Банк Wells Fargo наживается на собственной беззащитности
Федеральная инспекция США установила, что банк Wells Fargo подвергает персональные данные сотен тысяч своих клиентов рискам утечки через разнообразные бреши системе своей ИТ-безопасности. Более того, банк нашел способ, как заработать на этом деньги.
Филиал банка в Сан-Франциско вместе с крупной маркетинговой компанией Trilegiant предлагают новую услугу – Wells Fargo Select Identity Theft Protection (выборочная защита от кражи личности клиентов Wells Fargo). Всего за 12,99 долларов в месяц пользователи могут подписаться на сервис, который включает ежедневный мониторинг кредитных записей и помощь в случае обнаружения мошенничества. При этом банк продвигает новую услугу, предоставляя первые 30 дней обслуживания бесплатно, а потом пролонгируя сервис на следующий месяц по умолчанию с автоматическим вычетом оплаты подписки со счета пользователя. Чтобы не попасться в «сети», клиенту необходимо лично позвонить в банк и отказаться от услуги. Таким образом, Wells Fargo, эксплуатируя низкий уровень обеспечения ИТ-безопасности, демонстрирует классический пример превращения лимонов в лимонад.
Конечно, для клиентов очень важно обеспечить безопасность своих персональных данных и защититься от финансового мошенничества. Поэтому банк может предлагать такой сервис за разумные деньги. Однако в случае с Wells Fargo подобная услуга должна предлагаться на бесплатной основе, так как, начиная с ноября 2003 года, банк испытывает серьезные трудности в обеспечении ИТ-безопасности. За это время произошел целый ряд инцидентов, в ходе которых персональные данные клиентов (имена, адреса и номера социального страхования) были украдены. Вдобавок, в апреле 2005 года вследствие «неправильного заполнения конвертов» личные сведения заказчиков Strong Financial (эту компанию Wells Fargo приобрел в начале 2005 года) были отправлены другим людям. Этот инцидент последовал спустя пару месяцев после того, как у сотрудника банка Wells Fargo украли автомобиль, в котором лежала папка с конфиденциальной информацией клиентов Strong Financial. Сообщив обо всех этих инцидентах, ответственные лица Wells Fargo отказались хотя бы примерно назвать число клиентов, приватные данные которых были скомпрометированы.
Тем не менее, по сведениям Управления контролёра денежного обращения при Министерстве финансов США, в задачи которого входит проверка банков, имеющих федеральную лицензию, 700 тыс. человек оказались под угрозой кражи личности в ходе следующих четырех инцидентов Wells Fargo:
- В октябре 2004 года было украдено четыре компьютера из офиса банка, вследствие чего персональные данные 460 тыс. клиентов Wells Fargo оказались скомпрометированы;
- В марте 2004 года из офиса банка был украден один компьютер, содержащий приватные сведения о 35 тыс. клиентов Wells Fargo;
- В феврале 2004 года был украден компьютер из автомобиля, арендованного двумя служащими Wells Fargo, вследствие чего личные записи и финансовые детали 38 тыс. заемщиков банка попали в руки преступников;
- В ноябре 2003 года был похищен компьютер из консультационного отделения банка, злоумышленники получили в свое распоряжение конфиденциальную информацию 201,5 тыс. клиентов Wells Fargo.
Более того, по сведениям из того же источника, в октябре 2003 года банк Wells Fargo нанял в качестве временного сотрудника ранее судимого человека, который имел доступ к веб-сайту банка посредством разделяемого доступа. Через некоторое время его уволили на том основании, что уже судимый служащий «использовал имена и адреса клиентов банка с целью совершения мошенничества и кражи личности».
Таким образом, сейчас, после того, как личные данные 700 тыс. клиентов банка уже были скомпрометированы по вине самой организации, Wells Fargo предлагает «защиту» от финансового мошенничества и кражи личности. Всего за 12,99 долларов ежемесячно. Простые расчеты (12,99 x 12 x 700 тыс. = 109 млн. 116 тыс. долларов) показывают, сколько банк Wells Fargo и его маркетинговый партнер Trilegiant планируют зарабатывать ежегодно на отсутствии ИТ-безопасности в финансовой организации.
В заключение следует отметить, что услуга Wells Fargo Select Identity Theft Protection, годовая подписка на которую стоит 156 долларов, продается по завышенной цене. Например, кредитное агентство Equifax предлагает аналогичный сервис за 129,95 долларов ежегодно, а Identity Guard продает свою услугу за 8,32 доллара ежемесячно на протяжении первых 90 дней и 12,99 за каждый последующий месяц. При этом специалисты отмечают, что гражданам вовсе не требуется такой интенсивный мониторинг кредитных операций. Напротив, они могут воспользоваться преимуществами нового федерального закона, который позволяет бесплатно получать кредитный отчет от каждого из трех агентств (Equifax, Experian, TransUnion) один раз в году. Другими словами, можно покрыть весь год тремя бесплатными отчетами, каждый из которых покрывает 4 месяца.
