ЛевИнс изгуби данни на 2,25 млн. българи

Предвид огромния брой записи може да се предположи, че в него влизат всички бивши и настоящи клиенти на "Лев инс". За сметка на това в случая за щастие няма никаква допълнителна информация - какъв застрахователен продукт са ползвали, в кой период са били клиенти, какъв е номерът на автомобила им. Същевременно хакерите в анонса си твърдят, че разполагат и с много повече информация, включително и с "пълното счетоводство на "Лев инс", което показвало злоупотреби и източване чрез огромни месечни бонуси".

"Капитал" изпрати въпроси към "Лев инс" и Комисията за защита на лични данни (КЗЛД) по отношение на теча на данни, но получи отговори само от държавната институция след дадения срок и след публикуването на статията. Въпросите и към двете са свързани с това дали клиентите на компанията са били уведомени, както предписва законът, и какви стъпки са били предприети. Архивите, разпратени към медии, са с дати от декември 2022 г. и януари 2023 г.

В отговор на въпросите на "Капитал" председателят на КЗЛД Венцислав Караджов казва, че в комисията не е постъпвало уведомление от компанията за нарушение на сигурността, както изисква европейския регламент. Мейлът на хакера отпреди няколко дни е изпратен освен до медии и до дадения за контакт от комисията kzld@cpdp.bg.

За пари или с мисия

Името на компанията нашумя напоследък покрай войната ѝ срещу промените в Кодекса за застраховането, които трябваше да гарантират спазването на правилата в международната система "Зелена карта" и да изпълнят ангажиментите на България за приемането и в еврозоната. Текстовете бяха атакувани от Съюза за стопанска инициатива, чийто изпълнителен директор е Алексей Петров, и като крайно не бяха приети в предишното Народно събрание. Освен това "Лев инс" заведе и безпрецедентно дело срещу Mediapool за 1 млн. лв. за статия по темата, базирана именно на изказване на Велкова.

"Кюлев" посочва, че пробивът е реализиран през декември 2022 г., станал е "елементарно", въпреки че "Лев инс" предлага на свои клиенти именно застраховки и мониторинг срещу кибератаки. Той твърди още, че разполага със записи на Алексей Петров, които има намерение да разпространи в бъдеще. Отговорите на "Емил Кюлев" можете да прочетете в карето долу.

Източването на данните е конфузно за компанията и близките до нея лица и по още няколко линии - самият Алексей Петров е доцент в Пловдивския университет, където преподава "Активна корпоративна сигурност". А през 2021 г. "Лев инс" се похвали и че е привлякла като директор, който да отговаря за IT и киберсигурност, Явор Колев, дългогодишният ръководител на структурите за борба с киберпрестъпността в МВР.

Хакерът активист е известен още от 2020 г., когато създаде т.нар. "Държавна агенция по дигиталното спокойствие". "Кюлев", който взима името си от убития през 2005 г. банкер и собственик на ДЗИ и Росексимбанк, е хаквал и разпространявал данни от други компании в миналото, като "Айкарт кредит".

В някои случаи той открито е искал откуп и е предлагал такса спокойствие, но същевременно често мотивира действията си като борба с корупцията и подигравка с конкретни политически фигури. Сега от сайта му липсва секцията с реализираните пробиви, но се предлага дневен, седмичен и месечен достъп до търсачка за лични данни, включително електронни пощи, пароли, Facebook акаунти, автомобилни номера на рами, IP адреси и други. Запазена е и секция с медийното отразяване на подвизите на "Кюлев" през годините.

Речникът на хакера наподобява този, използван от Васил Божков, с обвинения в "хунта" и др., а през 2020 г. той подписваше някои свои съобщения и с пожеланието "бъдете здрави", подобно на Божков. "Кюлев" отрича да има общо с Божков.

*Допълнена в 12:17 часа с отговорите на Комисията за защита на личните данни (КЗЛД).

Емил Кюлев: Разполагаме с множество данни, относими към ЗК Лев инс АД и лицето Алексей Илиев Петров

Защо точно Лев инс - целенасочено ли е действието спрямо компанията или просто там сте открили уязвимост?

- Действието е абсолютно целенасочено, веднъж към ЗК "Лев инс" АД като компания и веднъж към лицето Алексей Илиев Петров като личност в личен план.

Свързахте ли се с компанията и отправяли ли сте някакви искания към тях? Какви?

- Уведомили сме компанията за пробива, като искания не са отправяни. Те обаче от своя страна, следвайки дългогодишните си корупционни и сенчести практики, не са уведомили в регламентираните срокове Комисията за защита на личните данни, нито клиентите си. Възниква въпросът защо. Тук смисълът на занятието е съвсем друг.

Как накратко бихте обяснили какво е позволило пробива в масивите на компанията и нивото на киберзащитата й?

- Пробивът в масивите на компанията бе елементарен, защото не разполагат и никога не са разполагали с адекватна мониторинг система. По-големият фарс и смехотворен факт е, че предлагат на клиентите си киберзастраховки, включващи същия този сакрален мониторинг. Нивото на киберзащитата им е сходно с това на интелектуалния им капацитет, ниско, фалшиво и пошло. Всичко, включващо ЗК "Лев инс" АД, лицето Алексей Илиев Петров и думата киберсигурност в едно изречение, е илюзорно, най-доброто определение по наше усмотрение е научна фантастика.

Разполагате ли и с други данни, засягащи компанията и/или клиентите й и какви?

- Разполагаме с множество данни, относими към ЗК "Лев инс" АД и лицето Алексей Илиев Петров. По-интересното са едни записи, над 500 по последен спомен. Склонни сме да вярваме, че при първа предпоставка, създадена от лицето Алексей Илиев Петров, ще се сдобиете с тях подобно на всяка друга медиа в страната.

Защо избрахте да публикувате само част от информацията, и то не такава, която подкрепя твърденията ви за източване и/или други злоупотреби в "Лев инс"?

- За всичко си има подходящ момент и време, подобно на това съществуват легитимни органи на по-високо от национално равнище.

Защо решихте да пуснете линк към личните данни на над 2 млн. души и не считате ли, че така нанасяте щети и на странични жертви? Какъв ефект очаквате да постигнете?

- Линкът, който сме изпратили до всички медии, е с цел затвърждаване на твърденията ни. Трябва да си давате ясната сметка, че няма война без косвени жертви. Колкото до засегнатите български граждани, призоваваме ги да потърсят правата върху личните си данни по надлежния правен ред и да прекратят действащите си към момента застраховки в ЗК "Лев инс" АД. Крайната цел и ефект е ЗК "Лев инс" АД да бъде глобена по законоустановения ред, а гражданите да бъдат информирани за тяхното безчинство и нехайство. В този конкретен случай глобата няма да бъде по-малко от 5 млн. лв.