Что делать если произошла утечка паспортных данных

Как защитить персональные данные: 6 советов от специалистов

Свои данные мы оставляем повсюду: по работе, на отдыхе, при совершении покупок в Интернете. И это может быть чревато самыми неприятными последствиями, если информация попадет в руки злоумышленников. Не сообщать о себе никому и ничего в современном мире не получится, а вот соблюдать меры предосторожности можно и нужно. Специально для читателей «Сферы» — 6 экспертов дали рекомендации, как сохранить свои персональные данные и вовремя понять, что что-то идет не так.

Время прочтения: 10 минут

Как избежать утечки данных или хотя бы понять, что она произошла

Продюсер исполнительских искусств АНО ВО «ГИТР» Иван Павлов:

Чтобы избежать кражи или утечки персональных данных (почтовых адресов, номеров телефона, реквизитов банковской карты и т.д.), при их размещении на интернет-ресурсах следует:

завести анонимный почтовый адрес (например, на ProtonMail)
использовать виртуальную sim-карту (e-sim) и реквизиты виртуальной банковской карты
при сканировании паспорта закрывать серию/номер.

Привязывать к интернет-ресурсу банковскую карту безопасно в том случае, если выполняются два условия:

форма платежа соответствует стандарту PCI-DDS
к сервису подключена технология 3D-secure.

От себя рекомендую использовать виртуальную банковскую карту, чтобы не опасаться за данные и средства на счете.

Распознать утечку данных, если она всё же произошла, можно по состоянию шторки уведомлений. Если вы получаете спам-рассылку sms-сообщений или звонки с незнакомых номеров, а приняв вызов, видите, что звонящий его тут же отменил, или получаете подозрительные уведомления с кодами для подтверждения транзакций, то утечка произошла, персональные данные взяты в оборот.

Директор по развитию российского решения по информационной безопасности класса DCAP «Орлан» Екатерина Старостина:
Размещать свои данные на любых сервисах небезопасно. При использовании онлайн-сервиса необходимо предоставить минимальный набор данных для получения услуги и обязательно после окончания работы направить официальный запрос с требованием прекратить обработку и уничтожить информацию. Привязка карты к сервису тем более не является хорошей идеей.

Юрист, президент «Национальной Ассоциации Комплаенс» Владимир Балакин:

Вовремя удаляйте свои данные из сервисов объявлений. К примеру, если вы что-то продавали на Авито, то после завершения сделки обязательно удаляйте информацию о себе: само объявление, номер телефона, почту и т.д. Существуют также веб-уязвимости, и при взломе платформы данные могут оказаться в руках злоумышленников. Если вы оформляете подписку на какой-либо сервис с ежемесячным списанием, лучше отвязывать карту после каждого списания и вводить данные по новой.

Используйте в интернете систему сложных паролей. Для каждого сайта он должен быть уникальным и не повторяющимся. Также полезно периодически менять пароли. Можно пользоваться двумя номерами телефона и двумя почтовыми ящиками. Одни оставить для личного пользования и привязки к банковским картам, другие — для использования на сторонних ресурсах.

Избегайте публикации своих персональных данных в открытых источниках. К примеру, иногда организаторы мероприятий просят оставить инфомацию о себе в комментариях под постом. Лучше этого не делать.

Если вы подключаетесь к Wi-Fi в общественных местах, будьте аккуратны: не заходите на сайты, в которых нужно ввести какую-либо личную информацию для подключения к сети. Мошенники могут получить пароли и другую информацию с телефона посредством взлома.

Сведения об утечке, как правило, тщательно скрывают. Существуют сервисы для проверки своих сохранности данных, но ими также могут пользоваться мошенники для проверки актуальности информации. Проще всего обнаружить утечку можно по косвенным показателям. К примеру, после оформления какой-то услуги вам начинают приходить сообщения или поступать звонки от разных компаний с предложениями о смежных услугах. Вы купили машину, а вам начали названивать организации с предложением оформить страховку, пройти техобслуживание, записаться на бесплатную мойку.

Константин Степанов, исполнительный директор IT-компании HFLabs:

Даже вне Даркнета много сайтов и форумов, где продаются персональные данные россиян. Там можно увидеть объявления вроде «Продаю фото паспортов РФ под любые цели» или «Свежие сканы водительских удостоверений». Покупают данные для использования в разных финансовых схемах. Например, сейчас обезличенные кошельки сильно ограничены по операциям, и для крупной финансовой операции нужно пройти идентификацию через ЕСИА. Чтобы этого не делать, люди, которые заняты в нелегальной торговле, заводят много кошельков с небольшим лимитом на чужие документы и не «светят» информацию о себе.

Есть простые правила, которые помогут снизить вероятность того, что ваши персональные данные будут украдены.

Во-первых, всегда задавайтесь вопросом, кому и зачем вы передаете информацию о себе. Можно ли без этого обойтись? Утечки могут случиться в любой компании, а штрафы за них в России невелики. Поэтому оставляйте как можно меньше информации при заполнении разных форм. Особенно аккуратными нужно быть при отправке фото паспорта и других документов.

Во-вторых, смотрите, как соотносится деятельность организации и ее интерес к вашим данным. Например, паспорт точно нужен банку, а вот при оформлении покупки или скидочной карты нужды в нем нет.

