Утечки персональных данных могут превратиться в водопад

Фото pixabay.com

В июле в СМИ появилась информация об утечке в Сеть данных клиентов нескольких крупных российских банков и агрегатора билетов. Личная информация клиентов, а именно – сканы паспортов, данные о банковских платежах, билеты на самолеты и поезда, оказалась доступна в поисковой выдаче «Яндекса». Бизнес обеспокоен ситуацией и «запароливает» все доступы, однако простые пользователи могут не догадываться о том, что их файлы уже давно гуляют по Сети.

Компании, безусловно, отрицают свою вину и списывают утечки на действия третьих лиц, но факт остается фактом: все данные, хранящиеся в Сети, в том числе и на личных дисках, таких как «ЯндексДиск» и «Гугл-файлы», могут появиться в поиске. Причем это не первый случай слива персональной информации за последний месяц. Ранее, в начале июля, в поисковой выдаче «Яндекса» были обнаружены данные из Google Docs, в том числе личные пароли пользователей.

Подобные утечки связаны с неверным подходом владельцев сайтов к защите данных. Так, на сайтах многих компаний банально отсутствуют или расположены в неверных директориях файлы robots.txt, в которых устанавливаются параметры индексации содержимого для выдачи в поисковиках. Если в настройках сайта доступ к файлам не запрещен, данные будут проиндексированы поисковыми системами автоматически. Заблокировать доступ к разделам сайта могут только владелец или веб-мастер: «Яндекс» тут ни при чем.

Согласно аналитике Info-Watch, по числу утечек персональных данных Россия уступает только США, а на третьем месте антирейтинга находится Великобритания. По данным Identity Theft Resource Center, за 2017 год в мире зафиксировано 1579 сливов конфиденциальной информации – около 179 млн записей. Доля «российских» утечек от общего числа составляет примерно 14%. По разным источникам, от 80% до 90% инцидентов связаны с персональными данными и платежными данными пользователей – информации, представляющей особый интерес для мошенников, которые зачастую промышляют продажей конфиденциальных реестров на черном рынке. При помощи паспортных данных мошенники могут оформить кредит в финансовой организации, зарегистрировать фирму, совершать сделки с имуществом, покупать сим-карты, регистрироваться на сайтах. Примечательно, что в 68% случаев виновными в утечке информации оказались сотрудники компаний, в 8% – руководство организаций. Только за прошедший год число утечек конфиденциальных сведений из организаций в России увеличилось на 80%.

Рост числа утечек данных пользователей в Интернет связана с отсутствием в российских компаниях высококвалифицированных IТ-специалистов, ведь не каждая российская компания может позволить себе держать в штате амбициозных IТ-специалистов с хорошим уровнем теоретической и практической подготовки. Из-за экономии бюджета фирмы не уделяют должного внимания безопасности: на сайтах может отсутствовать минимальная защита от взломов и DDoS-атак, а разделы с секретными данными не имеют паролей и свободны для индексации в поиске.

Вторая проблема заключается в том, что наказание для организаций, которые продают данные клиентов, минимальное: для них согласно п. 2 ст. 13.11. КоАП России в 2018 году за обработку персональных данных без согласия в письменной форме предусмотрен штраф в размере от 15 до 75 тыс. руб. Сумма административного наказания просто смешная в сравнении с выгодой, которые получают нечистые на руку фирмы от продажи личной информации клиентов рекламным компаниям, риелторам, провайдерам, операторам сотовой связи и т.д. В итоге граждане вынуждены слушать навязчивые рекламные предложения очередного товара или услуги от различных организаций. Даже в случае регистрации ИП при указании своего номера телефона в анкете уже на следующий день на телефон начнут поступать звонки с предложением оформить кредиты, воспользоваться аутсорсинговыми услугами.

Максимальное наказание за неправомерный доступ к компьютерной информации, закрепленное в ст. 272 гл. 28 УК РФ, наказывается лишением свободы на срок до пяти лет.

Пока законодатели и эксперты думают, как решить проблему в общем, простым гражданам не следует забывать об элементарных правилах защиты собственных данных. Так, при размещении в Интернете рекомендуется использовать сложные пароли, которые будут содержать цифры, символы, строчные и заглавные латинские буквы. Важную информацию на личных дисках необходимо защищать паролем. Не рекомендуется использовать одинаковые пароли для доступа к разным ресурсам. Оставлять свои данные можно только на проверенных ресурсах. Также нужно ограничить пользование Wi-Fi в общественных местах: существует вероятность хакерской атаки с целью хищения данных пользователя вплоть до паролей от учетных записей и информации банковских карт. Все устройства рекомендуется проверять не реже одного раза в месяц на наличие вредоносного ПО и вирусов. Что касается владельцев сайтов, то SEO-специалистам необходимо усилить контроль над механизмами сайта и поисковой выдачей: тщательно проверить DLP-системы, зашифровать все разделы сайтов, содержащие личную информацию пользователей и запретить доступ поисковых систем к секретным файлам.