🖥 Российский рынок краденых персональных данных перешел в «режим тишины», пишет РБК. Молчание об утечках стало самостоятельным товаром, утверждает издание, и заинтересованы в нем обе стороны: и компании-жертвы, и злоумышленники.
🔺Контекст
Недавно Роскомнадзор отчитался, что с начала 2025 года не выявил ни одной повторной утечки персональных данных. А значит, не было и повода для новых оборотных штрафов. А «Коммерсант» в июле со ссылкой на данные аналитиков писал, что в первой половине 2026-го утечек было в 4 раза меньше по числу баз и в 22 раза меньше по объему данных, чем в первой половине 2025-го.
🔺Получается, утечек стало меньше?
Может, и так. Но у собеседников издания есть другая гипотеза: поменялся рынок. Хакеры перестали выкладывать украденные базы в открытый доступ под названиями компаний и вместо этого берут с бизнеса деньги за неразглашение. Инсайдеры, которые продали данные, просят посредников не указывать название организации-источника и выставлять базу под обезличенным описанием: «клиенты фитнес-клуба» вместо названия конкретной сети, «данные туроператора» без упоминания бренда.
Ту же базу могут намеренно разбить на несколько частей, чтобы по структуре файлов никто не вычислил источник. Один из собеседников РБК приводит в пример августовскую утечку данных клиентов сети DDX Fitness: фотографии посетителей со стоек регистрации попали в боты для «пробива» за две недели до публичного скандала, а сама компания факт утечки не подтвердила.
🔺Почему так происходит?
Раскрытие информации перестало быть выгодным для всей цепочки, от хакера и жертвы до подрядчиков и площадок, где раньше выкладывали краденые данные. Руководитель департамента прогнозирования атак Positive Technologies Вадим Соловьев объясняет мотив бизнеса деньгами: раскрытая повторная утечка стоит до 500 млн руб. оборотного штрафа, а тихая договоренность с вымогателем обходится ощутимо дешевле.
«Штраф, задуманный как стимул лучше защищаться, для незрелых с точки зрения безопасности организаций превращается в стимул скрывать инцидент», — говорит он.
При этом угроза огласки стала для злоумышленников дополнительным рычагом давления: они грозят не только продать данные, но и сообщить об утечке регулятору.
🔺А молчать вообще безопасно?
Не совсем. По закону оператор обязан уведомить РКН об утечке в течение 24 часов, а на отчет о внутреннем расследовании у него есть 72 часа. За неуведомление юрлицу грозит от 1 млн до 3 млн руб. еще до всякой проверки. Поводом для расследования становится что угодно: публикация в газете, пост в телеграм-канале, обращение гражданина, найденная в интернете база.
Компании все равно выбирают тишину, признает глава компании Privacy Advocates Алексей Мунтян. Они боятся скандала и попадания в план проверок: привлечение к ответственности поднимает уровень риска организации, а с ним и вероятность новых проверок.
Молчат не только те, у кого украли данные, но и их подрядчики с партнерами. Компания может не знать, что в базе, украденной у соседа, лежат доступы к ее системам. Через такого замолчавшего контрагента чаще всего и приходят к крупной компании, поэтому в итоге чужое молчание — риск и для нее тоже.
🔺Кто покупает данные, если их не выкладывают?
Главными покупателями украденных баз стали телеграм-боты для «пробива», которым нужны свежие массивы, чтобы обновлять выдачу. Рынок раздробился, но не исчез, а привлекать к ответственности его участников сложно: многие из них находятся за пределами России.
pravo.ru
🔺Контекст
Недавно Роскомнадзор отчитался, что с начала 2025 года не выявил ни одной повторной утечки персональных данных. А значит, не было и повода для новых оборотных штрафов. А «Коммерсант» в июле со ссылкой на данные аналитиков писал, что в первой половине 2026-го утечек было в 4 раза меньше по числу баз и в 22 раза меньше по объему данных, чем в первой половине 2025-го.
🔺Получается, утечек стало меньше?
Может, и так. Но у собеседников издания есть другая гипотеза: поменялся рынок. Хакеры перестали выкладывать украденные базы в открытый доступ под названиями компаний и вместо этого берут с бизнеса деньги за неразглашение. Инсайдеры, которые продали данные, просят посредников не указывать название организации-источника и выставлять базу под обезличенным описанием: «клиенты фитнес-клуба» вместо названия конкретной сети, «данные туроператора» без упоминания бренда.
Ту же базу могут намеренно разбить на несколько частей, чтобы по структуре файлов никто не вычислил источник. Один из собеседников РБК приводит в пример августовскую утечку данных клиентов сети DDX Fitness: фотографии посетителей со стоек регистрации попали в боты для «пробива» за две недели до публичного скандала, а сама компания факт утечки не подтвердила.
🔺Почему так происходит?
Раскрытие информации перестало быть выгодным для всей цепочки, от хакера и жертвы до подрядчиков и площадок, где раньше выкладывали краденые данные. Руководитель департамента прогнозирования атак Positive Technologies Вадим Соловьев объясняет мотив бизнеса деньгами: раскрытая повторная утечка стоит до 500 млн руб. оборотного штрафа, а тихая договоренность с вымогателем обходится ощутимо дешевле.
«Штраф, задуманный как стимул лучше защищаться, для незрелых с точки зрения безопасности организаций превращается в стимул скрывать инцидент», — говорит он.
При этом угроза огласки стала для злоумышленников дополнительным рычагом давления: они грозят не только продать данные, но и сообщить об утечке регулятору.
🔺А молчать вообще безопасно?
Не совсем. По закону оператор обязан уведомить РКН об утечке в течение 24 часов, а на отчет о внутреннем расследовании у него есть 72 часа. За неуведомление юрлицу грозит от 1 млн до 3 млн руб. еще до всякой проверки. Поводом для расследования становится что угодно: публикация в газете, пост в телеграм-канале, обращение гражданина, найденная в интернете база.
Компании все равно выбирают тишину, признает глава компании Privacy Advocates Алексей Мунтян. Они боятся скандала и попадания в план проверок: привлечение к ответственности поднимает уровень риска организации, а с ним и вероятность новых проверок.
Молчат не только те, у кого украли данные, но и их подрядчики с партнерами. Компания может не знать, что в базе, украденной у соседа, лежат доступы к ее системам. Через такого замолчавшего контрагента чаще всего и приходят к крупной компании, поэтому в итоге чужое молчание — риск и для нее тоже.
🔺Кто покупает данные, если их не выкладывают?
Главными покупателями украденных баз стали телеграм-боты для «пробива», которым нужны свежие массивы, чтобы обновлять выдачу. Рынок раздробился, но не исчез, а привлекать к ответственности его участников сложно: многие из них находятся за пределами России.
pravo.ru
Просмотры: 10