Утечка персональных данных: как теряют сведения о казахстанцах и чем это грозит

В 2023 году KZ-CERT АО «Государственная техническая служба» (ГТС) сообщила об увеличении количества кибератак в Казахстане. По статистике ведомства, число инцидентов в сравнении с прошлым годом увеличилось вдвое. Особое внимание ГТС обращает на уязвимость персональных данных. В связи с новыми угрозами в законодательство были внесены изменения и дополнения по вопросам информационной безопасности, информатизации и цифровых активов. В частности, граждане Казахстана получили право на добровольный отказ от получения банковских займов и микрокредитов.

Кража личных данных — мировая тенденция

Согласно данным поставщика VPN-сервиса Surfshark, который также занимается аналитикой киберугроз, за 2023 год произошла утечка почти 300 млн учётных записей. Ежедневно атакам подвергаются различные отрасли. Компании, связанные с IT-индустрией, постоянно оценивают вероятные угрозы и составляют рейтинг самых уязвимых сфер. В 2023 году компания IBM поместила на вторую строчку, после производства, сферу финансов и страхования.

Персональные сведения о клиентах финансовых организаций зачастую становятся добычей хакеров и мошенников. Один из самых известных случаев произошёл в 2019 году. Тогда First American Financial Corporation допустила утечку 885 миллионов заявок на кредитные карты, содержащих финансовые и личные сведения. Сообщается, что всего за последние 18 лет из индустрии в открытый доступ попало около 2 млрд записей. В первой половине 2023 года 23,6% фишинговых атак были направлены на финансовую сферу, сделав её основной жертвой подобных атак. 

Фишинг – вид интернет-мошенничества. Его цель — кража личных данных. Реализуется через отправку электронных и текстовых сообщений от имени якобы подтверждённых источников. В письме содержится вредоносная ссылка.

При этом всего один инцидент обходится финансовой организации примерно в 5,9 млн долларов. Именно такую сумму оплатил Flagstar Bank из-за взлома Accellion File Transfer Appliance (система передачи файлов) и утери данных 1,5 млн клиентов. Отметим, что потеря личной информации также возможна в секторах розничной торговли, образования и медицины.

Как теряют личные данные казахстанцев

2019 год — утечка данных казахстанских избирателей

Дата: июль 2019 года

Кто сообщил: Центр анализа и расследования кибератак (ЦАРКА)

Пострадавших: 11 миллионов

Данные: ФИО, адрес проживания, ИИН, номер паспорта

В ЦАРКА сообщили что в базу попали буквально все совершеннолетние казахстанцы и информацию может получить любой желающий. Центр выложил скриншот одной из таких анкет в Facebook.

Чуть позже организация оповестила, что ответственность за утечку лежит на Центральной избирательной комиссии (ЦИК), делом занялись правоохранители, а уязвимость была устранена примерно через сутки. 

Примечательно, что в начале 2020 года МВД РК сообщило о прекращении уголовного дела «из-за отсутствия состава уголовного правонарушения». В МВД посчитали, что «в ходе расследования указанные сведения с данными граждан Казахстана не обнаружены».

2021 год — утечка данных казахстанских пользователей Telegram

Дата: июль 2021 года

Кто сообщил: Государственная техническая служба (ГТС)

Пострадавших: всего 744 тысяч записей, более 30 тысяч из них числится за казахстанцами

Данные: ID пользователя, имя, фамилия, номер телефона и описание из графы «о себе»

ГТС обнаружила уязвимость в ходе мониторинга казахстанского сегмента интернета. На одном из Telegram-каналов содержалось 744 тыс. записей о клиентах мессенджера и более 30 тыс. аккаунтов были зарегистрированы на казахстанские телефонные номера. Найденный файл описывают как базу клиентов платформы «Глаз Бога».

«Глаз Бога» — российский сервер и Telegram-бот по поиску персональной информации. В июле 2021 года российский суд по требованию Роскомнадзора признал деятельность бота незаконной, однако он продолжает работу.

