- Работать исключительно через ГАРАНТ.
Пробей меня полностью! Кто, как и за сколько пробивает персональные данные в России
«Я тебя по IP пробью!» Если ты получал такие угрозы в интернете, возможно, не стоит относиться к ним с излишним скепсисом. Потому что пробить по IP тебя действительно могут. А еще по номеру телефона, банковским реквизитам, ФИО и даже по фотографии. И я говорю не о полиции и ФСБ. Речь в статье пойдет о том, как это делают киберпреступники, за которыми закрепилось название «пробивщики».
Что есть пробив?
«Пробив» — это противоправная услуга, с помощью которой злоумышленники получают из закрытых баз данных информацию о конкретном человеке или организации. Естественно, за деньги. Существование такого предложения было бы невозможно без инсайдеров — сотрудников, у которых есть доступ к нужной информации для выполнения служебных обязанностей.
Инсайдеры занимают низшее положение в преступной иерархии. Далее следуют вербовщики, в задачи которых входит подбор инсайдеров и расчеты с ними. Возглавляют преступную цепочку владельцы сервисов пробива, они продвигают свои противоправные услуги в даркнете, взаимодействуют с покупателями и поставщиками информации. Иногда сервисы работают напрямую с инсайдерами, минуя вербовщиков.
На каждом уважающем себя форуме в даркнете присутствует раздел с услугами пробива. Предложения сервисов также легко найти в Telegram. Все настолько просто, что получение информации сводится к паре кликов и перечислению денежных средств.
Условно пробив можно разделить на три основные категории: государственный, мобильный и банковский.
Цена вопроса
Рынок пробива отлично саморегулируется, продавцы стараются не демпинговать, скидки предоставляются при оптовом заказе и постоянным клиентам. Если поставщик услуги не в состоянии найти запрашиваемую информацию, он приобретает ее у конкурентов, не получая за такой заказ прибыли, но зарабатывая лояльность покупателя. В очередной раз убеждаемся, что принципы свободного рынка Адама Смита оказались отлично применимы и на рынке киберпреступности.
Цена на услуги складывается прежде всего исходя из доступности данных. То есть низкая цена пробива номера у конкретного оператора свидетельствует о том, что на рынке много предложений от сотрудников этой компании, готовых предоставить доступ к персональным данным абонентов.
Мобильный пробив
Это самый объемный по количеству предложений вид пробива. Предложения у сервисов схожие:
Самыми доступными оказались данные абонентов «Билайна» — за 500 рублей можно получить необходимую информацию о владельце номера. Детализация звонков абонентов этого оператора тоже недорога — всего 1500 рублей и 5000 рублей за эту же информацию, но с указанием базовых станций.
Дороже всего пробить номер абонента «Теле2». При этом узнать номер по ФИО и дате рождения не получится ни у одного продавца. Возможно, из-за особенностей функционирования внутреннего ПО учета абонентов «Теле2».
Пробить номера абонентов МТС и «МегаФон» стоит 800 рублей и 1500 рублей соответственно. А вот детализация звонков обойдется значительно дороже — 12 тысяч рублей у МТС и 14 тысяч рублей у «МегаФона».
Государственный пробив
Государственные базы — крупнейшие агрегаторы персональных данных граждан РФ. Эта информация накапливается о каждом из нас с самого рождения. Ценность ее в том, что она не подлежит удалению и редактированию (по крайней мере, это недоступно для простого гражданина).
Вот список популярных государственных баз, по которым пробивают в даркнете:
в последнее время было связано с появившимися на теневых форумах объявлениями о продаже доступа к ЕЦХД — системе, которая обрабатывает и хранит данные с московских камер. Стоимость такого доступа составляет 30 тысяч рублей. Покупатель получает возможность подключиться к любой камере в режиме онлайн, а также просматривать архивные видеозаписи, которые хранятся пять дней. Кажется, предсказание Оруэлла о Большом Брате начинает сбываться!
