Никогда еще личные данные россиян не утекали в открытый доступ так часто и в таком объеме, как в 2022-м. Одна из причин — война Главное из доклада «Сетевых свобод» + 10 советов для тех, кто думает, как защититься

В 2022-м в открытый доступ попало огромное количество баз с личными данными россиян: от сливов пострадали клиенты госуслуг, банков, операторов связи, онлайн-магазинов, авиакомпаний и десятков других самых разных компаний и сервисов. Объем утечек в России в этом году поставил исторический рекорд, утверждает правозащитный проект «Сетевые свободы» в итоговом докладе. Исследователи отмечают, что граждане толком не могут защититься от последствий утечек и получить адекватную компенсацию, а сливы все чаще используются в политических целях. «Медуза» пересказывает главное из этого доклада.

Откуда данные россиян утекали в 2022 году?

По данным «Сетевых свобод», лишь от той части сливов данных, что затронула крупные интернет-сервисы и компании, пострадали «десятки тысяч и даже миллионы пользователей». В открытом доступе оказывались имена, даты рождения, телефоны, фактические адреса и электронные почты, иногда — детали заказов, паспортные данные, хеш-пароли и другая не менее чувствительная информация. Многие из этих данных можно использовать в преступных целях.

Точное число жертв утечек назвать сложно, но исследователи насчитали в 2022 году 60 реальных инцидентов. Для сравнения: в трехлетний период — с 2019-го по 2021-й — стало известно о 41 подобном случае.

В 2022 году данные россиян утекали в том числе из баз:

• банков и микрофинансовых организаций (например, «Сбер»);
• платформ с государственными услугами («Госуслуги», «Московская электронная школа»);
• операторов («Ростелеком», «Билайн», Tele2, «Дом.ру»);
• онлайн-магазинов, сервисов доставки и городских сервисов («Яндекс.Еда», СДЭК, прокат электросамокатов Whoosh);
• авиакомпаний и других сервисов для продажи билетов («Победа», AzurAir, РЖД, tutu.ru, OneTwoTrip);
• медицинских центров («Гемотест»);
• онлайн-кинотеатров и соцсетей (START, аналог TikTok от «Газпром-медиа» — Yappy).

«Сетевые свободы» в докладе отмечают, что в истории с утечкой данных клиентов сервиса доставки «Яндекс.Еда» хакеры «продемонстрировали принципиально новый подход»: в марте личные данные пользователей (имена, телефоны, полные адреса доставки с кодами домофонов и номерами квартир) визуализировали в виде карты с возможностью поиска. Спустя два месяца в открытом доступе опубликовали аналогичную базу Delivery Club. Ее, как и сведения из многих других взломанных сервисов, тоже добавили на карту.

Чему нас учит этот рекордный по утечкам год — и как на сливы повлияла война?

О том, что рост числа утечек в 2022 году связан с полномасштабным вторжением России в Украину, сообщала компания InfoWatch. Ее аналитики отмечали «вовлечение в так называемые кибервойска большого количества жителей Украины и других стран». «Начиная с мая 2022-го на интернет-ресурсах, освещающих и анализирующих утечки и аналитику, начало появляться словосочетание „проукраинские хакеры“», — в свою очередь, пишут в докладе «Сетевые свободы».

Хакерские атаки в 2022 году впервые стали основным источником утечек, утверждал российский сервис DLBI (Data Leakage & Breach Intelligence), который анализирует сливы. В «Сетевых свободах» при этом подчеркнули, что один из элементов кибервойны — это публикация фальшивых баз данных (например, о мобилизованных россиянах); часто они оказывались компиляцией сведений из открытых данных или слитых ранее баз. Авторы доклада отметили, что российские власти тоже использовали фейковые базы в политических целях и делали это еще до начала войны.

И до, и во время войны прокремлевские хакеры использовали тактику «контрвзломов» политических оппонентов, пишут «Сетевые свободы»: «В даркнете на протяжении многих лет действуют хакерские группировки, нацеленные на украинские организации и структуры». После начала полномасштабного вторжения, в марте 2022-го, на теневом форуме нашлись файлы объемом более 80 миллионов строк с именами, паспортными данными и водительскими удостоверениями граждан Украины. В апреле хакеры получили доступ к спискам и данным сотрудников украинского правительственного контактного центра, в июне в открытый доступ попали данные об украинских беженцах, находящихся в Польше. Сообщения о взломах периодически появлялись и позже — как указывается в докладе, инструкции по проведению DDoS-атак и ссылки на «некоторые инструменты» опубликованы в прокремлевских телеграм-каналах.

При всех отрицательных последствиях сливы персональных данных помогают российским расследователям, признают «Сетевые свободы», отмечая, что OSINT-журналистика переживает бум. На журналистские материалы, основанные в том числе на информации из утечек, российские власти ответили «ужесточением ответственности за сбор сведений о силовиках, закрытием публичных реестров и преследованием журналистов» (и не только).