В-третьих, внимательно читайте согласие на обработку персональных данных — из него можно узнать, кому и с какой целью организация может их передавать. Кстати, согласие на обработку персональных данных можно и отозвать, полностью или частично.

В-четвертых, в интернете проверяйте SSL-сертификат. Он показывает, что веб-сайт принадлежит легальной организации, а не мошенникам. Для этого в адресной строке браузера наведите курсор на замок рядом с адресом сайта и убедитесь, что SSL-сертификат выдан именно этой организации.

Что делать, если данные украли?

Член Адвокатской палаты Московской области, адвокат Московской коллегии адвокатов «Grad» Денис Алехин:

Если все-таки произошло хищение данных, следует немедленно:

поменять пароли
отключить в настройках все иные активные сеансы и выйти из других учетных записей
отвязать банковскую карту от сервиса либо незамедлительно ее заблокировать.

В случае уже свершившегося хищения денежных средств необходимо обращаться в территориальный орган внутренних дел с заявлением о совершении преступления. При крупных хищениях целесообразно обращаться непосредственно Управление «К» МВД России.

Доцент Департамента правового регулирования экономической деятельности Финансового университета при Правительстве Российской Федерации Оксана Васильева:

Если данные удалось украсть, то стоит готовиться к худшему. Если на гражданина оформят кредит, то это еще не самое страшное. В 2020 году в каршеринге произошла с утечка данных.

Злоумышленники, получив информацию об одном из пользователей, начали требовать с него 30 000 рублей, угрожая слить информацию о нем в интернет. Молодой человек проигнорировал сообщение. После этого началась массовая интернет-травля — 23 000 сообщений в сутки. В местных группах и пабликах стали активно распространять ложную информацию о том, что лицо совершило преступление в отношении 6-летней девочки, выложили его номер телефона, паспортные данные, место жительства и ссылки на профили в социальных сетях. Аудитория подхватила интернет-травлю: молодому человеку писали, звонили, угрожали.

После этого, на него оформили кредит в «МТС-банке». Угрожали, что если он не выплатит деньги, на его счета переведут 12 миллионов рублей с наркотрафика, а впоследствии деньги сразу же обналичат (доступ к банковскому счету есть). Также мошенники грозились доложить правоохранительным органам о якобы совершенном преступлении, пугали СИЗО и тюремным сроком. Молодого человека зовут Рафаэль Халилов. Ему помогла огласка и то, что на него обратили внимание СМИ.

Поэтому в случае утечки данных стоит сразу же писать заявление в полицию. Рекомендуется обратиться в банк и заблокировать карту. За слив данных предусмотрена ответственность: гражданская, административная и уголовная. Поэтому необходимо требовать компенсации от юридического лица, которому были предоставлены персональные данные и которое обязано было не допускать их утечки. Для этого можно написать претензию или пойти в суд, пожаловаться в государственные органы.

Утечки персональных данных: что можно предпринять пользователям, чтобы их предотвратить?

Последние несколько месяцев наиболее обсуждаемым событием в сфере информационной безопасности стала утечка персональных данных клиентов крупных компаний. Так, 1 марта 2022 года компания «Яндекс» сообщила о том, что их служба информационной безопасности выявила утечку информации, которая произошла по вине одного из сотрудников 1 . В нее входили персональные данные пользователей сервиса «Яндекс.Еда» – при этом компания не уточнила весь их перечень, но упомянула о том, что утечка не коснулась банковских, платежных и регистрационных данных пользователей (логинов и паролей). 22 марта 2022 года в Интернете появился сайт, который содержал персональные данные пользователей сервиса: ФИО, адреса заказа для курьеров (в некоторых случаях был указан даже этаж и код домофона), адреса электронной почты, сумма заказов на сервисе за полгода, комментарии к заказам. Причем для потенциальных злоумышленников в данном случае задача упростилась: для поиска информации им не пришлось пользоваться защищенными браузерами или покупать базы данных, все данные были визуализированы на интерактивной карте. На момент публикации материала сайт, где была размещена эта карта, заблокирован большинством провайдеров.

Большая обеспокоенность клиентов крупного сервиса подняла общественный резонанс. Проблема защиты персональных данных, которые пользователи предоставляют компаниям, стала обсуждаться активнее. Основная встревоженность касается следующего: как можно защитить свои данные от подобных утечек? Можно ли повлиять на компании, чтобы они ответственнее относились к защите персональных данных своих клиентов? Ответы на эти и другие вопросы о персональных данных, а также анализ ситуации с компанией «Яндекс» – в нашем материале.

Причина утечек данных

Утечкой персональных данных называют их попадание в открытый доступ – чаще всего это опубликование баз данных в Интернете. Такие базы данных злоумышленники могут выставлять на продажу в защищенных браузерах или в приватных каналах.