Похожим предложением — она отправила пробивщику фото и за 16 тысяч рублей через пару дней получила подробный отчет о своих перемещениях по городу. Правда, нужно отдать должное сотрудникам правоохранительных органов. Не прошло и месяца, как в Москве (ст. 285 и ст. 137 УК РФ) в отношении двух полицейских, возможно причастных к пробиву волонтерки. Наверняка из-за скандала пробивщики хотя бы временно перестанут предлагать эту услугу. Никто не захочет привлекать к себе лишнего внимания.
Банковский пробив
Утечка подобной информации может привести к достаточно серьезным последствиям для ее владельца, ведь банковская информация весьма критична. Вот примерный перечень информации о клиентах самого крупного и известного в России банка, которую можно получить в даркнете:
Другой пробив
Помимо телефонного и банковского, есть и другие виды пробива.
Что светит?
Уголовная практика в отношении пробивщиков весьма обширна. Злодеи привлекаются к ответственности по следующим статьям Уголовного кодекса:
Больше всего приговоров выносится в отношении сотрудников офисов продаж и салонов сотовой связи. Многие связывают это с низкой зарплатой и неограниченным доступом сотрудников к информации об абонентах.
Например, в Иваново сотрудница АО «РТК» (входит в МТС) за 150 рублей пробивала данные абонентов МТС и отправляла их своему знакомому через Telegram. Всего ей удалось заработать около 3500 рублей. Суд оказался снисходителен к обвиняемой и прекратить уголовное дело с назначением штрафа в 15 тысяч рублей.
В последнее время наметилась тенденция привлекать сотрудников операторов связи за пробив по статье 274.1 УК РФ «Неправомерное воздействие на критическую информационную инфраструктуру РФ», которая предусматривает до десяти лет лишения свободы. Так, Абаканский городской суд Республики Хакасия сотрудника АО «РТК» (входит в МТС) к двум годам лишения свободы условно за то, что он предоставил третьему лицу детализацию разговоров четырех абонентов МТС. Для этого он заполнил заявления о предоставлении детализации соединений от абонентов. Полученную информацию инсайдер отправил неустановленному лицу.
Интересно, как суд в данном случае интерпретирует понятие вреда — «в виде нарушения безопасности информации, принадлежащей и охраняемой ПАО „МТС“, а также дискредитации деловой репутации ПАО „МТС“». Как по мне, деловую репутацию компании в большей степени дискредитирует количество предложений пробива их клиентов в даркнете и низкая цена за нее.
Чем объяснить смену ст. 272 УК РФ на 274.1? Возможно, правоохранительные органы гонятся за показателями по новой статье УК, и если деяние формально содержит признаки состава преступления, предусмотренного ст. 274.1, то они с радостью берутся за него. К сожалению, подобное рвение может привести к чрезмерному наказанию для провинившихся. С другой стороны, сотрудники правоохранительных органов не заинтересованы искать и задерживать действительно опасных киберпреступников. Осуждения по статье есть, вред критической информационной инфраструктуре предотвращен, все счастливы.
Проблема в том, что информация, которая содержится в базе данных абонентов оператора сотовой связи, однозначно критична для самого оператора и клиента. Но так ли она критична для безопасности Российской Федерации? Такой подход дискредитирует само понятие критичности и приводит к формальному исполнению требований законодателей.
А вот сотрудники банков предстают перед судом значительно реже. Возможно, потому, что банки не хотят выносить сор из избы и решают конфликты на месте, часто сотрудника увольняют. Но если дело доходит до хищения денежных средств, то простым увольнением злоумышленнику уже не отделаться. Так, архангельский суд к штрафу в 50 тысяч рублей сотрудника «Альфа-Банка» за разглашение сведений о шести клиентах банка, их счетах и остатке денежных средств на них. Полученные данные он передал своему знакомому, который реализовал их в даркнете за 140 тысяч рублей. «Знакомый» тоже предстал перед судом, получив в наказание 45 тысяч рублей штрафа. Интересно, что подельники после выплаты штрафов еще оставят при себе 45 тысяч рублей. Покупатели использовали полученные данные с максимальной эффективностью — они похитили со счетов клиентов почти 8,5 миллиона рублей. Уголовное дело в отношении их выделено в отдельное производство.
