Взлом сайта Государственных слуг и последствия для граждан
01.02.2022Компания по производству систем борьбы с утечками данных DeviceLock провела исследование, которое показало постоянно возрастающее предложение продажи данных аккаунтов портала Госуслуг в даркнете. По мнению экспертов, растущий интерес мошенников прямо пропорционален к количеству услуг, предлагаемых порталом. Перечень услуг постоянно расширяется, тем самым расширяя и возможности мошенников для их незаконной монетизации.
Каждый аккаунт на Госуслугах несет в себе огромное количество личной информации о человеке. В личном кабинете пользователя прописаны паспортные данные, номер водительского удостоверения, СНИЛС, ИНН, ОМС, банковские карты и электронная цифровая подпись, позволяющая проводить определённые сделки. Получая такие данные, мошенники могут провести за вас самые разные финансовые операции. Кроме того, даже если у мошенников нет цели напрямую похитить ваши денежные средства, они могут продать ваши данные социологам, маркетологам и рекламщикам, для которых такая информация будет иметь безусловный интерес.
«Сегодня достаточно много услуг можно получить без личного присутствия, только по данным документов, чем и пытаются воспользоваться злоумышленники. Кроме того, информация из аккаунта на «Госуслугах» — просто подарок для тех, кто занимается социальной инженерией», — рассказал руководитель службы информационной безопасности финтех-компании RBK.money Алексей Пронин.
Чаще всего, по мнению экспертов, мошенники осуществляют взлом учётных записей на Госуслугах в целях получения финансовой выгоды непосредственно, либо для перепродажи учётных данных для рекламных целей. Покупатели на такую информацию найдутся всегда. При этом маркетологи и рекламщики предпочитают покупать аккаунты массово, по принципу «чем больше зона поражения – тем больше шанс на достижение рекламных целей и получение новых клиентов».
«Аккаунты покупают в большом количестве, поскольку не каждый может принести прибыль. А взломав 100 тыс. аккаунтов в автоматическом режиме и продав их по 50 рублей за штуку, мошенники могут извлечь прибыль в районе 5 млн рублей», — объяснил ведущий инженер CorpSoft24 Михаил Сергеев.
Чем грозит взлом учетной записи на Госуслугах
Доступ посторонних лиц к учётной записи на Госуслугах, без сомнения, крайне опасен для владельца этой учётной записи. С непрерывно расширяющимся спектром услуг, оказываемым порталом, мошенники имеют широкое поле для монетизации своих стараний. Самой очевидной опасностью является взятие кредита на владельца взломанного аккаунта. Мошенник имеет для этого все персональные данные. В серьезных банках, где уже давно используется биометрия, кредит взять получится вряд ли, а вот у не отличающихся щепетильностью в ведении бизнеса МФО это вполне можно сделать. Кроме того, известны случаи взятия кредитов непосредственно у онлайн магазинов. В этой ситуации магазин просто отгружает товар в счет кредита мошеннику, а потом пытается вернуть долг у пострадавшего владельца учётной записи. Если владелец аккаунта категорически отвергает какие-либо попытки договориться, то магазин идет в суд, либо сбрасывает долг коллекторам, которые, разумеется, будут разговаривать с «заемщиком» совершенно иначе.
Впрочем, оформление левого кредита на пострадавшего – это ещё мелкие беды. С появление на Госуслугах опции квалифицированной электронной подписи (КЭП) владельцев взломанных аккаунтов могут ждать проблемы куда более серьезные. КЭП участвует в сделках с автомобилями и недвижимостью, и экспертам уже известны случаи, когда мошенники, получив КЭП владельца аккаунта, переоформляли в свою собственность его недвижимость, а потом её продавали.
«Меньшее, с чем можно столкнуться после взлома аккаунта, — это необходимость посещения офиса «Мои документы». Если же злоумышленникам удастся реализовать свои планы, жертва может вскоре обнаружить, что на неё записаны штрафы или кредиты», — прокомментировал технический директор Trend Micro в России и СНГ Михаил Кондрашин.
Основная проблема в кредитах, взятых на владельца аккаунта, заключается в том, что владелец зачастую даже не знает об этом. Существуют примеры, когда людей, собирающихся на отдых, разворачивали в аэропорту, уведомляя их о задолженностях. Напомним, что, по законодательству РФ, каждый гражданин имеет право два раза в год бесплатно проверять свою кредитную историю в Бюро кредитных историй. К сожалению, пользуется этим правом далеко не каждый.
