Уважаемый клиент
С сожалением сообщаем вам о нарушении конфиденциальности персональных данных, затронувшем сервис is*hosting (« is*hosting »), управляемый компанией Webrain OÜ. Неуполномоченное лицо получило доступ к части наших внутренних систем, включая данные, относящиеся к учетным записям клиентов, запросам в службу поддержки и системным журналам.
Нарушение может касаться:
- (a) ваши персональные данные, в отношении которых Webrain OÜ является контроллером: данные учетной записи, контактная информация, содержание вашей переписки с нашей службой поддержки и соответствующие системные журналы;
- (b) персональные данные, которые вы, как их контролер, храните или обрабатываете на серверах и в сервисах, которые мы вам предоставляем. Это относится в основном к корпоративным клиентам.
В соответствии с нашей Политикой конфиденциальности, данные, указанные в пункте (а), обрабатываются компанией Webrain OÜ. В соответствии с пунктом 7 наших Условий использования и Соглашения об обработке данных (« Соглашение об обработке данных »), вы являетесь контроллером данных, указанных в пункте (б), и Webrain OÜ обрабатывает их по вашим указаниям.
Что касается данных, указанных в пункте (а), то это сообщение является сообщением, упомянутым в статье 34 GDPR. Что касается данных, указанных в пункте (b), то это уведомление о нарушении, направленное контроллеру в соответствии со статьей 33(2) GDPR и пунктами 3.1 и 6 Соглашения об обработке данных.
Мы предоставляем информацию поэтапно по мере ее поступления. Расследование продолжается, и мы вышлем вам дополнение к этому уведомлению, как только получим дополнительные сведения, в том числе о том, были ли затронуты ваши серверы.
Что случилось?
28.09.2026 мы обнаружили подозрительную активность в наших внутренних системах. Первоначально было неясно, был ли получен доступ к каким-либо персональным данным. В качестве меры предосторожности мы сбросили пароли и ключи доступа и начали криминалистическое расследование. 05.10.2026 мы подтвердили, что персональные данные были затронуты.
- Несанкционированный доступ начался 27.09.2026. Последняя попытка несанкционированного доступа была предпринята 04.10.2026 (по данным журналов нашего межсетевого экрана, она оказалась неудачной).
- Клиент сообщил о несанкционированном доступе к своему серверу 04.10.2026. Мы расследуем, были ли использованы для этого данные доступа, полученные в ходе этого инцидента.
- 4 октября 2026 года в качестве меры предосторожности мы сбросили пароли root на серверах клиентов.
- Тип нарушения: нарушение конфиденциальности данных.
К каким данным мог быть получен доступ?
Для каждой категории мы указываем, кто является контроллером данных и что нам известно об объеме данных на данном этапе. (a) Webrain OÜ: данные учетной записи и общение с нашей службой поддержки. (b) Клиент: данные, хранящиеся или обрабатываемые на серверах клиента.
Важно: для пользователей, изменивших исходные учетные данные на своих серверах, риск утечки данных значительно ниже. Однако мы рекомендуем проверить журналы доступа к серверу, чтобы убедиться в отсутствии несанкционированного доступа до изменения учетных данных. Если подозрительный или несанкционированный доступ не обнаружен, риск компрометации данных считается минимальным.
Что осталось нетронутым, а что мы еще устанавливаем?
Следующие категории не были затронуты:
- Полные данные платежной карты: мы их не храним, платежи обрабатываются нашими поставщиками платежных услуг;
- Результаты верификации KYC (любые данные, включая документы, удостоверяющие личность, и видеозаписи);
- Подробная история платежей, например, счета-фактуры.
Мы все еще находимся на этапе становления:
- точное количество затронутых лиц и документов;
- использовались ли полученные в ходе этого инцидента данные для доступа к серверам клиента, включая упомянутый выше сервер;
- были ли изменены какие-либо остатки на счетах, заказы или платежные записи.
Насколько нам известно, данные, пострадавшие от утечки, до сих пор не были обнародованы.
Возможные последствия и что вы можете сделать: ваши данные (а)
Ниже мы описываем возможные последствия. Это не означает, что они уже произошли в вашем случае.
Если вы подозреваете несанкционированный доступ к вашему серверу или данным, пожалуйста, сохраните журналы и другие доказательства и сообщите нам об этом. Если вы подозреваете совершение преступления, вы можете сообщить об этом в полицию.
Для корпоративных клиентов: данные на ваших серверах (б)
Как оператор данных, хранящихся на ваших серверах, вы оцениваете риски и решаете, следует ли и как уведомлять ваш надзорный орган и субъектов данных. Мы не имеем доступа к содержимому ваших серверов и не можем определить, какие персональные данные вы обрабатываете на них и сколько человек затронуто. Если мы установим факт доступа к вашему серверу, мы отдельно уведомим вас и поделимся имеющейся у нас информацией.
Срок в 72 часа для уведомления вашего надзорного органа отсчитывается с момента, когда вы узнали о нарушении. Согласно Руководству EDPB 9/2022, контролер, как правило, узнает о нарушении, когда обработчик уведомляет его. Мы рекомендуем зафиксировать дату и время получения этого сообщения в вашей документации о нарушении. На основании этого сообщения может быть подано первоначальное уведомление, которое впоследствии может быть дополнено (статья 33(4) GDPR). В соответствии с пунктом 3.1 Соглашения об обработке данных мы предоставим вам необходимую информацию и помощь.
Предпринятые нами действия
Что дальше?
- По мере продвижения расследования мы вышлем вам дополнение к этому уведомлению.
- Если мы установим, что к вашему серверу был осуществлен доступ, мы свяжемся с вами отдельно.
Как распознать наше сообщение?
Это сообщение не содержит вложений и не требует входа в систему. Мы не запрашиваем пароли, ключи, коды подтверждения или данные платежных карт. Мы отправляем сообщения по этому вопросу только с домена ishosting.com
Более подробная информация
По вопросам, касающимся инцидента, обращайтесь по следующим контактным данным:
- Для связи по этому вопросу: report@ishosting.com
- Webrain OÜ: адрес для корреспонденции Endla 4, 10142 Таллинн, Эстония
- Поддержка: создайте заявку в своем аккаунте is*host.
Вы также имеете право подать жалобу в Инспекторат по защите данных Эстонии или в орган по защите данных в вашей стране.
Мы сожалеем о сложившейся ситуации.
Искренне Ваш,
Webrain OÜ (is*hosting)