Госслужащие также редко предстают перед судом. Хотя, судя по количеству предложений в даркнете, инсайдеров в госучреждениях достаточно. Но если все-таки попадаются, то наказание часто бывает суровым. В Краснодарском крае к двум с половиной годам лишения свободы старшего оперуполномоченного отдела уголовного розыска полиции. В течение 2018 года он не менее пятнадцати раз отправил паспортные данные граждан неустановленному лицу.
При чем здесь киберпреступники?
Конечно, в большинстве случаев услуги пробива заказывают ревнивые супруги, частные детективы, коллекторы, службы безопасности организаций и мелкие мошенники. Их действия однозначно противоправны, требуют самого строгого осуждения и должны пресекаться в любой стране, которая претендует на звание развитой. Но нам интереснее, что с этими данными могут сделать киберпреступники.
Кевин Митник в книге «Искусство обмана» утверждает, что намного проще получить пароль с помощью обмана, чем пытаться взломать систему безопасности. Он приводит яркие и захватывающие примеры, когда преступники похищали миллионы долларов благодаря нескольким телефонным звонкам. Киберпреступники давно поняли, что самое уязвимое место в безопасности организации — это ее сотрудники. Искусство обмана, которое сегодня называется «социальная инженерия», позволяет злодеям получить ценнейшую информацию об объекте атаки. С ее помощью они без труда взламывают систему безопасности организации. Но чтобы быть максимально убедительным и правдоподобным при применении техники социальной инженерии, нужно предварительно собрать как можно больше данных о жертве. Здесь отлично помогут социальные сети и открытые источники данных. А вот информацию из закрытых источников как раз позволит получить пробив.
Ты наверняка помнишь недавний случай со . Атака велась не на сами аккаунты, а на сотрудников Twitter. Как раз с применением способов социальной инженерии. Повезло, что взломщиками в том случае выступили неискушенные преступники, которые выбрали самый незамысловатый способ использования уязвимости — устроили фальшивую раздачу биткойнов. Можно только догадываться, какие были бы последствия, окажись эти данные в руках более серьезных преступников.
Вот для примера один из опасных сценариев. Недавно о вознаграждении до 10 миллионов долларов за информацию, которая поможет идентифицировать лиц, пытающихся в интересах иностранного правительства повлиять на результаты выборов с помощью «незаконной киберактивности». Это сообщение было опубликовано на официальной странице департамента в Twitter с указанием сайта, на котором можно поделиться информацией о киберпреступниках. А представь, что этот твит выложили злоумышленники и указали собственный сайт. Скольких бы «стукачей» удалось выявить подобным способом?
Что еще могут сделать киберпреступники? Пробив поможет при спирфишинге. Например, сотрудница атакуемого предприятия недавно отдыхала на турецком побережье. Она с высокой вероятностью перейдет по ссылке, содержащейся в письме Ростуризма о компенсации за поездку в Турцию. Или из турецкого отеля с информацией о том, что она забыла украшение в своем номере. Информацию о перемещениях за границу можно за 5000 рублей получить из базы «Рубеж».
Пример из мобильного пробива. Злоумышленники пробивают номер телефона начальника атакуемой организации и его секретаря. Во время отпуска начальника перевыпускают его сим-карту, звонят и пишут секретарше с указанием скачать файл по ссылке и установить на свой компьютер. Или отправить документ на указанный адрес. Варианты ограничены лишь фантазией злоумышленников, а она у них есть. Многие сотрудники гордятся своей исполнительностью и редко ставят под сомнение команды руководства. Даже если они нарушают требования безопасности.
Банковский пробив больше подходит кибермошенникам, цель которых — похитить деньги с твоей банковской карты. Они действуют прямолинейно и грубо. Пробив помогает им собрать дополнительную информацию о жертве, чтобы быть более убедительными при общении с ней.
