Ющук Евгений Леонидович (yushchuk) wrote,
Ющук Евгений Леонидович
yushchuk

Categories:

Поймать и наказать! Как в России ловят и наказывают за незаконную торговлю персональными данными

Почти год назад я делал подборку сообщений из СМИ про то, как в России ловят и наказывают за незаконную торговлю персональными данными.

Пришло время обновить этот дайджест. Кстати, в моем авторском Telegram-канале «Утечки информации» оперативно появляются подобные сообщения практически сразу после их публикации в СМИ.


Сколько ловят

Количество публикаций и новостей на тему «задержали и наказали» за последний год резко выросло. Наибольшее число правонарушений было выявлено и доведено до общественности после известных событий с утечками данных в Сбербанке – т.е. сразу после октября 2019 года.

При этом даже с учетом задержки, необходимой для розыска виновных и ведения следствия, количество дел никак не соответствует количеству предложений о продаже данных на черном рынке.


Кого ловят

Львиная доля пойманных – сотрудники сотовых операторов и салонов мобильной связи, а также представители банков, включая тот же Сбербанк.

Как видно, к концу года выросла доля пойманных «пробивщиков», предоставляющих услуги в банковской сфере и особенно операторах связи, на которых в начале года силовые органы практически не обращали внимания, концентрируя внимание на правонарушителях, продающих данные из государственных баз.

За что ловят




Как видно из графика выше, пойманные инсайдеры из разных сфер по-разному монетизируют свои возможности.

Сотрудники государственных организаций, среди которых велика доля IT-специалистов, создают и продают собственные базы данных, содержащие данные, доступ к которым они имеют.

Сотрудники сотовых компаний и салонов сотовой связи продают, в основном, услуги пробива, передавая заинтересованным лицам детализацию звонков и смс-сообщений.

Сотрудники банков все чаще создают «замкнутые» мошеннические схемы, похищая со счетов клиентов деньги или «подключая» людей, данные которых они же и украли, к различным финансовым продуктам, например, выпуская на них кредитные карты или беря кредит наличными.

Кто и как ловит инсайдеров

К сожалению, только в 10% дел есть следы работы службы безопасности компаний – в 90% ловят инсайдеров правоохранительные органы, что говорит об отсутствии принципиальных изменений в корпоративных подходах к охране персональных данных. При этом при работе корпоративной СБ большая часть цепочки остается нераскрытой. Фигурантом становится сам инсайдер, а посредники и, тем более, покупатели остаются за кадром.

Практически во всех делах, связанных с пробивом мобильных операторов, фигурируют сотрудники офисов продаж и салонов сотовой связи, которые продолжают иметь неконтролируемый доступ к информации об абонентах.

Практически во всех случаях следствие ведет ФСБ. В случае банковских мошенничеств, дело практически всегда возбуждается по заявлению потерпевшего, обнаружившего пропажу средств или долг самостоятельно.

Выводы

Несмотря на повышение активности правоохранительных органов, ситуация с утечками данных не улучшается и не улучшится в 2020 году. Банки так и не могут выявить источники крупных утечек, операторы связи не задумываются даже об ограничении доступа к персональным данным абонентов, а правоохранительные органы ловят мелких торговцев, попадающихся на пренебрежении собственной информационной безопасности. На ситуацию в банковской сфере также отрицательно влияет появление группы профессиональных вербовщиков, не только ведущих поиск сотрудников банков и затем склоняющих к совершению преступлений, но и обучающих их первичным методам противодействия системам контроля.

Прошлый обзор я закончил на начале марта 2019 года, поэтому начнем с середины того же месяца. Поехали…

Март 2019.


По данным прокуратуры города Ульяновск, заместитель директора по безопасности школы № 57 незаконно получил доступ к сведениям, содержащим персональные данные учащихся, родителей и работников школ Ульяновска и удалил их. Более того, он нашел в интернете вредоносную программу и запустил её на служебном компьютере, чтобы скрыть следы преступления. Ему предъявлено обвинение по ч.3 ст.272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, повлекший ее уничтожение, совершённый лицом с использованием своего служебного положения), ч.2 ст.273 УК РФ (использование компьютерных программ, заведомо предназначенных для нейтрализации средств защиты компьютерной информации, совершённое лицом с использованием своего служебного положения), уголовное дело направлено в суд.