«На мой взгляд, своим успехом на новом поприще банк Wells Fargo обязан тому, что в США пока нет национального закона об утечках конфиденциальных данных и электронной кражи личности. Как только такой закон появится, банку придется публиковать информацию обо всех своих утечках, точно называя число скомпрометированных записей, а также оповещать всех клиентов, оказавшихся под угрозой кражи. Таким образом, лазейка будет перекрыта. Следовательно, если Wells Fargo не позаботится о своей внутренней ИТ-безопасности и физической защите приватных сведений, то он начнет неумолимо терять клиентов», - считает Евгений Преображенский, генеральный директор компании InfoWatch.
Конечно, для клиентов очень важно обеспечить безопасность своих персональных данных и защититься от финансового мошенничества. Поэтому банк может предлагать такой сервис за разумные деньги. Однако в случае с Wells Fargo подобная услуга должна предлагаться на бесплатной основе, так как, начиная с ноября 2003 года, банк испытывает серьезные трудности в обеспечении ИТ-безопасности. За это время произошел целый ряд инцидентов, в ходе которых персональные данные клиентов (имена, адреса и номера социального страхования) были украдены. Вдобавок, в апреле 2005 года вследствие «неправильного заполнения конвертов» личные сведения заказчиков Strong Financial (эту компанию Wells Fargo приобрел в начале 2005 года) были отправлены другим людям. Этот инцидент последовал спустя пару месяцев после того, как у сотрудника банка Wells Fargo украли автомобиль, в котором лежала папка с конфиденциальной информацией клиентов Strong Financial. Сообщив обо всех этих инцидентах, ответственные лица Wells Fargo отказались хотя бы примерно назвать число клиентов, приватные данные которых были скомпрометированы.
Тем не менее, по сведениям Управления контролёра денежного обращения при Министерстве финансов США, в задачи которого входит проверка банков, имеющих федеральную лицензию, 700 тыс. человек оказались под угрозой кражи личности в ходе следующих четырех инцидентов Wells Fargo:
- В октябре 2004 года было украдено четыре компьютера из офиса банка, вследствие чего персональные данные 460 тыс. клиентов Wells Fargo оказались скомпрометированы;
- В марте 2004 года из офиса банка был украден один компьютер, содержащий приватные сведения о 35 тыс. клиентов Wells Fargo;
- В феврале 2004 года был украден компьютер из автомобиля, арендованного двумя служащими Wells Fargo, вследствие чего личные записи и финансовые детали 38 тыс. заемщиков банка попали в руки преступников;
- В ноябре 2003 года был похищен компьютер из консультационного отделения банка, злоумышленники получили в свое распоряжение конфиденциальную информацию 201,5 тыс. клиентов Wells Fargo.
Более того, по сведениям из того же источника, в октябре 2003 года банк Wells Fargo нанял в качестве временного сотрудника ранее судимого человека, который имел доступ к веб-сайту банка посредством разделяемого доступа. Через некоторое время его уволили на том основании, что уже судимый служащий «использовал имена и адреса клиентов банка с целью совершения мошенничества и кражи личности».
Таким образом, сейчас, после того, как личные данные 700 тыс. клиентов банка уже были скомпрометированы по вине самой организации, Wells Fargo предлагает «защиту» от финансового мошенничества и кражи личности. Всего за 12,99 долларов ежемесячно. Простые расчеты (12,99 x 12 x 700 тыс. = 109 млн. 116 тыс. долларов) показывают, сколько банк Wells Fargo и его маркетинговый партнер Trilegiant планируют зарабатывать ежегодно на отсутствии ИТ-безопасности в финансовой организации.
В заключение следует отметить, что услуга Wells Fargo Select Identity Theft Protection, годовая подписка на которую стоит 156 долларов, продается по завышенной цене. Например, кредитное агентство Equifax предлагает аналогичный сервис за 129,95 долларов ежегодно, а Identity Guard продает свою услугу за 8,32 доллара ежемесячно на протяжении первых 90 дней и 12,99 за каждый последующий месяц. При этом специалисты отмечают, что гражданам вовсе не требуется такой интенсивный мониторинг кредитных операций. Напротив, они могут воспользоваться преимуществами нового федерального закона, который позволяет бесплатно получать кредитный отчет от каждого из трех агентств (Equifax, Experian, TransUnion) один раз в году. Другими словами, можно покрыть весь год тремя бесплатными отчетами, каждый из которых покрывает 4 месяца.
«На мой взгляд, своим успехом на новом поприще банк Wells Fargo обязан тому, что в США пока нет национального закона об утечках конфиденциальных данных и электронной кражи личности. Как только такой закон появится, банку придется публиковать информацию обо всех своих утечках, точно называя число скомпрометированных записей, а также оповещать всех клиентов, оказавшихся под угрозой кражи. Таким образом, лазейка будет перекрыта. Следовательно, если Wells Fargo не позаботится о своей внутренней ИТ-безопасности и физической защите приватных сведений, то он начнет неумолимо терять клиентов», - считает Евгений Преображенский, генеральный директор компании InfoWatch.