Нужно ли бороться и как?
Вопрос дискуссионный. В последнее время часто звучит мнение, что пора расстаться с понятием «персональные данные». Мол, всё уже давно есть в открытом доступе. Считаю такое решение преждевременным. Пока у киберпреступников есть возможность использовать наши персональные данные в противоправных целях, эти данные необходимо должным образом защищать. И любой случай утечки должен строго наказываться.
Правоохранительные органы подходят к борьбе с пробивщиками очень решительно. За последние годы в России осуждено большое количество инсайдеров, преимущественно из числа сотрудников салонов сотовой связи. Это, как правило, молодые люди с низкой зарплатой и большими амбициями. Ради сиюминутной выгоды они готовы пойти на преступление, не задумываясь о последствиях. Реже удается привлечь к ответственности вербовщиков. И то если они общались с инсайдерами вживую.
А вот поимка владельца сервиса пробива — это пока что-то из разряда фантастики. Неудивительно, ведь они используют средства анонимизации, деньги принимают на электронные кошельки, переписываются в «Телеграме». Искать их сложно, доказывать причастность к противоправной деятельности еще сложнее. К сожалению, такая борьба с низшими звеньями в преступной иерархии малоэффективна, ведь на смену пойманным всегда приходят новые искатели легкого заработка.
Кто должен активно бороться с инсайдерами, так это службы безопасности самих компаний. Применять для этого самые современные технические средства, мониторить даркнет, проводить внутренние проверки. Но, судя по количеству предложений в даркнете, эта борьба либо не ведется, либо недостаточно успешна. Возможно, на более активные действия компании могла бы мотивировать широкая огласка проблемы в СМИ, иски потерпевших с требованием возмещения ущерба, штрафы со стороны регулирующих органов за нарушение правил хранения и защиты персональных данных. Как в , когда их оштрафовали на 124 миллиона долларов за утечку данных клиентов.
Но пока этого нет, никто не может быть уверен в том, что его не пробивают прямо сейчас. Даже если ты не шпион и твои паспортные данные не составляют гостайну, а перемещаешься ты в основном между домом и работой, это не значит, что твоими правами на защиту персональных данных можно пренебрегать. Ведь жертвами киберпреступников чаще всего становятся простые граждане.
«Я тебя по IP пробью!» Если ты получал такие угрозы в интернете, возможно, не стоит относиться к ним с излишним скепсисом. Потому что пробить по IP тебя действительно могут. А еще по номеру телефона, банковским реквизитам, ФИО и даже по фотографии. И я говорю не о полиции и ФСБ. Речь в статье пойдет о том, как это делают киберпреступники, за которыми закрепилось название «пробивщики».
Что есть пробив?
«Пробив» — это противоправная услуга, с помощью которой злоумышленники получают из закрытых баз данных информацию о конкретном человеке или организации. Естественно, за деньги. Существование такого предложения было бы невозможно без инсайдеров — сотрудников, у которых есть доступ к нужной информации для выполнения служебных обязанностей.
Инсайдеры занимают низшее положение в преступной иерархии. Далее следуют вербовщики, в задачи которых входит подбор инсайдеров и расчеты с ними. Возглавляют преступную цепочку владельцы сервисов пробива, они продвигают свои противоправные услуги в даркнете, взаимодействуют с покупателями и поставщиками информации. Иногда сервисы работают напрямую с инсайдерами, минуя вербовщиков.
На каждом уважающем себя форуме в даркнете присутствует раздел с услугами пробива. Предложения сервисов также легко найти в Telegram. Все настолько просто, что получение информации сводится к паре кликов и перечислению денежных средств.
Условно пробив можно разделить на три основные категории: государственный, мобильный и банковский.
Цена вопроса
Рынок пробива отлично саморегулируется, продавцы стараются не демпинговать, скидки предоставляются при оптовом заказе и постоянным клиентам. Если поставщик услуги не в состоянии найти запрашиваемую информацию, он приобретает ее у конкурентов, не получая за такой заказ прибыли, но зарабатывая лояльность покупателя. В очередной раз убеждаемся, что принципы свободного рынка Адама Смита оказались отлично применимы и на рынке киберпреступности.
