Банк США сообщил об утечке данных клиентов в ИИ
Крупный американский банк самостоятельно сообщил об утечке данных клиентов, произошедшей в результате использования сотрудником неавторизованного приложения на базе искусственного интеллекта. Инцидент подчеркивает важность внутренней политики безопасности.
Обзор события
Финансовый мир потрясло прозрачное заявление одного из ведущих банков США. Банк официально уведомил регулирующие органы и общественность о том, что конфиденциальные данные клиентов были раскрыты "неавторизованному приложению на базе искусственного интеллекта" одним из сотрудников. Этот инцидент примечателен тем, что он произошел не в результате внешней кибератаки, а из-за внутреннего упущения и неосознанного использования современных технологий. Хотя самостоятельное сообщение банка о проблеме является позитивным шагом в корпоративной ответственности, само событие вызывает серьезные вопросы о протоколах корпоративной безопасности данных и обучении сотрудников в эпоху ИИ.
Согласно имеющейся информации, один из сотрудников банка использовал общедоступную ИИ-платформу, не одобренную учреждением, в попытке оптимизировать свой рабочий процесс или повысить производительность. Стало известно, что на эту платформу были скопированы и вставлены данные, включающие имена клиентов, сводки по счетам, контактную информацию и, возможно, детали финансовых транзакций. Это действие привело к перемещению данных из защищенной инфраструктуры банка на серверы третьей стороны — поставщика услуг ИИ. Утечка была выявлена системами внутреннего аудита банка, что вызвало немедленную реакцию.
Утекшие данные и масштаб
В своем первоначальном заявлении банк не предоставил точных цифр о количестве пострадавших клиентов или полном масштабе утечки, но подчеркнул серьезность события. Раскрытые данные могут поставить под угрозу личную и финансовую конфиденциальность клиентов. Потенциально утекшие типы данных включают:
Ваш email в утечке? Проверьте бесплатно — результат за секунды.
Проверить →- Персональные данные (PII): Полные имена клиентов, физические адреса, номера телефонов и адреса электронной почты.
- Финансовая информация: Конфиденциальные финансовые данные, такие как частичные номера счетов, сводки транзакций, информация о балансе и детали кредитных заявок.
- Записи коммуникаций: Стенограммы или резюме разговоров со службой поддержки клиентов.
Загрузка такого рода данных в стороннюю модель ИИ несет в себе несколько значительных рисков. Во-первых, эти данные могут быть использованы для обучения модели ИИ и могут непреднамеренно воспроизводиться в будущих ответах другим пользователям. Во-вторых, политика безопасности данных поставщика услуг ИИ может быть не такой строгой, как у банка, что подвергает данные вторичному риску утечки из их систем. Банк заявил, что начал процесс прямого уведомления пострадавших клиентов и предложит им необходимые услуги поддержки.
Технический аспект атаки
Этот инцидент коренным образом отличается от традиционной кибератаки. Здесь не было взлома системы хакером или кражи данных вредоносным ПО. Нарушение является опасным следствием того, что известно как "теневые ИТ" (Shadow IT). Этот термин означает использование сотрудниками технологических решений (программного обеспечения, приложений, услуг) без ведома или одобрения ИТ-отдела компании. В данном случае сотрудник в погоне за эффективностью обошел протоколы безопасности, чтобы использовать неавторизованный инструмент ИИ.
Технически процесс был прост: сотрудник скопировал данные клиентов из защищенных внутренних систем банка и вставил их в чат-бот ИИ или текстовый редактор, доступный через веб-браузер. В результате этого действия данные покинули рабочую станцию сотрудника и были переданы по зашифрованному соединению (HTTPS) на серверы компании-разработчика ИИ. Как только данные достигли этих серверов, банк полностью потерял над ними контроль. Многие из этих общедоступных ИИ-платформ в своих условиях обслуживания оставляют за собой право использовать предоставленные пользователем данные для улучшения своих услуг и обучения своих моделей. Это создает риск того, что данные клиентов навсегда станут частью этих систем.
Кто из пользователей пострадал?
Банк не предоставил подробной информации о сегментации пострадавших клиентов. Однако, учитывая должностные обязанности и права доступа сотрудника, виновного в утечке, вероятно, пострадали клиенты из определенного отдела или филиала. Например, если это действие было совершено менеджером по работе с клиентами или аналитиком данных, под угрозой могла оказаться та группа клиентов, за которую он нес прямую ответственность.
Банк обязался связаться со всеми пострадавшими клиентами напрямую по электронной почте, письмом или через мобильное банковское приложение. Если вы не получили официального уведомления от банка, вероятно, ваши данные не были затронуты этим инцидентом. Тем не менее, всем клиентам рекомендуется проявлять осторожность и внимательно следить за активностью на своих счетах.
Что вам следует делать?
Независимо от того, были ли ваши данные затронуты этой утечкой, всем клиентам банка настоятельно рекомендуется принять следующие меры предосторожности:
- Контролируйте свои счета: Регулярно проверяйте выписки по своим банковским и кредитным картам. Немедленно сообщайте банку о любых незнакомых или подозрительных транзакциях.
- Остерегайтесь фишинговых атак: Мошенники часто используют новости об утечках данных для проведения фишинговых кампаний. Никогда не доверяйте электронным письмам или текстовым сообщениям, которые якобы отправлены вашим банком и запрашивают вашу личную информацию или пароль.
- Усильте свои пароли: Смените пароль от интернет-банкинга на сложный, уникальный, который вы не использовали на других платформах.
- Включите двухфакторную аутентификацию (2FA): Если вы еще этого не сделали, обязательно включите 2FA для своего банковского счета. Это дополнительный уровень безопасности, который предотвращает несанкционированный доступ, даже если ваш пароль будет украден.
- Проверяйте свои кредитные отчеты: Рассмотрите возможность периодической проверки своих кредитных отчетов, чтобы убедиться, что на ваше имя не были открыты несанкционированные кредитные счета.
Заявление компании
В официальном заявлении руководства банка было подтверждено, что сразу после обнаружения инцидента было начато всестороннее расследование. В заявлении говорилось: "Доверие наших клиентов — наш высший приоритет. Мы глубоко сожалеем о беспокойстве, вызванном этим инцидентом. Действия вовлеченного сотрудника были явным нарушением нашей строгой политики безопасности данных. Мы предпринимаем все необходимые шаги для защиты пострадавших клиентов и предотвращения повторения подобных событий. Пострадавшим мы предложим бесплатные услуги по мониторингу кредитной истории и защите от кражи личных данных". Банк также добавил, что пересматривает свою политику в отношении корпоративного использования инструментов ИИ и усилит программы обучения сотрудников.