Правозащитники указывают, что российское государство, не обеспечивая безопасность в сфере персональных данных, нарушает свои обязательства по охране частной жизни от посягательств. Хотя Роскомнадзор блокировал сайты, где выкладывалась слитая информация, она оставалась доступной в сети. И «Яндекс.Еду», и «Гемотест», и другие коммерческие компании в итоге оштрафовали на незначительные суммы от 60 до 100 тысяч рублей. Судебный процесс по иску пострадавших пользователей «Яндекс.Еды» против компании не привел к существенным результатам — и правозащитники объясняют почему:

Россиянам, пострадавшим от утечек, защититься в судах «крайне трудно», отмечается в докладе. Жертвы сливов не могут повлиять на технологическую защищенность своих данных, заключают правозащитники. «Сетевые свободы» описывают причину этого так: «Обезопасить себя удастся, лишь не предоставляя о себе реальных данных, однако это не всегда возможно. Юридическая защита упирается в проблему сбора доказательств, которые суды и уполномоченные органы власти отказываются признавать».

Юристы, защищающие жертв утечек, испытывают большие проблемы в российских судах в случаях, когда слитая база данных доступна лишь за плату на теневых форумах. «Сетевые свободы» объясняют, что суд может счесть попытку приобрести такую базу незаконным доступом к компьютерной информации, то есть правонарушением. «В таких условиях требования к ответственности и осмотрительности администраторов государственных и корпоративных баз персональных данных возрастают многократно, и эту проблему только предстоит решать», — отмечается в докладе.

Исследователи заключают, что российские власти не в состоянии справиться с защитой данных — и россиянам следует полагаться в этом вопросе только на себя.

В разговоре с «Медузой» руководитель проекта «Сетевые свободы» Дамир Гайнутдинов рассказал, что требуется, чтобы изменить ситуацию с утечками личных данных. По его мнению, необходимо, чтобы государство помогало пострадавшим от сливов в сборе доказательств, чтобы результаты расследований (в том числе внутренних) были открытыми — и чтобы российские суды научились работать с групповыми исками (как в случае с пострадавшими от утечки «Яндекс.Еды»).

Как защититься от возможного слива данных? Или хотя бы попробовать это сделать. 10 советов «Сетевых свобод»

Полностью исключить, что ваши данные окажутся в открытом доступе, практически невозможно, но можно минимизировать количество информации, которой вы делитесь. Вот несколько рекомендаций правозащитников — что следует делать, чтобы защититься.

1. Не сообщать данные банковской карты [посторонним], оплачивать на месте картой либо наличными.

2. Завести отдельную сим-карту для регистрации в интернет-сервисах и программах лояльности.

3. По возможности не указывать [в онлайн-сервисах] реальные Ф. И. О. и дату рождения. Часто службам доставки, интернет-магазинам и прочим сервисам скидок достаточно вашего действующего номера телефона для отправки авторизационной SMS. Запрет на использование вымышленного имени и адреса закон не устанавливает (для курьера адрес все же удобнее указывать не очень далеко от дома или работы).

4. При заказах доставки не указывать дополнительную информацию, в том числе номер квартиры и код доступа в подъезд.

5. Не использовать небезопасные и скомпрометированные сервисы, в том числе социальные сети, тесно сотрудничающие с властями и не публикующие отчеты о прозрачности.

6. Не пересылать кому бы то ни было фотографии своих документов, документов своих детей и родственников. В большинстве случаев, когда у вас просят прислать фото документа, ваши реальные Ф. И. О., дата рождения, адрес, номер документа и дата его выпуска в действительности не требуются.

7. Совершенно необязательно заполнять все строки с паспортными данными и прочей идентифицирующей информацией всякий раз, когда от вас требуют подписать какое-либо соглашение (на курсах лепки или в ветеринарной клинике). С точки зрения закона указания Ф. И. О. уже достаточно для идентификации стороны сделки.

8. Если без пересылки чувствительных данных не обойтись, пользуйтесь сервисами и чатами, в которых можно настроить автоудаление сообщений.

9. Нигде нельзя оставлять копии документов и никому нельзя позволять сканировать их (гостиницы, школы и даже работодатель вправе хранить копию паспорта, СНИЛС, ИНН и прочих документов, не изготовленных с его участием, только с согласия клиента или работника). Как правило, данные из документа необходимы только для идентификации его владельца.

10. Стоит помнить, что, хотя на многие интернет-сервисы законом возложена обязанность идентифицировать пользователей при помощи SMS, встречной обязанности указывать реальный номер телефона у гражданина нет. Для регистрации в сервисах, которые вы не собираетесь постоянно использовать, смело используйте сервисы «одноразовой» почты и [бесплатные виртуальные] номера телефонов для получения SMS.