Если вам начали часто названивать с предложениями взять кредит в сомнительном учреждении, попробовать косметические процедуры по акции и т.п., то есть повод задуматься, а не оказались ли ваши данные проданы в третьи руки.
На специализированных форумах и просто при обычном поиске в интернете можно наткнуться на массу объявлений по покупке и продаже баз данных клиентов различных организаций — чаще всего это банки и госучреждения, встречаются также базы телефонных и интернет-компаний, финансовых учреждений и небольших частных фирм. "ДП" рассказывает о том, как продают личную информацию людей, кто ее покупает и сколько это стоит, а также почему от этого до сих пор практически невозможно защититься.
Побочный продукт
Чаще всего в такие базы входят ФИО клиента, его номер телефона и e-mail. Иногда также туда может входить какая-то более подробная информация, например данные о том, на какие цели человек брал кредит в банке, на какую сумму, кем он работает и т.п. Если в руках злоумышленников оказываются данные госучреждения, то туда уже могут входить и более серьезные сведения: фрагменты серии и номеров документов, данные о водительских правах и т.д.
Специалисты в области киберзащиты отмечают, что очень часто базы данных клиентов оказываются у злоумышленников как побочный продукт. Например, основной целью киберпреступника было получение денег или взлом какой-либо системы, но при этом в его руках оказывается еще и информация с данными людей. В таком случае их также выставляют на продажу.
"Базы данных могут попадать в руки злоумышленников самыми разными путями. Это может быть использование вредоносного программного обеспечения или целевая атака на компанию, оплошность или умысел сотрудников, ошибки при конфигурировании систем защиты, настройки серверов и т.д., приводящие к тому, что данные оказываются в свободном доступе. Бывает и так, например, что интернет-магазин прекращает существовать, а база данных его клиентов попадает в третьи руки", — рассказывает Александр Вураско, представитель компании Dr. Web.
По словам замруководителя лаборатории компьютерной криминалистики Group-IB Сергея Никитина, ущерб российской финансовой сферы из-за атак киберпреступников за вторую половину 2017-го и первую половину 2018 года составил 2,96 млрд рублей.
"В России в результате кибератак ежемесячно теряют деньги один-два банка, ущерб от одного успешного хищения составляет в среднем $2 млн. Не исключено, что, проникнув в сеть, злоумышленники могут копировать различные документы, базы данных, письма — такое случалось, и эти данные им были нужны для подготовки дальнейших атак или перепродажи", — указывает он.
Представитель Dr. Web Александр Вураско считает, что защититься от утечек достаточно сложно. Лучший способ — это дозирование предоставляемых о себе сведений. Например, использование отдельного номера телефона, адреса электронной почты и банковской карты для заказа в интернет-магазинах. В любом случае, передавая такие данные третьим лицам, вы фактически доверяете им безопасность этих данных, но вот проконтролировать то, как они будут использованы, вы не можете.
Также бывает, что среди правдоподобной информации встречается и ложная. Поэтому зачастую продавцы стараются уверить клиентов в "первоклассном качестве" и "самых свежих сведениях".
"Базы данных, с которыми мне приходилось сталкиваться в сети, выглядят правдоподобно. Нередко они бывают достаточно старыми, но попадаются и свежие образцы. Оценить процент ложной информации не представляется возможным, но в сети, в том числе и в Даркнете, встречаются мошенники, размещающие объявления о продаже таких баз и получающие предоплату от покупателей, ничего им не предоставляя взамен. Эта схема удобна тем, что жертва, скорее всего, не будет обращаться в полицию", — подтверждает Александр Вураско.
Новогодние скидки для клиентов
Каналы распространения таких данных тоже варьируются от обычных форумов сетевых мошенников до торговых площадок в Даркнете.
"Покупают их те, кто знает, как их использовать для достижения конкретных целей. Спамеры, люди, желающие атаковать организацию или ее клиентов, те, кто занимается поиском людей в сети, анализом их коммуникаций и т.д. Можно придумать массу сценариев", — считает представитель Dr. Web.
Стоимость покупки такой базы также вариативна. Во многом она зависит от того, чья это база (данные банков и крупных организаций стоят гораздо дороже), насколько сложно было ее заполучить, насколько она свежая и уникальная.
В ходе изучения предложений по продаже "ДП" находил и расценки по 3-4 тыс. рублей (с учетом "новогодних скидок", без скидок средняя цена составляет уже 8-10 тыс. рублей), так и по 30 тыс. и 60 тыс. рублей.
