Desjardins — кооперативный банк Квебека. Крупнейший кредитный союз Канады. Учреждение, которое позиционирует себя как принадлежащее сообществу, ориентированное на членов и укоренённое в специфической квебекской кооперативной традиции, отличающей его от крупных корпоративных банков.

Институция, которой многие жители Квебека советуют доверять, потому что она «наша». С октября 2016 по май 2019 сотрудник Desjardins по имени Себастьен Бульанже‑Дорваль систематически крал личные данные миллионов членов и клиентов Desjardins. Он продавал их на тёмных рынках и форумах киберпреступности.

В течение 26 месяцев. Пока Desjardins не понял, что это происходит. Нарушение не было обнаружено собственными системами безопасности.

О нём сообщили полиция. Украдены были имена, даты рождения, номера социального страхования, адреса проживания, телефонные номера, электронные почты, истории транзакций и банковские привычки — почти у 10 млн человек.

Как это было возможно в течение 26 месяцев

Расследование федерального комиссара по защите конфиденциальности показало, что утечка стала результатом серии технологических и административных пробелов в Desjardins. Злоумышленник‑сотрудник имел доступ к общему маркетинговому хранилищу данных, содержащему конфиденциальную информацию о членах. Этот доступ не контролировался должным образом.

Экспорт данных в течение 26 месяцев не вызвал сигналы тревоги, которые должны были обнаружить необычную активность. Это значит, что Desjardins хранил персональные финансовые данные почти 10 млн канадцев в системе, к которой один сотрудник маркетингового отдела мог получить доступ, скопировать и продавать более двух лет, не будучи замеченным. Федеральный комиссар по конфиденциальности и Комиссия Квебека по доступу к информации пришли к выводу, что Desjardins не продемонстрировал требуемого уровня внимания к защите данных клиентов.

Не сложная внешняя атака. Внутренний сотрудник. Стандартный доступ.

В течение 26 месяцев. Пока полиция не сообщила им об этом.

Что получили клиенты

Desjardins урегулировал иск коллективного иска на сумму 200,9 млн долларов — крупнейшее в истории канадских финансовых услуг. Клиенты, подавшие заявку, получили до 90 долларов за потерянное время.

Клиенты, столкнувшиеся с кражей личности, могли потребовать до 1 000 долларов. То есть клиент, чьи номер социального страхования, домашний адрес, банковская история и личные данные продавались на тёмных рынках в течение почти двух лет, получал максимум 1 000 долларов, если смог документировать последующую кражу личности. Один клиент, прошедший процесс подачи иска, зафиксировал выплату 88 долларов по своему требованию Subclass 1.

Затем ему потребовали предоставить документы, за которые пришлось платить. Он отметил, что стоимость документации превышает выплату в 88 долларов. 201 млн долларов, разделённые между 9,7 млн пострадавших, дают в среднем около 20 долларов на человека, без учёта юридических расходов, которые Desjardins покрывал отдельно.

Президент Desjardins тогда заявил, что финансовый ущерб от утечки составляет менее одного процента от годового дохода банка в 18 млрд долларов, и что у банка достаточно возможностей, чтобы поглотить эти потери. Это верно для Desjardins.

Для клиента, чей номер социального страхования был продан на тёмном форуме, способность «поглотить» последствия была иной.

Кооператив, забывший о своих членах

Desjardins рекламирует свою кооперативную структуру как фундаментальное отличие от корпоративного банковского сектора. Члены — владельцы. Учреждение существует, чтобы обслуживать их.

Кооперативная модель должна создавать иной тип отношений между финансовой организацией и людьми, доверяющими ей свои деньги и данные. Однако модель не предотвратила 26‑месячную внутреннюю кражу данных, затронувшую почти 10 млн членов. Она не обеспечила достаточную инфраструктуру безопасности, способную обнаружить копирование и продажу данных сотрудником.

Она также не привела к компенсации, достаточной для устранения последствий кражи личности, которые испытали члены. Что же получилась? Урегулирование, которое банк охарактеризовал как «менее одного процента годового дохода», а президент назвал «легко поглощаемым».

Члены, чьи данные были проданы, получили совсем другое.

Квебекский институциональный паттерн

Эта платформа за последние недели фиксирует устойчивый паттерн в квебекских учреждениях. Общественные деньги и доверие членов направляются в институты. Эти институты принимают решения, наносящие вред тем, кому они служат.

Последствия ложатся на людей. Институты поглощают финансовый ущерб в рамках своих операционных маржин и продолжают работу. Так, водители‑таксисты, чьи лицензии обесценились, получили недостаточную компенсацию, подтверждённую Апелляционным судом.

Медсёстры, вынужденные уйти из публичной системы из‑за плохих условий труда, заменяются агентствами с премиальными ставками, пока нехватка персонала сохраняется. Операторы школьных автобусов, получившие монопольного поставщика, наблюдали, как автобусы загорелись, а компания обанкротилась, а их маршруты отменялись. Пассажиры REM, потерявшие альтернативные автобусные маршруты, остались без транспорта во время отключений системы.

Члены Desjardins, чьи данные продавались в течение 26 месяцев, получили 88 долларов и запрос на документы. Кооператив, якобы принадлежащий своим членам, не защитил самые чувствительные данные, которым члены доверяли. Когда его привлекли к ответственности через судебную систему, он урегулировал дело суммой, которую CEO назвал «легко поглощаемой».

Члены поглотили то, что институт не смог почувствовать.

Честное замечание для всех, кто открывает бизнес‑счёт

Desjardins по‑прежнему остаётся рекомендованным вариантом для банковского обслуживания малого бизнеса в Квебеке благодаря своей кооперативной структуре, доступным комиссиям и локальному присутствию. Нарушение стало серьёзным институциональным провалом, причинившим реальный вред. Оно также привело к крупнейшему в истории Канадского финансового сектора коллективному иску и к значительным улучшениям в сфере безопасности, которые последовали впоследствии.

Институция не является уникально злобной. Это крупный игрок, который провалился в вопросах защиты данных так же, как часто проваливаются крупные организации по всему миру. Что делает случай Desjardins особенным в контексте документации этой платформы о квебекских учреждениях, так это разрыв между тем, как институт позиционирует себя, и тем, что он действительно предоставляет, когда этот разрыв стал очевиден.

Member first. Cooperative. Community owned. $88 per affected member.

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com