Причин утечек персональных данных несколько. Ранее ГАРАНТ.РУ писал, что чаще всего они происходят по двум причинам: намеренное раскрытие информации третьим лицам или неосторожность. К первой причине относится распространение данных, осуществленное сотрудником компании или действием мошенника извне. По второй причине утечки происходят вследствие внутренних инцидентов компании, которая является оператором персональных данных (в соответствии с п. 2 ст. 3 Федерального закона от 27 июля 2006 № 152-ФЗ «О персональных данных»; далее – Закон № 152-ФЗ), а также других лиц, обрабатывающих данные по поручению оператора. Сюда относятся некомпетентные действия со стороны сотрудников компании и технические проблемы, связанные с уязвимостями информационных систем.

Алексей Дрозд начальник отдела информационной безопасности «СёрчИнформ» :

«Взлом – самая очевидная причина утечки, но не самая частая из них. Киберпреступникам проще и дешевле собрать информацию, которая «плохо лежит». Один из способов – парсинг данных [сбор, обработка и анализ. – ГАРАНТ.РУ] из открытых источников. И если какие-то важные данные о пользователе спарсили, значит, он или организация, предоставляющая услуги, выложили их в Интернет, не заботясь о настройках безопасности. Второй вариант – поиск плохо защищенных баз данных. Например, из-за бума онлайн-торговли ритейлу приходится массово внедрять ИТ-решения. Разработкой сайтов часто занимаются люди, которые плохо разбираются в защите данных и делают сервисы по одному шаблону. Заказчикам же в первую очередь нужно, чтобы сайт приносил деньги, поэтому они и сами вспоминают о безопасности в последнюю очередь. В результате у хакеров на выбор есть множество онлайн-магазинов с похожими уязвимостями, которыми несложно воспользоваться. Бывает и так, что резервная копия базы данных хранится в открытом виде.

Слив информации инсайдерами компаний – еще одна причина утечек. Они могут быть наиболее опасными, так как у сотрудников есть доступ к самой критичной, а значит более полезной для злоумышленников информации. Самый громкий пример последнего времени – утечка с сервиса «Яндекс.Еды». Поэтому, когда речь идет про целенаправленные атаки, мошенники ищут сообщников внутри организаций: инсайдеры могут обеспечить доступ к нужной информации или «пробить» нужных людей».

Опасность утечки персональных данных

Отсутствует какой-либо закрытый перечень потенциальных последствий, поскольку они зависят от содержания данных, которые утекли, а также изобретательности мошенников и иных лиц, недобросовестно использующих данные, заметил партнер, глава практики интеллектуальной собственности CMS International B.V. Антон Банковский. При утечке банковских данных возможны мошеннические действия, направленные на вывод средств. Утечка паспортных данных действительно может привести к совершению юридических действий от имени и без ведома жертвы. Использование мошенниками утекших персональных данных для спам-звонков, фишинговых рассылок и попыток социальной инженерии с целью кражи финансов или данных – наиболее частые мошеннические действия с персональными данными, заметил начальник отдела информационной безопасности «СёрчИнформ» Алексей Дрозд. Чем больше у злоумышленников информации о человеке, тем проще организовать изощренную атаку с помощью социальной инженерии и тем достовернее мошенник может выдавать себя за представителя той или иной службы, засыпая пользователя подробностями (что, где и когда заказывал, на какие суммы, по каким адресам и т. п.). Например, киберпреступники могут заманивать на фишинговые сайты с предложениями о специальных кредитных условиях. Чтобы быть готовым к такой ситуации и не попасться на уловки мошенников, эксперт советует периодически проводить мониторинг уже случившихся сливов данных. Например, с помощью соответствующего сервиса в Gmail можно проверить простые, повторяющиеся и похищенные пароли. Также есть и другие бесплатные сайты. Для этой задачи подойдут даже обычные поисковики, но они представляются менее удобными, резюмировал он.

При этом по законодательству паспортные данные, фотография или копия паспорта не являются документами, удостоверяющие личность, напомнил юрист адвокатского бюро Тимура Маршани Антон Раздобедин. Чтобы взять кредит, необходимо иметь при себе оригинал паспорт и еще один документ, удостоверяющий личность. Законопослушные компании не смогут оформить кредит по копии паспорта и всегда требуют оригинал документа, уверен эксперт. Тем не менее на практике бывали случаи, когда злоумышленники оформляли кредиты, предоставляя чужие паспорта – обычно это небольшие займы в банках, требующих минимальный пакет документов.

Третьему лицу взять кредит на кого-то в данный момент не так просто, согласен Алексей Дрозд. У мошенника должен быть сообщник на стороне финансовой или микрофинансовой организации, которая может выдать деньги, считает эксперт. По его словам, опасность появится, если банки начнут выдавать кредит по скану паспорта или с помощью видеозвонка. При таких нововведениях возрастет количество дипфейков (реалистичная подмена личности пользователя на видео-, фото- и в аудиоматериалах, созданная с помощью нейросети). Эксперт считает, что в ближайшем будущем такой перспективы не предвидится, но разговоры на тему упрощения механизма дистанционной выдачи кредитов в банковской сфере периодически поднимаются.

Таким образом, оценить масштаб преступлений, для осуществления которых мошенники используют слитые персональные данные, крайне затруднительно. Однако становится очевидным, что субъект, чьи данные были раскрыты третьим лицам, может стать жертвой по разным категориям преступлений.