На одном из сайтов, который предлагает купить подобные базы, также предлагается скачать демоверсию файлов. "ДП" ознакомился с примером такой базы, которая представляла собой данные вкладчиков банка ВТБ24 с 2013 по 2015 год. В базе помимо ФИО клиентов, номеров их мобильных и домашних телефонов также были указаны город проживания (в некоторых случаях вплоть до станции метро либо городского района), пол, возраст, дата открытия вклада и дата его последнего пополнения, сумма открытого счета и мобильный оператор, у которого зарегистрирован номер владельца.
Корреспондент "ДП" позвонил наугад 10 людям из демоверсии базы, из них три номера оказались отключены, остальные клиенты взяли трубку. Все из них подтвердили, что их ФИО совпадают с данными из базы. Один человек отказался рассказывать, являлся ли он клиентом банка с 2013 по 2015 год. Двое сказали, что не помнят точно, но, возможно, являлись клиентами и имели там счет. Еще один человек ответил категорически отрицательно на вопрос о том, открывал ли он счет в конкретном банке. Остальные три человека подтвердили, что являлись вкладчиками в указанные годы.
Как продаются базы данных, и кто их сливает
Некоторые продавцы на специальных хакерских форумах вместе с объявлением о продаже сразу оставляют контакты для связи в Telegram или через Xabber (довольно популярный среди пользователей Даркнета мессенджер). Также довольно часто встречается просьба переводить оплату через гарант сделок — то есть сторонний сервис или человека-посредника, который принимает участие в процедуре покупки и продажи в интернете. Гарант получает товар и деньги, убеждается в качестве товара и наличии нужной суммы, а после передает деньги продавцу и товар покупателю. За это он получает процент от сделки. По словам главы агентства "Рустелеком" Юрия Брюквина, операция по таким сделкам проводится через биткоин-кошелек. Наибольший процент переводов проходит через криптовалюту, но тем не менее часто используются и обычные анонимные кошельки, поддерживающие настоящую валюту.
"Самый большой канал распространения баз на продажу, конечно же, приходится на Дарквеб, где по этому направлению сформировался отдельный рынок, на котором есть даже свои авторитетные персоны и продавцы. Рынок этот огромный, а доходы продавцов достигают миллиардов рублей", — рассказал Брюквин.
В прошлом году "Рустелеком" подробно занимался темой изучения Дарквеба. В результате исследования удалось выяснить, что также существует услуга добычи базы клиентов на заказ. Сами базы монетизируются двумя способами — через шантаж организации, а также через так называемые лиды — особый вид уникальной информации, которая чаще всего содержит какие-либо финансовые данные (сумма счета, его номер и т.п.).
Корреспондент "ДП" связался с несколькими продавцами баз. Лишь двое из них согласились поговорить с изданием на условиях анонимности.
Например, один из продавцов, который предлагал приобрести базу с личными данными директоров туристических компаний России и СНГ за 16 тыс. рублей (по рублю за контакт), рассказал, что в среднем покупатели данных появляются регулярно раз в неделю.
"Чаще всего в продажу поступают контактные данные руководящих лиц. Клиентами в основном являются представители небольших бизнесов, которые используют информацию для работы в своей сфере. При этом источников сливов данных и заинтересованных лиц довольно много. Каждый ищет базу под свои нужды, поэтому вряд ли можно говорить о высокой конкуренции среди покупателей и продавцов", — рассказал он.
Среднюю сумму сделок и объем месячной выручки за продажу информации он сообщать не стал.
Еще один человек, предлагавший купить на форуме базу клиентов крупнейшего украинского ПриватБанка, представился обычным контактным звеном, который принимает покупателей, а затем отсылает их к "селу" (продавцу). При этом прямых продаж у него никогда не было, поэтому о расценках он сообщить не может.
"У меня много баз. У ПриватБанка на 700 тыс. клиентов и есть на 3 млн клиентов. Я всего-навсего посредник, есть люди, которые добывают данные", — рассказал он.
Более подробные сведения он сообщать отказался.