Цена на услуги складывается прежде всего исходя из доступности данных. То есть низкая цена пробива номера у конкретного оператора свидетельствует о том, что на рынке много предложений от сотрудников этой компании, готовых предоставить доступ к персональным данным абонентов.
Мобильный пробив
Это самый объемный по количеству предложений вид пробива. Предложения у сервисов схожие:
- пробив номера;
- поиск номеров (по ФИО и дате рождения);
- детализация звонков;
- детализация с базовыми станциями;
- «вспышка» (определение местоположения абонента по последнему звонку);
- блокировка номера;
- восстановление или переоформление сим-карты.
Самыми доступными оказались данные абонентов «Билайна» — за 500 рублей можно получить необходимую информацию о владельце номера. Детализация звонков абонентов этого оператора тоже недорога — всего 1500 рублей и 5000 рублей за эту же информацию, но с указанием базовых станций.
Дороже всего пробить номер абонента «Теле2». При этом узнать номер по ФИО и дате рождения не получится ни у одного продавца. Возможно, из-за особенностей функционирования внутреннего ПО учета абонентов «Теле2».
Пробить номера абонентов МТС и «МегаФон» стоит 800 рублей и 1500 рублей соответственно. А вот детализация звонков обойдется значительно дороже — 12 тысяч рублей у МТС и 14 тысяч рублей у «МегаФона».
Государственный пробив
Государственные базы — крупнейшие агрегаторы персональных данных граждан РФ. Эта информация накапливается о каждом из нас с самого рождения. Ценность ее в том, что она не подлежит удалению и редактированию (по крайней мере, это недоступно для простого гражданина).
Вот список популярных государственных баз, по которым пробивают в даркнете:
- «Роспаспорт» (паспорта РФ, загранпаспорта, форма № 1, брак, фото) — от 1300 рублей;
- «Магистраль» (все официально купленные по паспорту билеты: авиа, железнодорожные, автобусы, пароход) — от 2000 рублей;
- «Рубеж» (пересечение границы, список пассажиров рейсов по аэропортам РФ, список пассажиров поезда по вокзалам дальнего следования) — от 5000 рублей;
- «Интерпол» — цена по запросу;
- МВД (судимости и правонарушения) — от 1500 рублей;
- «Мигрант» (учет иностранных граждан) — от 3000 рублей;
- «Поток» (фото автомобилей со стационарных камер) — от 4000 рублей в месяц;
- ГИБДД (ДТП, штрафы, VIN, номера) — от 1300 рублей;
- ФИС ГИБДД (данные паспорта и водительского удостоверения; зарегистрированные авто и история правонарушений) — от 1300 рублей;
- ИБД (паспортные данные, регистрация, судимости, розыск) — от 1500 рублей;
- «Орудие» (зарегистрированное на гражданина Орудие) — от 2500 рублей;
- ФНС (имущество, налоговая, трудоустройство, счета) — от 1300 рублей;
- ЕГРН (Росреестр) — от 1300 рублей;
- НБКИ (национальное бюро кредитных историй) — от 1500 рублей;
- «Эквифакс» (кредитная история) — от 1500 рублей;
- ПФР (форма СЗИ-6, стаж работы, место работы, отчисления) — от 3000 рублей;
- ЗАГС (муж, жена, дети, свидетельство о браке, реквизиты записи акта о заключении брака, регистрация по месту жительства) — от 5000 рублей;
- ФССП (ограничения, аресты имущества) — от 5000 рублей.
в последнее время было связано с появившимися на теневых форумах объявлениями о продаже доступа к ЕЦХД — системе, которая обрабатывает и хранит данные с московских камер. Стоимость такого доступа составляет 30 тысяч рублей. Покупатель получает возможность подключиться к любой камере в режиме онлайн, а также просматривать архивные видеозаписи, которые хранятся пять дней. Кажется, предсказание Оруэлла о Большом Брате начинает сбываться!
