Более миллиарда личных данных оказались в открытом доступе из-за утечки базы ID-верификации

В открытом интернете оказалась уязвимая база данных, содержащая личную информацию миллионов людей по всему миру. Исследователи обнаружили, что около 1 миллиарда записей, связанных с процедурой идентификации, были доступны без защиты. Основной источник — компания IDMerit, предоставляющая услуги в области проверки личности для банков, финтех-компаний и других финансовых организаций.

Объем и география утечки

В частности, в США было обнаружено более 203 миллионов необезопасенных записей. Помимо Америки, пострадали граждане Мексики, Филиппин, Германии, Италии и Франции. В базе хранились полные имена, домашние адреса, почтовые индексы, даты рождения, номера национальных удостоверений личности, номера телефонов, электронные адреса и половые данные. Некоторые файлы также содержали метаданные, связанные с телекоммуникациями, и внутренние флаги, указывающие на прошлые утечки.

Обнаружение и реакция компании

Исследователи из Cybernews 11 ноября 2025 года обнаружили незащищённую базу данных MongoDB, которая, по их предположениям, принадлежит IDMerit. После уведомления компания устранила уязвимость уже на следующий день. В настоящее время нет публичных данных о том, что злоумышленники успели скачать или использовать эти данные. Однако автоматические боты постоянно сканируют интернет в поиске открытых баз, и риск их копирования остаётся высокой.

Опасность для пользователей и угрозы мошенничества

Эта утечка особенно опасна для конечных пользователей, так как в базе содержались данные, используемые для подтверждения личности при открытии банковских счетов и оформлении финансовых продуктов. Злоумышленники, обладая такой информацией, могут совершать атаки типа SIM-свап — перенаправление номера телефона на свои устройства. Это позволяет перехватывать двухфакторные коды, входить в аккаунты и проводить фишинговые мошенничества, маскируясь под доверенные организации.

Что делать для защиты

• Обратиться в крупные бюро кредитных историй и установить кредитный замок, чтобы предотвратить открытие новых кредитов без вашего разрешения.
• Перевести двухфакторную аутентификацию с SMS-кодов на приложения-генераторы, такие как Authenticator.
• Использовать менеджеры паролей для создания сложных и уникальных паролей, чтобы минимизировать ущерб при утечке.
• Подписаться на службы мониторинга личных данных, которые предупредят о попытках использования ваших данных в мошеннических схемах.
• Активировать дополнительные меры безопасности в аккаунтах мобильных операторов, например, PIN-код для переноса номера.
• Установить антивирусное программное обеспечение для защиты от фишинговых сайтов и вредоносных программ.
• Обратиться к специалистам по удалению личных данных из открытых источников и баз данных, чтобы снизить риск мошенничества.

Общая проблема и ответственность компаний

Этот инцидент подчёркивает важность надежной защиты данных, особенно тех, что связаны с идентификацией. Компании, отвечающие за проверку личности, стали частью инфраструктуры цифровой экономики. Их ошибки могут затронуть миллионы людей, даже не подозревающих о существовании таких угроз. Возникает вопрос: должны ли компании, нарушающие безопасность, нести автоматические санкции за утечку конфиденциальной информации? Об этом можно высказать мнение, написав нам на сайт.

Алексей "Gadgeteer" Беляев

Ваш персональный техно-стратег и цифровой шерпа в запутанных джунглях современных технологий. Он не только подвергает гаджеты самым суровым испытаниям, но и анализирует невидимые силы, движущие IT-индустрией. Его материалы — это не просто обзоры, а чёткая дорожная карта, которая помогает вам делать осознанный выбор и использовать технологии для улучшения жизни, а не наоборот.