В России среди компаний, теряющих данные клиентов, по количеству инцидентов лидируют телекомы. Впрочем, вряд ли у операторов связи защита персональных данных менее надежна, чем в других структурах, просто на телефонные номера всегда имеется спрос. Поэтому неудивительно, что и российская история утечек из коммерческих баз началась с того, что в 1992 году в Москве появились диски с данными абонентов МГТС. Примечательно (если не возмутительно), что «продукт» регулярно обновляется и его можно приобрести по сей день.
Затем по очереди была украдена клиентская база у каждого из ведущих сотовых операторов. Журналисты все чаще стали задавать компаниям неприятные вопросы. В частности, интересовались, зачем операторам связи нужно собирать так много персональной информации о клиентах, учитывая, что большая их часть не может стать должниками из-за предоплатной схемы работы. Представители одного из телекомов сослались на некую инструкцию тогда еще Главгоссвязьнадзора, существование которой само ведомство отрицает. Самые горячие головы и вовсе считают, что за подобные трюки надо лишать лицензии на оказание услуг сотовой связи. В лицензиях операторов действительно имеется пункт об ограниченном доступе к информации об абонентах. Впрочем, если бы за нарушение этого пункта власти действительно отбирали лицензию, то Россия очень скоро осталась бы вообще без мобильной (да и стационарной) связи.
По итогам доведенных до конца расследований можно сделать вывод, что к троянам и прочим техническим ухищрениям для кражи персональных данных у нас прибегают редко. Как правило, базы просто забираются на флэшке бывшими (а в отдельных случаях и нынешними) сотрудниками, имеющими доступ к информации. А разнообразные правила, согласно которым запрещается вынос дисков и прочих носителей или они подлежат проверке, не создают особых проблем злоумышленникам. В частности, практически нигде не досматривается содержимое накопителей в мобильных телефонах.
Сейчас на «рынке» баз больший интерес вызывают данные не абонентов, а заемщиков, появление которых было обусловлено введением кредитных историй. О первом случае утечки стало известно в августе прошлого года, когда на адреса нескольких банков и бюро кредитных историй пришел спам. Неизвестные предлагали базу на 700 тысяч людей, бравших потребительские кредиты. Помимо контактных данных, записи содержат сведения о покупке и выданном кредите с указанием суммы, размера ежемесячного платежа, просрочек и наложенных на должника санкций. За все это великолепие продавцы просили 90 тысяч рублей. В сентябре представитель Национального бюро кредитных историй заявил, что утечка произошла из двух или трех банков, названия которых озвучены не были.
Через пару недель после инцидента на Митинском радиорынке появилась база данных о трех тысячах неблагонадежных заемщиков банка 1 ОВК (в настоящее время приобретен Росбанком), которую можно было купить за 900 рублей. Интересно, что продавцы обещали вскоре предложить своим клиентам базу о 3 млн. заемщиков, которую уже успели окрестить «Антикредит». Свое слово митинские распространители сдержали. В чужие руки попала почти треть всех российских кредитных историй. «Антикредит» оказался не только в несколько раз больше по объему, но и более подробным, чем первые базы. Были указаны имена заемщиков, контактные телефоны, домашние адреса, места работы, причины попадания в черный список, такие как просрочка по кредиту или отказ в его выдаче, а также (sic!) банки-источники информации. Стоила база ненамного дороже — 2 тысячи рублей.
Интересно, что теоретически в утечке заинтересованы и сами банки, которым выгоднее пользоваться нелегально добытой базой, нежели делать платные запросы в бюро кредитных историй и несколько дней ждать ответа.
Самим заемщикам, абонентам, клиентам, налогоплательщикам, автолюбителям и пр., в общем, нам с вами, увы, практически нереально призвать к ответственности компании или госучреждения, которые не смогли уберечь наши личные данные и сделали их объектом свободной купли-продажи. Хотя законодательство признает пострадавшими лиц, чьи данные не были защищены должным образом, и допускает обращение в суд с требованием возместить ущерб. Но выиграть такое дело непросто, поскольку для этого нужно, во-первых, предоставить документ, в котором организация обязалась не распространять вверенные ей персональные данные, а достать его во многих ситуациях проблематично, а во-вторых, надо доказать, что виновником утечки является именно ответчик. Сделать это, разумеется, тоже сложно и дорого.
Недавно вступивший в силу закон закрепляет обязательства каждой организации, владеющей персональными данными, по обеспечению их конфиденциальности. Нельзя сказать, что этот нормативный акт привнес что-то кардинально новое, скорее он унифицировал ранее разрозненные требования к защите личных данных. Лица, нарушившие эти требования, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. При нарушении положений закона любая компания может быть лишена лицензии на свою деятельность и подвергнута судебному преследованию со стороны пострадавших. Но все это можно было проделать и раньше, однако почему-то не делалось.