Group-IB: в России 7,5 тыс. баз данных находится в открытом доступе. Как мошенники на этом зарабатывают и что делать, чтобы себя обезопасить

Что происходит

Около 400 тыс. баз данных со всего мира находится в открытом доступе, выяснила компания Group-IB, которая занимается предотвращением кибератак. 

• Большинство из них хранятся на серверах в США, Китае, Германии, Франции и Индии, Россия также вошла в десятку. 
• В РФ, по данным компании, в открытом доступе находится около 7,5 тыс. баз данных. 
• Эксперты утверждают, что с момента обнаружения базы до изъятия ее из публичного доступа в России проходит в среднем 250 дней, в мире же эта процедура происходит быстрее — в среднем 170 дней. 
• Средняя стоимость утечки данных для одной компании составляет $4,24 млн, подсчитали эксперты. В совокупности в 2021 году международные компании были оштрафованы почти на $1,2 млрд из-за утечек данных пользователей. 

Почему это важно

Базы данных есть у подавляющего большинства сервисов или организаций, от банка до кинотеатра. Незащищенные базы — легкая добыча для преступников и мошенников, предупреждают эксперты.

• Данные могут использовать для рассылки спама, создания фишинговых сайтов, мошеннических звонков, а также для совершения хакерских атак.
• Например, зная ФИО, возраст, номер телефона и источник утечки данных, злоумышленник может позвонить жертве, убедительно изобразить сотрудника банка и получить доступ к ее счетам. Услышав информацию о себе или о родственниках, люди легче поддаются внушению, особенно пожилые.
• Хакер может узнать телефон сотрудника компании и позвонить ему, представившись системным администратором, который проводит технические работы. Затем в подобных схемах часто просят выполнить несколько действий на рабочем компьютере жертвы, чтобы получить доступ к системам организации.
• Если в открытый доступ утекла база данных с паспортными данными, вариантов афер еще больше. Например, мошенники могут оформить поддельную доверенность, с ее помощью сделать дубликат сим-карты жертвы и через нее получить доступ к аккаунтам в соцсетях и банковским приложениям человека. 

Тенденция

Персональные данные граждан регулярно попадают в открытый доступ или оказываются товаром на черном рынке. Как отмечают СМИ, найти адрес бывшей девушки или конкурента по бизнесу не составит большого труда. 

• Например, в марте один из крупнейших сервисов доставки «Яндекс.Еда» сообщил об утечке данных тысяч пользователей. По вине одного из сотрудников в Сети оказались телефоны клиентов, адреса и сведения об их заказах, в том числе состав и время доставки. Некоторые пользователи решили, что нет ничего страшного в том, что кто-то узнает об их любви к блинчикам с картошкой. Однако другие отметили, что эта информация может позволить мошенникам составить представление о доходах человека, времени, когда он бывает дома, и, например, организовать ограбление.
• В 2019 году на черном рынке оказалась база данных с информацией о владельцах карт Сбербанка. В СМИ писали о 60 млн утекших учетных записей, в банке признали утечку 5 тыс. — также по вине сотрудника. В даркнет попали номера карт и телефоны пользователей.
• В 2020 году в открытом доступе оказалась база с 235 млн аккаунтов Instagram*, TikTok и YouTube. В ней были имена, контакты, фотографии и статистика о подписчиках. Эксперты отметили, что это «ценная информация» для спамеров и киберпреступников.
• В апреле 2021 года хакеры опубликовали в Сети личные данные более 500 млн пользователей Facebook*. База содержала номера телефонов, полные имена, даты рождения и различные данные о биографии 533 млн человек. 

Что делать

От утечки данных, как показывает практика, не застрахован никто, например хакеры «слили» в Сеть даже телефон миллиардера Марка Цукерберга. Эксперты рассказали, что делать в такой ситуации.

• Участившиеся спам-сообщения и многочисленные звонки от неизвестных номеров — знак того, что ваши данные попали в открытый доступ, объяснил юрист. 
• Кроме того, существуют и сервисы по проверке безопасности данных, но необходимо быть осторожным, советует эксперт. По его словам, такие ресурсы могут тоже оказаться мошенническими и под предлогом защиты данных собирать их для продажи.
• ТАСС предлагает воспользоваться сервисом haveibeenpwned.com, однако предупреждает, что он может «знать» не обо всех утечках.

Если данные действительно утекли, то, во-первых, эксперты советуют быть бдительнее, не доверять спамерам и не переходить по подозрительным ссылкам.

• Если утечка коснулась паролей от страниц в соцсетях, то нужно их поменять и убедиться, что они не используются на других сервисах и сайтах. 
• Эксперты советуют также сменить пароль от электронной почты. В крайних случаях придется поменять номер телефона, банковскую карту и паспорт.
• Если есть опасения, что персональные данные использовали для совершения преступления, юрист советует написать заявление в правоохранительные органы. Например, если паспортные данные используют для оформления кредита, то заявление о совершении преступления может послужить доказательством, что оформление было незаконным.
• Чтобы сайты со слитыми данными заблокировали, можно написать в Роскомнадзор. Но если речь идет о крупной утечке, о которой компания заявила официально, она примет меры самостоятельно.

Для похитителей баз с данными предусмотрены наказания в Уголовном кодексе РФ вплоть до лишения свободы, а для компаний, которые допустили утечку, — административные штрафы. Это от 25 тыс. до 50 тыс. рублей для юрлиц.

*Продукты компании Meta, признанной экстремистской в России.