Как обезопасить свои данные от утечек

Все опрошенные эксперты сходятся во мнении, что у рядовых пользователей и клиентов любых компаний практически отсутствует возможность повлиять на то, чтобы избежать утечки своих персональных данных. Причина заключается в том, что пользователь не контролирует и не определяет порядок хранения и защиты персональных данных в той или иной организации, отметил юрист адвокатского бюро Asterisk Вячеслав Климов. Однако можно предпринять ряд мер, способных минимизировать шанс утечки.

Алексей Дрозд начальник отдела информационной безопасности «СёрчИнформ» :

«Самое главное – стараться не оставлять в сервисах и на сайтах компаний большое количество данных о себе. Например, в приложениях для онлайн-заказов можно использовать «псевдоним» вместо фамилии – так вы не только спасете себя от телефонных мошенников, но и сможете предположить, из какого сервиса произошла утечка. Во-вторых, не указывайте лишний раз свою дату рождения, даже если за это вам полагаются какие-то бонусы. В-третьих, для проведения онлайн-платежей полезно завести виртуальную карту банка – переводите на нее сумму необходимой покупки, тогда основной счет в случае мошенничества не пострадает. Еще одна рекомендация, которая может ограничить пользователя от будущих звонков мошенников – заведите вторую сим-карту для того, чтобы «не светить» личный номер при онлайн-заказах».

Как считает управляющий RTM Group Евгений Царев, возможно постараться обезопасить себя, изучив профиль организации, с которой происходит сотрудничество. Также следует обратить внимание на политику обработки персональных данных, которая должна находиться в открытом доступе. Всегда полезно обращать внимание на то, какие персональных данные от пользователя требуют, заметил эксперт. Он также советует стараться предоставлять необходимый минимум данных о себе. Так, например, для просчета планировки квартиры будет излишним сообщать ее точный адрес и форму собственности, а также предоставлять данные о жильцах.

Удаление данных из различных сервисов объявлений может также помочь минимизировать их утечку, считает президент «Национальной Ассоциации Комплаенс», юрист Владимир Балакин. В добавление к другим советам эксперт считает, что следует избегать распространение своих персональных данных в открытых источниках – например, когда организаторы мероприятий для регистрации просят оставить свои данные в комментариях под постом в социальной сети.

Антон Банковский, партнер, глава практики интеллектуальной собственности CMS International B.V.:

«При предоставлении данных, особенно в Интернете, рекомендуется проверять, что данные предоставляются на официальном сайте компании, а не сайте-копии [их еще называют фишинг-сайты: от англ. phishing – преднамеренное искажение слова fishing – ловля на крючок, «выуживание» – ГАРАНТ.РУ]. Также следует более внимательно относиться к просьбам предоставить данные со стороны компаний, когда такие действия не были инициированы самим пользователям. Более того, рекомендуется контролировать использование файлов cookie при посещении веб-сайтов.

В случае прекращения получения услуг от определенных компаний рекомендуется направить отзыв согласия об обработке персональных данных, если оно ранее предоставлялось, а также попросить удалить сервис все персональные данные. Важно иметь в виду, что обработка данных допускается и без согласия, но попытка минимизации обработки со стороны компаний, услуги или товары которых уже не используются, позволит сократить объем данных, обрабатываемых компаниями».

Ранее ГАРАНТ.РУ писал,что профессионально сделанные фишинговые сайты едва отличимы от настоящих: такие сайты часто имитируют страницы платежных систем, собирая данные о пользователе (в первую очередь, данные банковской карты). В адресе фишингового сайта могут быть переставлены местами буквы в адресе, допущена ошибка в написании слова или домен расположен в зоне, отличной от расположения официального сайта. Например, вместо «cdek» – «cdeck», вместо «nalog.ru» – «nalog.org».

Также опасность утечки возможна при подключении к Wi-Fi в общественных местах: не следует заходить на сайты, где следует предоставлять чувствительные персональные данные, дополнил Владимир Балакин.

Все, что может сделать пользователь для предупреждения утечек – это обращаться только в проверенные организации и как можно меньше разглашать информацию о себе, считает Вячеслав Климов. Стоит помнить, что никто не гарантирует стопроцентной защиты, так как основные проблемы происходят на стороне сервисов, подчеркнул Алексей Дрозд. Эксперт уверен, что при утечке важно не оставлять этот факт без внимания Роскомнадзора и правоохранительных органов. Общественное давление заставляет организации пересматривать и улучшать меры защиты, а законодателей – ужесточать требования и ответственность.

Ответственность компаний за утечку данных их клиентов

С точки зрения административной ответственности КоАП не содержит прямых санкций именно за утечку персональных данных, обращает внимание Антон Банковский. Как правило, в текущий момент в случае утечек компании привлекаются к ответственности за «обработку персональных данных в случаях, не предусмотренных законом» (ч. 1 ст. 13.11 КоАП РФ). Эксперт считает, что такая квалификация представляется не до конца обоснованной с юридической точки зрения. Тем не менее ответственность, которую несут компании по данной норме, незначительная – от 60 тыс. до 100 тыс. руб. (ч. 1 ст. 13.11 КоАП РФ). При этом санкция не учитывает количество потерпевших субъектов персональных данных.