Похожим предложением — она отправила пробивщику фото и за 16 тысяч рублей через пару дней получила подробный отчет о своих перемещениях по городу. Правда, нужно отдать должное сотрудникам правоохранительных органов. Не прошло и месяца, как в Москве (ст. 285 и ст. 137 УК РФ) в отношении двух полицейских, возможно причастных к пробиву волонтерки. Наверняка из-за скандала пробивщики хотя бы временно перестанут предлагать эту услугу. Никто не захочет привлекать к себе лишнего внимания.
Банковский пробив
Утечка подобной информации может привести к достаточно серьезным последствиям для ее владельца, ведь банковская информация весьма критична. Вот примерный перечень информации о клиентах самого крупного и известного в России банка, которую можно получить в даркнете:
- номер банковской карты — 3500 рублей;
- привязанный телефон — 5000 рублей;
- паспортные данные, прописка — 7500 рублей;
- кодовое слово — 15 000 рублей;
- баланс (остаток) на карте — 5000 рублей;
- адреса банкоматов, которыми пользуется клиент, — 8000 рублей;
- выписка по номеру карты — 12 000 рублей;
- выписка по номеру расчетного счета — 18 000 рублей;
- блокировка карты навсегда — 2500 рублей.
Другой пробив
Помимо телефонного и банковского, есть и другие виды пробива.
- Пробив аккаунтов в соцсетях. Например, за 15 000 рублей продавец готов предоставить привязанный к странице VK номер, почту, дату регистрации, IP-адреса регистрации и последнего входа.
- Пробив IP-адреса — 90 000 рублей.
- Пробив страницы Instagram или Facebook по номеру телефона — от 5000 рублей.
Что светит?
Уголовная практика в отношении пробивщиков весьма обширна. Злодеи привлекаются к ответственности по следующим статьям Уголовного кодекса:
- ч. 3 ст. 272 УК РФ «Неправомерный доступ к компьютерной информации» — до пяти лет лишения свободы;
- ч. 2 ст. 138 УК РФ «Нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений» — до четырех лет лишения свободы;
- ч. 2 ст. 137 УК РФ «Нарушение неприкосновенности частной жизни» — до четырех лет лишения свободы;
- ч. 3 ст. 183 УК РФ «Незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну» — до пяти лет лишения свободы;
- ч. 1 ст. 201 УК РФ «Злоупотребление полномочиями» — до четырех лет лишения свободы;
- ч. 1 ст. 285 УК РФ «Злоупотребление должностными полномочиями» — до четырех лет лишения свободы.
Больше всего приговоров выносится в отношении сотрудников офисов продаж и салонов сотовой связи. Многие связывают это с низкой зарплатой и неограниченным доступом сотрудников к информации об абонентах.
Например, в Иваново сотрудница АО «РТК» (входит в МТС) за 150 рублей пробивала данные абонентов МТС и отправляла их своему знакомому через Telegram. Всего ей удалось заработать около 3500 рублей. Суд оказался снисходителен к обвиняемой и прекратить уголовное дело с назначением штрафа в 15 тысяч рублей.
В последнее время наметилась тенденция привлекать сотрудников операторов связи за пробив по статье 274.1 УК РФ «Неправомерное воздействие на критическую информационную инфраструктуру РФ», которая предусматривает до десяти лет лишения свободы. Так, Абаканский городской суд Республики Хакасия сотрудника АО «РТК» (входит в МТС) к двум годам лишения свободы условно за то, что он предоставил третьему лицу детализацию разговоров четырех абонентов МТС. Для этого он заполнил заявления о предоставлении детализации соединений от абонентов. Полученную информацию инсайдер отправил неустановленному лицу.
Интересно, как суд в данном случае интерпретирует понятие вреда — «в виде нарушения безопасности информации, принадлежащей и охраняемой ПАО „МТС“, а также дискредитации деловой репутации ПАО „МТС“». Как по мне, деловую репутацию компании в большей степени дискредитирует количество предложений пробива их клиентов в даркнете и низкая цена за нее.