В 2023 году на пленарном заседании мажилиса депутаты напомнили МЦРИАП РК о возможности несанкционированного доступа к данным казахстанцев через Telegram. В ответ вице-министр цифрового развития Малик Олжабеков сообщил, что ведомство направило заявку о блокировке в Министерство культуры и информации, а также ведёт работу по выявлению источников из которых сведения попадают в открытый доступ.

2023 год — утечка данных клиентов «Спортмастер»

Дата: начало 2023 года

Кто сообщил: Государственная техническая служба (ГТС)

Пострадавших: 260 тысяч

Данные: имена, даты рождения, номера телефонов и адреса электронной почты

Утечку допустила сеть спортивных магазинов «Спортмастер». Файл содержал информацию, собранную с 2012 по 2018 год. Компания признала инцидент, отметив, что он не затронул логины и пароли пользователей, платёжную информацию, а также учётные данные сотрудников. По предварительной версии, утеря данных могла произойти по вине подрядчика, имевшего доступ к системе.

2023 год — фишинговый NCALayer

Дата: сентябрь 2023 года

Кто сообщил: Государственная техническая служба (ГТС)

Пострадавших: неизвестно

Данные: любые, набранные с помощью клавиатуры

ГТС выявила фишинговый интернет-ресурc ncalayer.info/update.php, который под видом обновления для NCALayer (приложение для подписания запроса на получение госуслуг) загружает и запускает вредоносную программу. На компьютер устанавливается вредоносное программное обеспечение Venom RAT v6.0.1с функцией кейлоггера.

Кейлоггер — «клавиатурный шпион». Считывает информацию, которую пользователь набирает на клавиатуре. Так злоумышленники могут получить доступ к адресам, паролям и другой конфиденциальной информации.

В обзоре состояния кибербезопасности Казахстана 2023 Государственная техническая служба сообщила об увеличении количества инцидентов, связанных с личными данными. В качестве причины ведомство назвало инфостилеры (вредоносные программные обеспечения), которые активно используют мошенники.

2024 год — секретные данные китайской компании iSoon содержали сведения о Казахстане 

Дата: февраль 2024 года

Кто сообщил: ЦАРКА, Государственная техническая служба (ГТС), СМИ

Пострадавших: неизвестно

Данные: ФИО, адрес проживания, электронный адрес, номер телефона, данные о передвижении, список вызовов, переписка, IMEI устройств и т.д.

В феврале 2024 года Центра анализа и расследований кибератак опубликовал отчёт о появлении на ресурсе GitHub китайского поставщика средств кибербезопасности iSoon. Компания также является подрядчиком Министерства общественной безопасности Китая (MPS). В слитых файлах нашлись записи о Казахстане, причём их объём и качество, по мнению ЦАРКА, свидетельствует о том, что, как минимум, одна хакерская группировка на протяжении более двух лет имела доступ к инфраструктуре операторов связи. Так, в материалах содержались базы telecom.kz, kcell.kz, tele2.kz, beeline.kz.

В ГТС по этому поводу разъяснили, что неправомерный доступ к данным был получен иностранной хакерской группировкой ещё в 2021 году. В 2022 совместно с КНБ её деятельность была выявлена, и на данный момент преступники находятся в розыске. Причиной проникновения специалисты назвали грубое нарушение мер безопасности со стороны самих операторов.

В документах также упоминались Air Astana и ЕНПФ. В апреле 2024 года Казахтелеком и Air Astana привлекли к административной ответственности по пункту 2 части 1 статьи 641 КОАП РК. Суд обязал обе компании выплатить штраф и устранить нарушения в течение года.

2024 год — утечка данных клиентов микрофинансовых организаций

Дата: март 2024 года

Кто сообщил: Государственная техническая служба (ГТС)

Пострадавших: более 2-х миллионов

Данные: ФИО, телефон, email, данные удостоверения личности, адреса регистрации и проживания, сведения о работе, а также данные банковских карт и банковских счетов

Информация о клиентах организации Zaimer.kz оказалась в открытом доступе в Telegram.