Такая сумма не является существенной для крупных компаний, о чем неоднократно высказывались представители юридического сообщества и эксперты в сфере защиты персональных данных. Ответственность за нарушение законодательства о персональных данных обходится дешевле, чем приобретение, внедрение и обслуживание технических средств защиты, заметил руководитель юридического департамента группы компаний Gaskar Group Игорь Иофчу. Разница между штрафами и необходимыми затратами может достигать десятки раз. Поэтому чаще всего компании лишь в декларативных целях размещают на своих сайтах политику обработки персональных данных и больше ничего не делают, утверждает он.

Об этом также заявила компания «Роскомсвобода», отметив, что штраф в таком размере не принесет никакой сатисфакции пострадавшим пользователям и никак не заставит компанию лучше защищать приватность пользователей 2 . Напомним, 14 апреля 2022 года «Роскомсвобода» и «Сетевые свободы» подали в Замоскворецкий районный суд коллективный иск к ООО «Яндекс.Еда», вторым ответчиком по делу стала материнская компания ООО «ЯНДЕКС» – он был принят к производству, на 23 июня 2022 года назначена беседа. В иске требуется признать незаконными действия ответчиков, обязать их опубликовать в течение 30 дней с момента вступления в силу решения суда информацию о принятых мерах по обеспечению сохранности персональных данных, а также взыскать с ответчиков солидарно компенсацию морального вреда в размере 100 тыс. руб. в пользу каждого из истцов. Последнее требование было сделано в соответствии с ч. 2 ст. 24 Закона № 152-ФЗ. Иск инициировали 20 истцов, а «Роскомсвобода» утверждает, что всего к ним обратились 8 тыс. человек с информацией об утечке их персональных данных – они намерены присоединиться к иску.

При этом 21 апреля 2022 года компания «Яндекс.Еда» была оштрафована на 60 тыс. руб. в соответствии с заявлением Роскомнадзора. Значение производства по данному делу заключается в том, что судом признан установленным факт утечки персональных данных определенных граждан, а это создает условие для их обращения в суд с гражданскими исками о компенсации материального ущерба и морального вреда, возникшего в результате этого события, считает адвокат Сергей Агапов (Адвокатская палата Московской области, № 8142). Решение по делу об административном правонарушении будет иметь преюдициальную силу и освободит истцов от обязанности доказывания фактов, которые суд уже признал доказанными. Эксперт считает, что если при разбирательстве по коллективному иску гражданами будет доказано причинение им значительного ущерба от утечки персональных данных, то возможные суммы компенсаций в данной ситуации могут превысить размер назначенного штрафа в доход государства.

Субъекты персональных данных помимо компенсации морального вреда могут подать исковое заявление в суд с требованием возмещения убытков (если они могут быть доказаны) – на это обратил внимание старший юрист практики интеллектуальной собственности CMS International B.V. Владислав Елтовский. Как правило, доказывание убытков, если отсутствуют какие-либо конкретные имущественные последствия, представляется затруднительным. Что касается компенсации морального вреда, то текущая практика не присуждает каких-либо значительных сумм.

Несмотря на неправомерность внешнего взлома, ответственность также ложится и на оператора данных, который не обеспечил необходимые и достаточные меры против незаконного доступа к персональным данным, обратил внимание Антон Банковский. Является открытым вопрос, насколько, учитывая текущие темпы развития технологий, возможно построение полностью защищенной ИТ-инфраструктуры. Тем не менее каждый случай внешней утечки и достаточность принятых оператором мер необходимо оценивать индивидуально, исходя из содержания и «чувствительности» данных, принятых мер и характера недобросовестных действий третьих лиц, уверен эксперт.

Основная опасность утечек информации состоит в том, что она может пройти незаметно для пользователя, поскольку компании иногда замалчивают о подобных инцидентах, заметил Антон Раздобедин. В России не так сильно развиты меры наказания, как в США или в Европе. Например, федеральная комиссия по торговле США оштрафовала Facebook на $5 млрд за передачу личной информации в маркетинговых целях. С коллегой согласен Владимир Балакин: большинство таких инцидентов компании тщательно скрывают, только некоторые из них делают заявления о том, что произошла утечка и признают свою вину, как это произошло с компанией «Яндекс». Если же компания не признает вину и не берет на себя ответственность, этот факт еще необходимо будет доказать. Потенциальные высокие штрафы за утечки должны мотивировать компании серьезнее подходить к вопросам защиты персональных данных, уверен Владислав Елтовский. В текущей ситуации с точки зрения потенциальных рисков ответственности компании склонны принимать риск утечки при сравнении потенциальных убытков и затрат на лучшую защиту ИТ-инфраструктуры.

Введение дополнительного регулирования в сфере утечек персональных данных обсуждается уже довольно долго, заметил Владислав Елтовский. В частности, предлагается ввести обязанность операторов по уведомлению регулятора об утечке, что позволит избежать скрытых утечек, которые не стали общественным достоянием. Эта обязанность согласуется с международным подходом, в частности GDPR. 25 мая 2022 года депутат Госдумы Антон Горелкин рассказал 3 , что планируется законопроект, который будет обязывать операторов персональных данных уведомлять Роскомнадзор об утечке персональных данных в течение 24 часов.