Чем объяснить смену ст. 272 УК РФ на 274.1? Возможно, правоохранительные органы гонятся за показателями по новой статье УК, и если деяние формально содержит признаки состава преступления, предусмотренного ст. 274.1, то они с радостью берутся за него. К сожалению, подобное рвение может привести к чрезмерному наказанию для провинившихся. С другой стороны, сотрудники правоохранительных органов не заинтересованы искать и задерживать действительно опасных киберпреступников. Осуждения по статье есть, вред критической информационной инфраструктуре предотвращен, все счастливы.
Проблема в том, что информация, которая содержится в базе данных абонентов оператора сотовой связи, однозначно критична для самого оператора и клиента. Но так ли она критична для безопасности Российской Федерации? Такой подход дискредитирует само понятие критичности и приводит к формальному исполнению требований законодателей.
А вот сотрудники банков предстают перед судом значительно реже. Возможно, потому, что банки не хотят выносить сор из избы и решают конфликты на месте, часто сотрудника увольняют. Но если дело доходит до хищения денежных средств, то простым увольнением злоумышленнику уже не отделаться. Так, архангельский суд к штрафу в 50 тысяч рублей сотрудника «Альфа-Банка» за разглашение сведений о шести клиентах банка, их счетах и остатке денежных средств на них. Полученные данные он передал своему знакомому, который реализовал их в даркнете за 140 тысяч рублей. «Знакомый» тоже предстал перед судом, получив в наказание 45 тысяч рублей штрафа. Интересно, что подельники после выплаты штрафов еще оставят при себе 45 тысяч рублей. Покупатели использовали полученные данные с максимальной эффективностью — они похитили со счетов клиентов почти 8,5 миллиона рублей. Уголовное дело в отношении их выделено в отдельное производство.
Госслужащие также редко предстают перед судом. Хотя, судя по количеству предложений в даркнете, инсайдеров в госучреждениях достаточно. Но если все-таки попадаются, то наказание часто бывает суровым. В Краснодарском крае к двум с половиной годам лишения свободы старшего оперуполномоченного отдела уголовного розыска полиции. В течение 2018 года он не менее пятнадцати раз отправил паспортные данные граждан неустановленному лицу.
При чем здесь киберпреступники?
Конечно, в большинстве случаев услуги пробива заказывают ревнивые супруги, частные детективы, коллекторы, службы безопасности организаций и мелкие мошенники. Их действия однозначно противоправны, требуют самого строгого осуждения и должны пресекаться в любой стране, которая претендует на звание развитой. Но нам интереснее, что с этими данными могут сделать киберпреступники.
Кевин Митник в книге «Искусство обмана» утверждает, что намного проще получить пароль с помощью обмана, чем пытаться взломать систему безопасности. Он приводит яркие и захватывающие примеры, когда преступники похищали миллионы долларов благодаря нескольким телефонным звонкам. Киберпреступники давно поняли, что самое уязвимое место в безопасности организации — это ее сотрудники. Искусство обмана, которое сегодня называется «социальная инженерия», позволяет злодеям получить ценнейшую информацию об объекте атаки. С ее помощью они без труда взламывают систему безопасности организации. Но чтобы быть максимально убедительным и правдоподобным при применении техники социальной инженерии, нужно предварительно собрать как можно больше данных о жертве. Здесь отлично помогут социальные сети и открытые источники данных. А вот информацию из закрытых источников как раз позволит получить пробив.
Ты наверняка помнишь недавний случай со . Атака велась не на сами аккаунты, а на сотрудников Twitter. Как раз с применением способов социальной инженерии. Повезло, что взломщиками в том случае выступили неискушенные преступники, которые выбрали самый незамысловатый способ использования уязвимости — устроили фальшивую раздачу биткойнов. Можно только догадываться, какие были бы последствия, окажись эти данные в руках более серьезных преступников.
