Викривлення часу. Спеціаліст з перевірки особистих даних SumSub у середу, 4 лютого, повідомив, що зазнав порушення безпеки, в результаті якого було розкрито персональні дані. Хоча вторгнення датується літом 2024 року, його було виявлено лише нещодавно під час планової перевірки, що підкреслює постійні проблеми ретроспективного виявлення в технологічній галузі.
Ключові моменти цієї статті:
- Sumsub розкрив інцидент безпеки, який розкрив персональні дані, виявлений ще в січні 2026 року, хоча вторгнення сталося ще в липні 2024 року.
- Атака використовувала сторонню платформу керування заявками на підтримку, але дані високого ризику не були скомпрометовані.
Витік даних з Sumsub через службу технічної підтримки в липні 2024 року
Розслідування Sumsub показує, що в липні 2024 року зовнішній зловмисник скористався сторонньою платформою для обміну заявками на підтримку. Надіславши шкідливий вкладений файл, хакер отримав обмежений доступ до внутрішнього середовища служби підтримки клієнтів.
Згідно з цифрами та деталями, наданими компанією:
- Розкриті дані: В основному імена, а також підмножина адрес електронної пошти та номерів телефонів.
- Збережено дані: Інформація з високим рівнем ризику, така як біометричні дані, фотографії документів, що посвідчують особу, банківські реквізити або системи перевірки в реальному часі, не була скомпрометована.
- Обсяг: Інцидент обмежувався середовищем підтримки та не вплинув на основні виробничі системи чи клієнтські API.
Команди Sumsub продовжують працювати з дедалі потужнішими рішеннями штучного інтелекту – Джерело: Account X
Пізнє виявлення у січні 2026 року
Найбільш делікатний аспект цього оголошення полягає в часі. Несанкціоновану активність було виявлено лише у січні 2026 року , через півтора року після цього, під час ретельної перевірки безпеки. Sumsub негайно активував свої протоколи реагування на інциденти , залучив незалежних експертів і почав безпосередньо повідомляти постраждалих клієнтів.
Щоб запобігти повторенню , компанія вже посилила контроль доступу для технічного персоналу та покращила можливості моніторингу . Цей інцидент стався на тлі публікації SumSub свого річного звіту, в якому зазначається 180% зростання кількості витончених шахрайств до 2025 року, що нагадує про те, що навіть охоронці цифрової ідентичності не застраховані від вразливостей власних субпідрядників.
Інцидент із Sumsub ілюструє зростаючу вразливість ланцюгів постачання програмного забезпечення (сторонніх платформ підтримки). Хоча витік даних обмежився контактними даними, 18-місячна затримка виявлення викликає питання щодо реагування систем аудиту на приховані атаки. Для Sumsub зараз завдання полягає у відновленні довіри, оскільки платформа готується до запуску нових інструментів верифікації на базі штучного інтелекту у 2026 році.