Закупорить слив: почему в России начали борьбу с сервисами по «пробиву» личных данных

Почему в России начали борьбу с сервисами по «пробиву» личных данных

Как в России утекают личные данные граждан и что можно сделать, чтобы это остановить, читайте в материале РИАМО.

Министерство внутренних дел (МВД) России приступило к крупномасштабной спецоперации, направленной на выявление ресурсов, где можно «пробить» личные данные россиян — об этом сообщило издание Baza. В управления силового ведомства по всей стране поступило указание провести поиск сайтов, каналов и ботов, которые предоставляют личные данные граждан РФ. Правда, некоторые эксперты считают это лечением симптомов, а не самой болезни.

Что известно о новой спецоперации МВД России

Фото - © РИАМО, Пелагия Тихонова

По информации Baza, распоряжение о поиске сайтов, каналов и ботов, предоставляющих личные данные россиян, в МВД подписали еще 11 марта — практически сразу после того, как силовики взялись за один из самых известных ботов по «пробиву» личных данных — «Глаз Бога».

Это произошло на фоне ужесточения уголовной ответственности за незаконный сбор и передачу персональных данных. Проведение мероприятий было запланировано минимум на три недели. Тех, кто владеет или администрирует такие ресурсы, намерены привлекать к уголовной ответственности.

Указание напрямую связано с принятием закона о личных данных и появлением статьи 272.1 («Незаконные использование и (или) передача, сбор и (или) хранение компьютерной информации, содержащей персональные данные, а равно создание и (или) обеспечение функционирования информационных ресурсов, предназначенных для ее незаконных хранения и (или) распространения») УК РФ.

Сервисы для «пробива» личных данных начали появляться в России в середине 2010-х годов, говорит в беседе с РИАМО руководитель направления анализа защищенности Центра мониторинга и противодействия кибератакам IZ: SOC «Информзащиты» Анатолий Песковский.

«К этому времени появилось большое количество интернет-сервисов, которые легально собирали данные граждан — люди оставляли данные в интернете на своих страницах в социальных сетях. Конечно, увеличилось и число „сливов“, из-за чего такие сервисы могли пополнить свои базы», — отмечает эксперт.

Откуда сервисы по «пробиву» данных получают информацию

Фото - © Freepik.com

Первоначально информационный костяк сервисов по «пробиву» личных данных — это утечки из частных компаний, где защита информации не была реализована на должном уровне, рассказывает киберэксперт и инженер-аналитик лаборатории стратегического развития компании «Газинформсервис» Михаил Спицын. Другой вариант — происки инсайдеров, которые порой оказываются основным и наиболее стабильным источником утечек.

«Базы продаются на форумах в Даркнете — чаще всего они развиваются за счет „склейки“ из разных источников. В конце концов получается мощное досье на человека», — говорит собеседник РИАМО.

В свою очередь руководитель направления «Киберразведка» компании «Бастион» Константин Ларин дополняет, что для получения данных злоумышленники также активно используют «парсинг» — автоматизированный сбор и систематизацию информации в интернете с помощью специальных программ (парсеров). Таким образом, в частности, могут анализироваться соцсети или доски объявлений.

Наконец, некоторым сервисам граждане сами предоставляют свою конфиденциальную информацию за определенную плату, отмечает Анатолий Песковский.

Кто и зачем использует сервисы по «пробиву» данных

Фото - © Freepik.com

Пользователей сервисов по «пробиву» данных можно поделить на преследующих вполне законные и даже бытовые цели и преступников, объясняет в беседе с РИАМО Анатолий Песковский.

Первые могут использовать такие платформы для проверки контрагентов при совершении самых разных сделок, соискателей перед приемом на работу и так далее.

«Это делается, чтобы убедиться в добросовестности того, с кем устанавливаются те или иные виды отношений», — говорит эксперт.

С другой стороны, платформы используют мошенники для совершения целевых атак, предупреждает Песковский. Получив все данные, злоумышленники могут разработать персонализированную легенду для фишинговой рассылки, что значительно повысит вероятность успеха такого мероприятия. Персональные данные могут использовать и другие преступники при планировании своих противоправных деяний — например, ограбления или покушения на жизнь, подчеркивает эксперт.

При этом ответственность грозит даже за сам факт использования сервисов по «пробиву» личных данных, поскольку оно нарушает действующее законодательство РФ, отмечает Константин Ларин.

Во-первых, пользователь получает неправомерный доступ к охраняемой законом информации в соответствии с 152-ФЗ «О персональных данных».

«А во-вторых, эксплуатацию таких систем можно расценивать как оперативно-розыскную деятельность без соответствующих полномочий на основании статьи 6 144-ФЗ „Об ОРД“ — наведение справок, получение компьютерной информации», — объясняет эксперт.

Чем опасны сервисы по «пробиву» данных

Фото - © Freepik.com

Консолидация данных позволяет создавать детальные досье на людей, что упрощает мошенничество, шантаж или кражу личных данных, говорит генеральный директор ООО «РТК Софт Лабс» Евгений Семенов. Даже легально собранная информация в сочетании с утечками может нанести серьезный ущерб.

Именно поэтому в России регуляторы серьезно работают над контролем и обработкой персональных данных организациями. Требования к хранению и обработке данных постоянно ужесточаются, а правоохранительные органы, включая МВД, ведут работу по противодействию сервисам, которые собирают как открытые, так и закрытые данные.

Органы власти и службы безопасности также занимаются выявлением и предотвращением утечек закрытой или секретной информации — это комплексная мера, направленная на обеспечение безопасности данных граждан, подчеркивает Семенов.

Каковы перспективы борьбы с сервисами по «пробиву» в России в 2025 году

Фото - © Unsplash.com

Говоря о перспективах борьбы с сервисами по «пробиву» в России, Михаил Спицын отмечает, что первая из них — это усиление контроля за инсайдерами, внедрение технических мер отслеживания доступа к базам, защита от выгрузок и мотивация сотрудников на соблюдение внутренней безопасности.

«Во-вторых, совершенствование законодательства и правоприменения — то есть ужесточение ответственности за нелегитимную покупку и продажу персональных данных. В-третьих, можно предложить использование специальных вложений в базы данных для повышения возможности отслеживания утечки», — говорит эксперт.

В свою очередь Константин Ларин считает, что блокировка сервисов по «пробиву» — это «лечение симптомов». Необходимо бороться с растущим количеством утечек информации, особенно если в них фигурируют данные, охраняемые законом (персональная, медицинская и другая информация).

Важно совершенствовать законодательство в сфере защиты персональных данных, усиливать контроль за его соблюдением, ужесточать наказание за незаконную обработку данных и «сливы», произошедшие по вине организаций, подчеркивает Анатолий Песковский. Кроме того, необходимо повышать осведомленность граждан о рисках, связанных с использованием таких сервисов, а также с неаккуратным размещением информации о себе в открытых источниках.

«Помимо ужесточения требований к операторам данных, государству следует сосредоточиться на повышении цифровой грамотности населения. Люди должны знать, где хранятся их данные, как они защищены и кому они дают согласие на обработку. Важно обучать граждан осведомленности о своих данных и повышать уровень цифровой грамотности», — заключает Евгений Семенов.