"В России базы данных клиентов часто "утекают" в результате действий инсайдеров, то есть самих операторов данных. В первую очередь речь идет о людях, которые работают с данными, — администраторы баз данных, операционисты. Из-за низкой оплаты труда этих людей злоумышленники могут подкупить их для кражи данных. Базу клиентов могут слить те, кто имеет к ней доступ, например менеджеры по продажам или ИТ-специалисты. В нашей практике были случаи расследования сговора внутри компании, когда уходящая целым составом команда ИТ-специалистов продавала данные о бывшем работодателе киберпреступникам", — рассказал "ДП" Сергей Никитин из Group-IB.
На международной сцене, по данным компании, хакерские атаки регулярно совершаются на сети отелей, представителей ретейла, авиакомпании, онлайн-сервисы, в результате которых происходит копирование баз данных клиентов. Причем жертвами становятся весьма крупные и известные компании, такие как Uber, British Airways, Marriott.
По словам Юрия Брюквина, покупателями баз часто являются финансовые брокеры или представители финансовых организаций, которые хотят привлечь к себе клиентов конкурентов.
"Получая такую базу, вы уже сразу знаете, что предложить человеку. Например, кредит на более выгодных условиях, чем у него есть сейчас", — объяснил он.
"Банк не виноват"
Банки и компании используют самые разные способы защиты, указывает Вураско. Это и антивирусные решения, затрудняющие проведение атак на банки, и DLP-системы, предназначенные для защиты от утечек информации, и автоматизированные антифрод-продукты, нацеленные на предотвращение мошеннических операций. Конкретная конфигурация системы информационной безопасности и поставщики применяемых решений могут сильно варьироваться от организации к организации. Здесь немаловажную роль играют и такие факторы, как бюджет на безопасность, количество сотрудников, особенности инфраструктуры и т.д. Сергей Никитин к этому списку добавляет также обучение сотрудников цифровой гигиене и мероприятия по повышению корпоративной культуры. Но, даже несмотря на наличие огромного количества высококлассных и защитных антивирусных решений, защититься все же от всех атак и утечек невозможно.
"Нужно понимать, что чаще всего банки не виноваты в утечке данных клиентов. Проблема в дырявой защите различных платежных систем. Существует огромное количество интернет-магазинов, которые создают сайты "на коленке" и совсем не заботятся о сохранности данных пользователей. Злоумышленникам ничего не стоит получить к ним доступ. Затем такая информация коллекционируется от сайта к сайту и сортируется по банкам. Так создается база", — объясняет Юрий Брюквин.
При этом, если банк или какое-либо учреждение, несмотря на все меры защиты, допустит утечку, никто не снимет с него ответственности по закону.
"Данные о клиентах зачастую являются информацией, которая позволяет идентифицировать физических лиц. На лице, которое собирает, хранит или иным образом обрабатывает такие данные, лежит обязанность соблюдать установленные законом о персональных данных требования к такой обработке, в частности соблюдать режим конфиденциальности, получать согласие обладателя персональных данных на передачу данных третьим лицам. Право на конфиденциальность персональных данных является важнейшим правом субъекта персональных данных. За нарушение правил обработки персональных данных предусмотрена административная ответственность", — объяснила юрист Екатерина Смирнова, руководитель практики по интеллектуальной собственности и информационным технологиям компании "Качкин и партнеры".
Кстати, самые яркие скандалы уходящего года были как раз во многом связаны с утечкой баз данных или использованием их третьими лицами. Например, громкий случай произошел весной этого года, когда выяснилось, что базы данных Facebook использовала компания Cambridge Analytica для анализа политических предпочтений пользователей и использования их в президентских выборах.
"Вопрос использования данных был подробно рассмотрен в нашумевшем споре между администрацией социальной сети "ВКонтакте" и обществом с ограниченной ответственностью "ДАБЛ". "ВКонтакте" обратилось в суд с иском к "ДАБЛ" о запрете использования данных пользователей в социальной сети. "ДАБЛ" обрабатывало открытые данные пользователей социальной сети и использовало их для оценки кредитоспособности пользователей как потенциальных заемщиков. Как в первой, так и в апелляционной инстанции суд признал, что социальная сеть "ВКонтакте" содержит в себе базу данных, право на которую может охраняться в соответствии со ст. 1260 ГК РФ. Сейчас дело направлено на новое рассмотрение", — рассказала Екатерина Смирнова.
Также юрист указала, что даже в случае ликвидации компании никто не снимет законную ответственность за утечку информации. По закону до завершения ликвидации руководство компании обязано уничтожить и обезличить базы данных клиентов. Если такую процедуру не осуществят, то теоретически к ответственности могут привлечь ликвидатора компании.
