раньше владельца телефона. Это не гипотеза «когда-нибудь взломают»: окно измерялось секундами.

SMS и так слабый канал. Нет сквозного шифрования, номер можно пересадить на чужую SIM (sim-swap), на уровне операторских протоколов SS7 сообщения перехватывают. Номер со временем перевыдают другому человеку. Шлюз, который хранит тексты годами в открытой аналитической базе ClickHouse (система для быстрых запросов по большим таблицам), добавляет ещё один слой: не надо ломать оператора, достаточно найти забытый порт.

Cybernews пишет: доказательств, что злоумышленники уже скачали базу, нет. Но если её нашли журналисты, нашли и другие. Окно с 28 сентября до закрытия 27 октября - почти месяц. Компанию уведомили 29 сентября.

Цепочка, о которой никто не думает

Вы доверяете банку. Банк доверяет подрядчику рассылки. Подрядчик кладёт все тексты в аналитику «на всякий случай» и забывает закрыть доступ. GDPR (европейский регламент о персональных данных) требует не хранить лишнее дольше, чем нужно. Зачем шлюзу полные тексты, номера и метаданные четыре года - вопрос к регуляторам Балтии.

SEB Latvia ответил Cybernews, что CSCTelecom использует ограниченно и о инциденте сам оператор банк не предупредил. airBaltic начал проверку вместе с подрядчиком. Остальные на момент публикации статьи молчали. Имена владельцев CSCTelecom в открытых источниках: эстонская Osauhing Global Telecom Invest и частное лицо - обычная схема «не бренд, а труба».

Та же логика, что у любой «невидимой» инфраструктуры: облако, CDN, рассылка. Пользователь видит логотип банка на экране. Данные живут у третьего звена, о котором он никогда не слышал.

Как этим пользуются, если уже скачали

Даже без живых кодов архив годится для фишинга. Зная, что номер связан со Swedbank, Barbora и airBaltic, письмо или SMS пишут точно «под вас»: «ваш рейс задерживается, доплатите», «подозрительный перевод, подтвердите». Медицинские и страховые тексты усиливают легенду. Экстренные вызовы 112 - отдельный риск для шантажа или легенд «мы из полиции».

Финансовый профиль (крупный остаток, люксовые покупки) помогает выбрать, кому звонить в первую очередь. Это не инструкция, а наблюдение: рынок серых баз под фишинг и социнженерию питается именно такими свалками. Обычному человеку угроза - не «хакеры вломятся в банк», а убедительное сообщение в мессенджере через неделю.

Что сделать, если вы получали такие SMS

Если за последние четыре года вам писали перечисленные банки, магазины, авиакомпания или 112 в Балтии, считайте номер и содержимое скомпрометированными. Смените пароли почты и банка. Где можно - отключите вход по SMS и включите приложение-аутентификатор (Google Authenticator, встроенный в менеджер паролей, системный ключ телефона).

1. В приложениях банков откройте безопасность и поставьте вход по приложению, а не по SMS.
2. Проверьте выписки за сентябрь-октябрь 2026 на странные входы и переводы.
3. Не подтверждайте коды, которые «сами пришли» в мессенджере от «банка».
4. На подозрительные звонки про рейс, заказ или «службу 112» отвечайте через официальное приложение, не по номеру из SMS.

Многие сервисы альтернативы SMS не дают. Тогда остаётся мониторинг и скепсис к любым срочным просьбам «подтвердить».

Почему SMS всё ещё везде

Банкам и магазинам SMS удобны: номер уже есть, доставляемость высокая, пожилые клиенты понимают. Приложение или ключ требуют настройки. Регуляторы годами мягко просят уходить с SMS-2FA, но штрафы за открытую базу подрядчика приходят позже, чем прибыль от рассылки.

Инцидент типичный для 2026-го: не «элита взломала ЦОД», а аналитическая витрина без пароля. ClickHouse часто ставят «посмотреть логи», а наружу торчит без VPN. Тот же класс ошибок, что открытые Elasticsearch и MongoDB прошлых лет, только теперь внутри одноразовые коды банков.

Для читателя в России, СНГ и Европе вывод простой. Любой сервис, который шлёт вам код в SMS, отдаёт этот код ещё и своему шлюзу. Шлюз может быть в другой стране и с другой культурой хранения. Чем меньше SMS-кодов в вашей жизни, тем короче цепочка.

Что будет дальше

Базу закрыли 27 октября. Расследования у банков и авиакомпании идут. Национальные регуляторы данных Латвии, Литвы и Эстонии почти наверняка запросят сроки хранения и доступ. Штрафы GDPR за такой объём и срок - не символические, если докажут, что хранили «просто так».

Пользователю ждать письма «вас затронуло» не обязательно: шлюз знает номера, банки знают клиентов, но массовые уведомления дороги и стыдны. Имеет смысл самим пройтись по списку сервисов выше и выключить SMS там, где кнопка есть. Рейс airBaltic и перевод Swedbank сами по себе не секрет государства. Секрет - что их тексты четыре года лежали в одной куче без замка.

Источники

Отчёт Cybernews о базе CSCTelecom, материал LRT на английском.