Более редкими способами монетизировать Госуслуги являются попытки получения субсидий, либо дистанционное участие в судебных процессах с отчуждением судом у жертвы какого-либо имущества.
«Можно инициировать фальшивый судебный спор, по которому жертва просудит то или иное имущество. В дальнейшем ей будет трудно доказать свою непричастность к процессу», — пояснила адвокат Виктория Бессонова.
Как защитить свой профиль на Госуслугах
В принципе, учётную запись на Госуслугах взломать невозможно. Сервис надежно защищен от любых посягательств, и успешных попыток взлома с нуля на данный момент не зафиксировано. Однако всегда остается человеческий фактор. Люди сами, по легкомысленности и неосторожности, облегчают мошенникам задачу. Самый простой способ похитить чужую учётную запись – это отправить фишинговое письмо, внешне очень похожее на официальное уведомление с портала Госуслуг. Жертва видит письмо, автоматически открывает его, и переход по ссылке автоматически позволяет мошенникам узнать ваши авторизационные данные. Поэтому каждое полученное письмо нужно очень внимательно читать перед переходом на предлагаемые там ссылки, а также надо тщательно сверять адреса ссылок и с адресом настоящего портала госуслуг. Мошенники могут поменять в адресной строке ссылки одну букву (к примеру, gosulsugi.ru\xxxxxxxxxx), и невнимательный пользователь, перейдя по ссылке, сам отправит аферистам свои персональные данные.
Отдельными советами можно выделить напоминания не устанавливать незнакомое ПО, не передавать доступ к учётной записи третьим лицам. В общем, соблюдать вполне очевидные меры предосторожности. Кроме того, эксперты советуют активировать на Госуслугах опцию двухфакторной авторизации. А точнее невозможность зайти на учетную запись без подтверждающего кода с смс-сообщения. Опыт показывает, что этот простой ход очень сильно минимизирует риски быть взломанным и гарантирует безопасность вашей учетной записи.
«Используйте сложные уникальные пароли для каждого сайта и сервиса, следите за безопасностью своей электронной почты, к которой привязаны онлайн-банки, личные кабинеты, социальные сети и другие сервисы. Не заходите в аккаунт с чужих устройств, через публичные сети Wi-Fi», — подвел итог Алексей Пронин.
Как защитить аккаунт на «Госуслугах» от мошенников
Вот три совета от Алексея Лукацкого, которые помогут защитить аккаунт на «Госуслугах»:
1. Включить двухфакторную аутентификацию, выбрать вход на портал не только по логину и паролю, но и СМС-коду.
2. Удалить банки, Микрофинансовые организации подобные компании, у которых есть доступ к персональным данным с «Госуслуг».
3. Регулярно, раз в несколько месяцев менять пароли. Не только на «Госуслугах», а на всех сервисах. Важный момент в паролях,– это их длина, уверен эксперт. Нужно устанавливать максимально длинные пароли – выше 12–14 знаков.
Как отозвать ненужные согласия на портале Госуслуг
1. Нажать на свое имя.
2. Выбрать «Согласия». Высветится перечень ведомств и компаний, которым предоставлено согласие на обработку персональных данных.
3. Нажать на согласие, которое нужно отозвать. На открывшейся странице выбрать «Отозвать согласие».
Что делать, если аккаунт взломан
Если неизвестные взломали аккаунт, нужно срочно восстановить к нему доступ. Это можно сделать, придя с паспортом, в МФЦ, отделении банка или почты.
Если мошенники уже оформили кредит, незамедлительно идите в полицию и напишите заявления. Сейчас в банках повсюду установлены камеры видеонаблюдения, поэтому вероятность, что злоумышленников найдут, очень высокая, считает адвокат Евгения Колесникова.
Позитивная новость в том, что пользователь «Госуслуг», на чье имя оформили кредиты, может доказать, что это сделал не он. Тогда платить по чужим долгам не придётся. Так, Анастасия Павлович, которая оказалась должна 20,5 тысячи рублей за свой, но чужой кредит, сейчас ждёт заседания суда, который снимет с нее долговые обязательства.
Чтобы доказать непричастность, женщина предоставила перечень мест и времени, в которое злоумышленники входили в ее личный кабинет на портале Госуслуг, а также выписки из своих банков о том, что на ее счета не поступали эти деньги.
Правоохранительные органы установили, в каком банке на имя девушки открыли кредит, а также определили, что взломал «Госуслуги» и оформил кредиты один и тот же человек.
