Сеть фитнес-клубов DDX начала внутреннюю проверку после обнаружения утечки базы данных. Представители компании подтвердили факт инцидента и сообщили о привлечении специалистов по информационной безопасности для выяснения обстоятельств случившегося.
Точный объём скомпрометированной информации и перечень затронутых записей официально не раскрываются. Известно лишь, что в открытом доступе могли оказаться персональные сведения, которые обрабатываются сетью при регистрации и оказании услуг клиентам.
Типовой состав клиентских баз фитнес-клубов
Эксперты в области кибербезопасности отмечают, что информационные системы фитнес-центров обычно содержат фамилии, имена, отчества, номера телефонов, адреса электронной почты и почтовые адреса посетителей. В отдельных случаях туда же могут попадать сканы документов и медицинские справки, если они требуются для доступа к тренировкам.
При утечке такого набора данных затронутые лица рискуют столкнуться с ростом почтового и телефонного спама, а также попытками фишинга — мошеннических атак, при которых злоумышленники под видом известных организаций выманивают платёжную или учётную информацию. Вероятность более серьёзных последствий напрямую зависит от того, какие именно поля оказались в публичном пространстве.
Реакция сети DDX на утечку базы данных
Сеть DDX пока не обнародовала детальные результаты проверки, однако заявила о намерении в кратчайшие сроки установить причины несанкционированного распространения сведений и масштаб инцидента. В подобных случаях компании, как правило, проводят аудит логов доступа, проверку уязвимостей веб-приложений и опрос сотрудников, имевших доступ к базам.
По данным открытых источников, представитель сети подчеркнул, что первоочередной задачей является защита интересов клиентов и предотвращение повторных нарушений. О факте утечки проинформированы профильные подразделения, отвечающие за техническую безопасность информационных систем.
Правовое регулирование и возможные последствия
Отечественное законодательство обязывает операторов персональных данных уведомлять Роскомнадзор о случаях неправомерной передачи сведений третьим лицам. Сроки и форма такого уведомления установлены Федеральным законом «О персональных данных». Помимо этого, организации могут привлекаться к административной ответственности по статье 13.11 Кодекса об административных правонарушениях, предусматривающей штрафы за нарушение правил обработки личной информации.
Для клиентов, чьи данные могли быть скомпрометированы, основным практическим риском остаётся использование полученной информации в мошеннических схемах. Массовые утечки из коммерческих структур в последние годы нередко становились поводом для обращений пострадавших в надзорные органы и суды с требованиями компенсации морального вреда. Пока представители DDX не приводят оценки вероятного числа затронутых записей, окончательная картина возможных правовых и репутационных издержек будет зависеть от итогов внутреннего расследования.