Помимо этого некоторые эксперты считают разумным внедрить практику взыскания с компаний, по вине которых данные утекли, оборотный штраф – то есть штраф, размер которого зависит от выручки компаний. Примечательно, что 24 декабря 2021 года впервые был применен оборотный штраф в отношении ИТ-компании (Постановление мирового судьи судебного участка № 422 о назначении административного наказания от 24 июля 2021). Тогда компании Google LLC было назначено административное наказание за неоднократное нарушение порядка ограничения доступа к информации по требованию Роскомнадзора (ч. 5 ст. 13.41 КоАП РФ). Судья назначил наказание в виде административного штрафа в размере 1/20 совокупного дохода Google LLC и его аффилированных лиц, полученного от реализации всех товаров, работ и услуг за год (более 7 млрд руб.). О необходимости ввести оборотные штрафы за утечку персональных данных не раз говорило Минцифры России 4 , однако на данный момент никаких законодательных изменений по этому вопросу нет.

1 Новость и текст обращения размещены на официальном сайте компании «Яндекс».
2 Новость и текст искового заявления размещены на официальном сайте общественной организации «Роскомсвобода».
3 Запись выступления Антона Горелкина размещена на Парламентском телевидении Госдумы «Дума ТВ».
4 С новостями по теме можно ознакомиться в официальном телеграм-канале Минцифры.

Что делать, если ваши данные утекли в Сеть?

Участились случаи взлома сайтов и утечек персональных данных пользователей. Центр цифровой экспертизы Роскачества объясняет, насколько это опасно и нужно ли проверять информацию о себе по базам данных.

Как персональные данные утекают в интернет?

Россия занимает второе место после США по количеству утечек, найденных в открытых источниках. В 2022 году произошло сразу несколько крупных утечек пользовательских данных: клиентская база «Яндекс.Еды», сервиса доставки «2 Берега», компании СДЭК.

Механизмов утечки персональных данных пользователей может быть несколько:

Взлом серверов, где хранятся данные клиентов, вследствие хакерской атаки.
Компрометация устройства одного из сотрудников с последующим выходом в корпоративную сеть вследствие низкой цифровой грамотности сотрудников.
Сотрудник компании с доступом к личной информации может вывести ее на внешний носитель и передать в третьи руки.

Злоумышленников в первую очередь интересуют крупные компании, где собраны данные большого количества пользователей.

В свою очередь, эти крупные компании постоянно инвестируют во внутреннюю безопасность, и получается некая гонка, итог которой не всегда можно предсказать. У маленьких компаний, у которых нет возможностей инвестировать в безопасность, утечки происходят чаще, но охват пользователей, чьи данные были скомпрометированы, как правило, очень небольшой.

Крупные компании обычно сами выходят с официальным объявлением об утечке, предупреждая своих клиентов. Это самый надежный источник знания о том, что ваши данные действительно были украдены.

Куда попадают персональные данные после утечки?

После утечки данные попадают на черный рынок. Целые базы данных продаются в даркнете, а помимо этого, есть множество Telegram-каналов, которые за определенную плату могут предоставить практически полные данные о человеке, начиная от паспортных и заканчивая банковской выпиской.

Не стоит забывать, что среди этих каналов немало мошеннических, которые берут плату под видом предоставления персональных данных и пропадают.

Можно ли проверить, утекли ли ваши данные?

Если вы подозреваете, что с какого-то ресурса были украдены данные о вас, существует несколько способов, как это проверить. Однако все они несут большие риски и могут привести к тому, что вы подарите свои данные мошенникам. Основные схемы того, как при попытке «пробить» свои данные вы можете попасть в руки мошенников:

Скачивание архива с утекшими данными компании. После слива клиентской базы архив с персональными данными может быть выложен в Сеть. Вместе с архивом вы рискуете скачать вирусы или трояны.
Проверка данных через посредника-мошенника. В ТГ-каналах можно найти «посредников», которые за определенную сумму проверят, были ли скомпрометированы ваши данные. Для этого мошенник попросит личную информацию о вас. После чего пропадет с вашими деньгами и вашими же данными.
Сайты по проверке утечек. Существуют базы персональных данных, где пользователь якобы может проверить, утекли ли они с какого-нибудь ресурса.

Кузьменко

Сергей Кузьменко
Старший специалист по тестированию цифровых продуктов Роскачества

Роскачество призывает никогда и не при каких обстоятельствах не вводить свои персональные данные на любых сайтах, которые как-то относятся к проверке этих самых данных на предмет утечки. Не вбивайте свои паспортные данные, адрес и телефон, а также номера банковских карт. Вбивая свои данные в подобные «базы», вы рискуете передать информацию о себе мошенникам.

Если же вы нашли в сети свои персональные данные в открытом доступе – на форумах, ТГ-каналах, в социальных сетях, которые используются явно против вашего согласия, самый лучший вариант – обратиться в Роскомнадзор с требованием заблокировать сайт, т.к. там используются данные без вашего ведома. Форма обращения располагается на сайте ведомства.