Вот для примера один из опасных сценариев. Недавно о вознаграждении до 10 миллионов долларов за информацию, которая поможет идентифицировать лиц, пытающихся в интересах иностранного правительства повлиять на результаты выборов с помощью «незаконной киберактивности». Это сообщение было опубликовано на официальной странице департамента в Twitter с указанием сайта, на котором можно поделиться информацией о киберпреступниках. А представь, что этот твит выложили злоумышленники и указали собственный сайт. Скольких бы «стукачей» удалось выявить подобным способом?
Что еще могут сделать киберпреступники? Пробив поможет при спирфишинге. Например, сотрудница атакуемого предприятия недавно отдыхала на турецком побережье. Она с высокой вероятностью перейдет по ссылке, содержащейся в письме Ростуризма о компенсации за поездку в Турцию. Или из турецкого отеля с информацией о том, что она забыла украшение в своем номере. Информацию о перемещениях за границу можно за 5000 рублей получить из базы «Рубеж».
Пример из мобильного пробива. Злоумышленники пробивают номер телефона начальника атакуемой организации и его секретаря. Во время отпуска начальника перевыпускают его сим-карту, звонят и пишут секретарше с указанием скачать файл по ссылке и установить на свой компьютер. Или отправить документ на указанный адрес. Варианты ограничены лишь фантазией злоумышленников, а она у них есть. Многие сотрудники гордятся своей исполнительностью и редко ставят под сомнение команды руководства. Даже если они нарушают требования безопасности.
Банковский пробив больше подходит кибермошенникам, цель которых — похитить деньги с твоей банковской карты. Они действуют прямолинейно и грубо. Пробив помогает им собрать дополнительную информацию о жертве, чтобы быть более убедительными при общении с ней.
Нужно ли бороться и как?
Вопрос дискуссионный. В последнее время часто звучит мнение, что пора расстаться с понятием «персональные данные». Мол, всё уже давно есть в открытом доступе. Считаю такое решение преждевременным. Пока у киберпреступников есть возможность использовать наши персональные данные в противоправных целях, эти данные необходимо должным образом защищать. И любой случай утечки должен строго наказываться.
Правоохранительные органы подходят к борьбе с пробивщиками очень решительно. За последние годы в России осуждено большое количество инсайдеров, преимущественно из числа сотрудников салонов сотовой связи. Это, как правило, молодые люди с низкой зарплатой и большими амбициями. Ради сиюминутной выгоды они готовы пойти на преступление, не задумываясь о последствиях. Реже удается привлечь к ответственности вербовщиков. И то если они общались с инсайдерами вживую.
А вот поимка владельца сервиса пробива — это пока что-то из разряда фантастики. Неудивительно, ведь они используют средства анонимизации, деньги принимают на электронные кошельки, переписываются в «Телеграме». Искать их сложно, доказывать причастность к противоправной деятельности еще сложнее. К сожалению, такая борьба с низшими звеньями в преступной иерархии малоэффективна, ведь на смену пойманным всегда приходят новые искатели легкого заработка.
Кто должен активно бороться с инсайдерами, так это службы безопасности самих компаний. Применять для этого самые современные технические средства, мониторить даркнет, проводить внутренние проверки. Но, судя по количеству предложений в даркнете, эта борьба либо не ведется, либо недостаточно успешна. Возможно, на более активные действия компании могла бы мотивировать широкая огласка проблемы в СМИ, иски потерпевших с требованием возмещения ущерба, штрафы со стороны регулирующих органов за нарушение правил хранения и защиты персональных данных. Как в , когда их оштрафовали на 124 миллиона долларов за утечку данных клиентов.
Но пока этого нет, никто не может быть уверен в том, что его не пробивают прямо сейчас. Даже если ты не шпион и твои паспортные данные не составляют гостайну, а перемещаешься ты в основном между домом и работой, это не значит, что твоими правами на защиту персональных данных можно пренебрегать. Ведь жертвами киберпреступников чаще всего становятся простые граждане.