В ГТС пояснили, что инцидент произошёл в результате взлома инфраструктуры (Robo Finance) (robo.finance) — материнской экосистемы поддерживающей многие МФО, в том числе zaimer.kz. Подобные платформы часто подвергаются атакам, и ранее специалисты уже выявляли работу поддельных сайтов, связанных с МФО. При переходе на домены пользователям предлагалось получить денежный займ в одной из компаний, связанных с Robo Finance. 

Отметим, что случай с zaimer.kz стал первым, когда МЦРИАП уведомило граждан об утечке данных посредством мобильного приложения EgovMobile. Интересно, что в некоторых случаях уведомление пришло и тем, кто ни разу не пользовался услугами МФО. Гражданам, которые не давали согласие на обработку данных ТОО «МФО “Робокэш.кз», в МЦРИАП посоветовали обратиться в Комитет по информационной безопасности. 

По итогам в МЦРИАП поступило 5200 жалоб на действия МФО. В ведомстве обратили внимание, что пострадавшие также могут обратиться в суд с иском в отношении «МФО “Робокэш.кз» о возмещении морального вреда. Пока организация привлечена к административной ответственности и получила наказание в виде штрафа 1,9 млн тенге.

Чем опасна утечка личных данных для казахстанцев

При поиске информации о последствиях утери персональных данных мы обратили внимание, что среди специалистов по кибербезопасности принято обсуждать негативные сценарии для организаций, допустивших утечку (1, 2, 3, 4). Это, в первую очередь, финансовый и репутационный риски. Причём финансовая сторона не ограничивается штрафом за нарушение законодательства, а может включать существенную компенсацию пострадавшим и дорогостоящее восстановление работы.

Что касается ущерба физическим лицам, то он разнообразен и часто прямо или косвенно связан с денежными потерями. В 2023 году из 51 067 зарегистрированных случаев мошенничества в Казахстане 23 800 были связаны с интернет-мошенничеством и 288 с использованием платёжных карт. Ниже перечисляем некоторые из угроз, которые следуют из утечки персональных данных.

1. Из доклада ГТС видно, что атаки хакеров нередко направлены на кражу банковских данных (номер карты, CVV), либо на персональную информацию, которая подходит для совершения банковских операций (ФИО, ИИН, дата рождения). В первом случае злоумышленники могут пользоваться деньгами жертвы, а во втором оформить на её имя денежный заём либо банковскую карту для последующих финансовых махинаций. В отчёте Федеральной торговой комиссии США среди типов краж персональных данных лидируют кредитные карты. Впоследствии сведения, подходящие для онлайн покупок и «физического использования» (снятие наличных денег), можно найти в DarkNet. 
2. В последнее время участились случаи преступных попыток «развести» жертву на добровольное оформление кредита. В случае успеха злоумышленники просят перевести средства на подставной счёт. При такой схеме преступники владеют большим спектром данных, включая наличие действующего или погашенного кредита. В зависимости от ситуации человека пугают либо просрочкой, либо фейковым договором с организацией, в которой он обслуживался ранее. 
3. ФИО, номер телефона и адрес электронной почты кажутся малозначительной информацией, однако их попадание в «слитые базы» может стать неприятным сюрпризом. Мошенники часто используют такие списки для фишинга и вишинга и, владея небольшой долей сведений, с лёгкостью выманивают у жертвы всё необходимое. В 2023 году Агентство РК по регулированию и развитию финансового рынка назвало фишинг и вишинг самыми распространёнными способами обмана. 
4. ГТС отмечает, что при утечке записей злоумышленники могут завладеть логинами и паролями от социальных сетей, почты и так далее. Это создаёт большое количество разнообразных угроз вплоть до уголовного преследования жертвы. Чужие аккаунты могут быть использованы для вымогательства денежных средств, массовых вредоносных рассылок, угроз и знакомств с преступной целью. В случае обнаружения конфиденциальной информации или тайной переписки преступники, как правило, требуют у жертвы выкуп за неразглашение, либо продают сведения недоброжелателям.
5. Злоумышленники также могут воспользоваться данными о знакомых и родственниках (особенно пожилых), которые обычно хранят финансовые и медицинские учреждения. Мошенники часто сообщают людям о несчастных случаях и других неприятных ситуациях, произошедших с их близкими, требуя срочных финансовых решений.