Утечка персональных данных – явление, которое встречается достаточно часто в работе организаций, поясняет юрисконсульт Роскачества Анастасия Селиванова. Как правило, это связано с недобросовестным отношением к защите персональных данных. Риску потери персональных данных подвержены многие пользователи. Ответственность за нарушения законодательства о персональных данных установлена статьей 13.11 КоАП РФ. В нее с 27 марта 2021 года Федеральным законом от 24.02.2021 № 19-ФЗ внесены поправки, увеличившие штрафы в 2 раза и добавившие два новых штрафа за повторные нарушения.

Операторы, которые допустили утечку персональных данных , могут понести гражданскую, административную и уголовную ответственность.

Как данные о вас могут использоваться мошенниками и преступниками

Что произойдет после того, как произошел слив данных с какого-то ресурса, зависит от многих факторов. Главный из них – объем слитой информации. Если утекли только ваши номер телефона и адрес электронной почты, то ущерб может быть небольшим. Если в базу попали ваши паспортные данные, адрес проживания, информация о вашем здоровье и вашей собственности, риски возрастают.

Информация о вас может быть использована мошенниками для социального инженеринга. Вам могут позвонить с незнакомого номера, и звонивший узнает же о вас почти все. Ему легче будет манипулировать вами и ситуацией. Новые сценарии у мошенников появляются едва ли не каждую неделю.

Полученная о вас личная информация может быть затем использована для получения кредитов или иных целей. Да, чаще всего просто данных недостаточно, чтобы кредитная организация выдала кому-то кредит по поддельным данным. Однако мошенники вполне могут попробовать, ничего не теряя.
Украденные данные из сливов могут использоваться при создании фейков. Чем больше реальной информации использует фейк, тем сложнее его вычислить. Вполне реальные имена, адреса и номера телефонов могут быть использованы в фейковых документах, отчетах, новостях. В последнее время такое использование слитой информации характерно для фейков политического характера.

Следите за новостями, подписывайтесь на рассылку.

При цитировании данного материала активная ссылка на источник обязательна.

Банковские данные утекли в Сеть: что делать и как получить компенсацию от банка

«Нашел свои данные в слитой базе из банка. Что делать? Нужно ли перевыпускать карты и заново открывать счета?» — спрашивает пользователь Банки.ру. Последняя опубликованная в интернете база данных с банковской информацией — компиляция из разных источников, утверждают в банках. Однако найти информацию о своих счетах в открытых источниках неприятно. Рассказываем, чем грозит утечка банковских данных и как обезопасить свои деньги.

Что делать, если ваши данные утекли

подберите длинную комбинацию. Восемь символов — это достаточно, чтобы обеспечить безопасность, при этом запомнить такой пароль легко;
не используйте клички животных, названия городов и стран. Если слова проще запомнить, то придумайте что-то абстрактное — например, lublukefir.
используйте комбинации заглавных и строчных букв, цифры и символы;
старайтесь в разных сервисах использовать разные пароли — комбинации должны отличаться хотя бы на 1 символ;
меняйте пароль хотя бы раз в 6 месяцев.

Везде, где это возможно, включите двухфакторную аутентификацию. Когда она включена, у пользователя при входе запрашивается не только пароль, но и дополнительное подтверждение. Его можно получить через одноразовый СМС-код, пуш-уведомление на другом устройстве или одноразовые пароли.

Редко, но бывает, что утекают банковские данные: информация о банковских картах, остатках на банковском счете, а также сканы документов, например, паспорта.

Еще важно узнать, насколько актуальны данные в утечке. Старые базы не представляют опасности, если вы регулярно меняете пароли.

Что делать, если под угрозой действительно важные данные

Если в утечке оказались данные банковских карт, следует обратиться в службу поддержки банка. Банки щепетильно подходят к сохранности данных банковских карт клиентов. Прежде всего потому, что закон будет на стороне клиента, если кто-то неправомерно воспользуется данными его карты. Поэтому службы безопасности банков постоянно ведут мониторинг площадок, на которых продаются персональные данные, проводят контрольные закупки и блокируют скомпрометированные карты. Так что в большинстве случаев банк узнает о такой утечке раньше вас и примет все необходимые меры. Но все же лучше не оставлять ничего на волю случая и связаться с банком самостоятельно.

Если в утечку попали сканы документов, нужно быть бдительнее. К счастью, времена, когда по скану паспорта мошенники могли сделать почти все что угодно, в прошлом. И даже если скан вашего паспорта оказался в Сети, это еще не повод перевыпускать документ.

Тем не менее, имея на руках паспортные данные человека, злоумышленники могут получить и другие данные. Например, ИНН через сайт ФНС. После этого мошенники могут, например, прислать очень правдоподобное письмо от лица налоговой, информирующее о «непогашенных штрафах». Единственная защита здесь — внимательность. Проверяйте отправителя и помните: если кто-то знает ваши паспортные данные, это еще не значит, что этот кто-то представляет госорганы.

13.01.2023 18:13

Можно ли получить компенсацию за утечку персональных данных

Личная информация защищена законом о персональных данных. За соблюдением законодательства о персональных данных следит Роскомнадзор. На сайте ведомства можно подать жалобу.

Сейчас максимальный штраф для компаний, по вине которых произошла утечка персональных данных, не превышает 100 000 рублей и 300 000 рублей при повторном нарушении. Правительство совместно с депутатами готовит законопроект, по которому введут оборотные штрафы до 500 млн рублей.

