Хакеры продают клиентов Christie’s

Почти год назад «Культуромания» писала о проблемах Christie’s, связанных с хранением данных клиентов этого аукционного дома. Понятно, что практически всегда речь идет совсем не об «обычных людях». Покупатели и продавцы — как правило люди весьма небедные, плюс многие из них играют заметную роль в бизнесе или политике. То есть целью злоумышленников может быть не только кража денег или предметов искусства, но и сбор информации. 

В августе прошлого года случился не скандал — скандальчик. Как оказалось, по выложенным на сайте АД фото коллекционных предметов можно легко определить их местонахождение. То есть самый большой аукционный дом планеты, зарабатывающий миллиарды долларов в год (6,2 млрд в 2023 г.), мало заботился о безопасности информации, касающейся клиентов. По просьбе приятеля, который хотел проверить, насколько безопасно загружать свои фото на сайт Christie’s, два специалиста по кибербезопасности из немецкой компании Zentrust Partners исследовали сайт АД и очень быстро нашли там серьезную уязвимость (на сайте Christie’s есть раздел «Как продавать», где аукционный дом предлагает бесплатную оценку предметов. Для этого надо заполнить форму со сведениями о возможном лоте и загрузить его фото). 

По их словам, это заняло всего несколько минут: «Наш опыт легко может повторить каждый, у кого есть браузер». Эксперты рассказали, что сотни клиентов загружают на сайт Christie’s фото экспонатов своих коллекций для оценки и возможной продажи. Так вот, примерно у 10% этих фото легко проверить точные GPS координаты. То есть не просто название улицы и номер дома, а расположение предметов искусства с точностью до метра. 

Zentrust Partners сообщило Christie’s о проблеме еще в июне 2023 года, однако аукционный дом исправил ее только в августе. При том, хотя немецкие специалисты предложили бесплатно помочь АД «ради портфолио», их предложение было отвергнуто с британским высокомерием — «мы не нуждаемся в советах и помощи». По словам представителей Zentrust Partners, они могли бы исправить уязвимость всего за несколько часов. 

Теперь, возможно, руководство АД с сожалением вспоминает о своем отказе. Ибо вместо скандальчика случился даже не скандал — скандалище. Хакеры в мае взломали сайт Christie’s, который не работал две недели, а в начале июня выставили на собственный аукцион данные о 500 тысячах клиентах аукционного дома. Ответственность за кражу информации взяла на себя хакерская группировка RansomHub. Похищенные данные включают в себя скрины паспортов и номера карт. Как заявляют хакеры, АД вел с ними переговоры о выплате выкупа, но затем они были резко прерваны по непонятной причине. 

Конечно же, Christie’s понесла огромные репутационные убытки. Речь даже не столько о покупателях — скорее о продавцах, многие из которых совсем не хотят «светиться» по множеству причин. Другими словами, в следующий раз тот или иной шедевр отнесут на продажу не Christie’s, а ее конкурентам. Серьезен и первичный финансовый ущерб. Так, АД пришлось запускать параллельный сайт для проведения майских онлайн торгов, которые иначе пришлось бы отложить. Это было недопустимо в ситуации, когда одновременно майские торги проводили два главных конкурента — Sotheby’s и Phillips. 

Игорь Сирин

Фото: Редакция