Суды иногда встают на сторону граждан и удовлетворяют иски о компенсации за утечку персональных данных. В 2023 году петербуржец Александр Шацкий через суд добился от компании «Яндекс.Еда» выплаты компенсации морального вреда за утечку его персональных данных. Сумма компенсации небольшая — 5 тыс. рублей. Еще раньше из-за той же утечки компенсацию получили 13 пользователей по коллективному иску. Им также выплатили по 5 тыс. рублей.

Добиться компенсации от банка или сервиса можно пока только через суд. Это сложный процесс, который может длиться больше полугода. Самое главное в этих делах доказать, что утечка действительно была. Как правило, компании находят причины нарушений не внутри своей системы безопасности, поэтому не признают свою ответственность. Однако, даже если вы сможете это доказать, придется также доказать, что из-за утечки вам был нанесен вред — например, из-за постоянных звонков мошенников, которые получили номер из базы данных, у вас ухудшилось самочувствие. Установить такие связи сложно.

В любом случае рассчитывать на большие компенсации не стоит. Судебная практика по аналогичным делам показывает, что средняя компенсация составляет от 2 до 50 тыс. рублей. Другое дело, если из-за утечки вы понесли реальный ущерб, который можно посчитать. Например, сорвалось заключение договора. В этом случае истец может получить полную сумму потенциального дохода, который он потерял. Но придется доказать связь этого события с утечкой.

Помимо суда можно также попробовать уладить вопрос с компенсацией через поддержку банка или сервиса. Минцифры и Роскомнадзор считают, что компании вправе компенсировать вред пользователям не деньгами, а бонусами или скидками.

Параллельно с поправками в КоАП с оборотными штрафами в Минцифры планируют также разработать механизм выплаты компенсаций через «Госуслуги». Работать это должно так:

компания уведомляет об утечке;
в течение 15 дней пользователи, чьи данные попали в общий доступ, подают заявление на возмещение ущерба через «Госуслуги»;
в течение 20 дней компания, из-за вины которой произошла утечка, рассчитывает выплату и отправляет свое предложение пострадавшим клиентам;
если более 80% пострадавших согласны на размер компенсации, она выплачивается всем пострадавшим;
если консенсус не достигнут, клиенты индивидуально или коллективно обращаются в суд.

По задумке ведомства, такой механизм будет выгоден всем сторонам. Клиенты быстро получат деньги без суда, а банки и сервисы, если согласятся на такое решение и добровольно выплатят компенсации, получат сниженный штраф. Однако пока этот процесс не включен в обсуждаемый законопроект. В частности, против него выступают ИТ-компании, которые считают, что такой механизм станет инструментом потребительского экстремизма.

Что делать, если ваши банковские данные оказались в Сети: кратко

Если в базе данных есть только ваши ФИО, адрес электронной почты или номер мобильного телефона, то проще всего ничего не предпринимать. Риск, что только с помощью этих данных мошенники украдут ваши деньги, низкий. Главное, не называть никому по телефону одноразовые СМС-коды и другие данные.
Иногда в Сеть также попадают пароли и логины. Нужно как можно скорее сменить их. Если один и тот же пароль используется на нескольких сайтах, то и менять его нужно везде.
Если в утечке оказались данные банковских карт или счетов, следует обратиться в службу поддержки банка. Как правило, кредитные учреждения узнают об утечке раньше вас, поэтому замораживают счета. Если данные критичные, вам перевыпустят карту и снова откроют счет. Сделать это должны бесплатно.
Если в утечку попали сканы документов, нужно быть бдительнее. После этого мошенники могут, например, прислать очень правдоподобное письмо от лица налоговой, информирующее о «непогашенных штрафах». Единственная защита здесь — внимательность.
Отдельного законодательного механизма для компенсаций за утечку персональных данных нет. Добиться компенсации от банка или сервиса можно пока только через суд.
Если банк или сервис не признают утечку внутри компании, придется доказывать суду этот факт. Кроме того, нужно будет убедить судью, что из-за утечки вы понесли моральный вред или имущественный ущерб.
В случае с компенсацией за моральный вред не стоит рассчитывать на крупные суммы. В последних похожих делах суд снижал сумму компенсации за моральный вред со 100 тыс. до 5 тыс. рублей.
Можно также попробовать договориться с банком или сервисом напрямую через поддержку. Вам могут предложить бонусы или скидки.

\n \n\t\t\t \n\t\t\t \n\t\t \n\t»,»content»:»\t\t

\n\t\t\t\u0412\u044b \u043d\u0435 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u044b \u043d\u0430 \u0441\u0430\u0439\u0442\u0435.\n\t\t \n\t\t

\n\t\t\t \n\t\t\t\t\u0412\u043e\u0439\u0434\u0438\u0442\u0435\n\t\t\t \n\t\t\t\u0438\u043b\u0438\n\t\t\t \n\t\t\t\t\u0437\u0430\u0440\u0435\u0433\u0438\u0441\u0442\u0440\u0438\u0440\u0443\u0439\u0442\u0435\u0441\u044c.\n\t\t\t \n\t\t \n\t»>’ >