Бывший сотрудник отдела технической защиты информации администрации города Курган, создал свою собственную программно-информационную систему, содержащую адреса, ИНН, СНИЛС, водительские удостоверения, паспорта, информацию о наличии кредитов в банках и задолженности в сфере ЖКХ и т.п. В силу своего служебного положения мужчина имел доступ к базе данных, куда вносятся сведения из УФМС, ЗАГС, избирательных комиссий, военкоматов, УФСИН, других и учреждений. За денежное вознаграждение 1,5-2 тысячи рублей злоумышленник продавал ‘эти сведения третьим лицам – банкам и коллекторским агентствам. Покупатели переводили деньги на карту его родственников. За нарушение неприкосновенности частной жизни суд назначил виновному наказание в виде штрафа в размере 200 тыс. рублей.

Начальник отделения агентурно-оперативной работы полиции Перми и замначальника отдела по разработке программного обеспечения ГУ МВД России по Пермскому краю продавали персональные данные жителей. Про двух этих полицейских стало известно во время расследования УФСБ по Пермскому краю в отношении трех пермяков, которые за 15 тыс. рублей в месяц предоставляли информацию о жителях Прикамья. На этом они заработали более 18 миллионов рублей. В отношении всех участников преступной группы было возбуждено уголовное дело по статье «Неправомерный доступ к охраняемой информации» (ст. 272 УК РФ). Материалы уголовного дела переданы из ФСБ в краевой СУ СКР по Пермскому краю.

Апрель.


C 2015 по 2017 год начальник дежурной смены ленинского района Новосибирска передавал сведения об умерших похоронным агентам. На торговле этими данными он заработал более 900 тысяч рублей. Деньги переводились ему на банковскую карту. ФИО, дата рождения и смерти, местонахождение умершего - сообщались сотрудникам ритуальных служб через мессенджер. Суд признал 43-летнего бывшего полицейского виновным в совершении двух эпизодов преступлений, предусмотренных п. "в" ч. 5 ст. 290 УК РФ (получение должностным лицом лично взятки в виде денег, за незаконные действия, в крупном размере) и приговорил его к 7 годам 5 месяцам лишения свободы.


Май.


В Новосибирске приговорен к лишению свободы специалист сотового оператора "Мегафон" Илья Ложкин, он признан виновным в разглашении сведений, составляющих коммерческую тайну. В сентябре прошлого года у себя дома специалист "Мегафона" воспользовался логином и паролем для удаленного доступа к персональным данным абонентов оператора сотовой связи. Ложкин сфотографировал экран с персональными данными (имена, фамилии, даты рождения, паспортные данные, места регистрации и информация о балансе номеров) двух абонентов и с помощью мессенджера Telegram переслал фотографии неизвестному, получив взамен 1400 рублей. Суд приговорил специалиста "Мегафона" к полутора годам условного лишения свободы.

Cуд Липецкой области вынес приговор 27-летней бывшей сотруднице банка, признанной виновной в совершении трех эпизодов преступлений, предусмотренных частью первой статьи 158 УК РФ (кража) и частью третьей статьи 183 УК РФ (незаконное использование сведений, составляющих банковскую тайну, без согласия их владельца). В июне 2017 года подсудимая, являясь финансовым консультантом одного из отделений банка, с помощью служебного программного обеспечения похитила со счетов вкладчиков 14 тысяч рублей. Используя персональные данные и составляющие банковскую тайну сведения о счетах трех жителей Брянской области, она оформила перевыпуск их дебетовых карт, с помощью которых обналичила деньги. Один из потерпевших обнаружил списание денег со своего банковского счета и обратился с заявлением в банк. Это стало поводом для проведения проверки службой собственной безопасности банка и возбуждения уголовного дела следственными органами. Приговором суда виновной назначено наказание в виде штрафа в сумме 100 тысяч рублей.

В Уфе начато расследование уголовного дела в отношении 31-летней сотрудницы банка. Женщина скопировала данные клиентов и отправила их себе на почту. Позже она передала эти данные сотруднику другого банка. За разглашение сведений, составляющих банковскую тайну, бывшей сотруднице банка грозит наказание либо в виде штрафа, принудительных работ, либо, в самом крайнем случае - лишения свободы. Суд принял решение отправить под арест начальника отдела по расследованию дорожно-транспортных происшествий СУ УМВД России по г. Омску Алексея Липина. По данным Следственного комитета, в отношении Алексея Липина заведено уголовное дело по ч.2, ч.3 ст. 290 УК РФ (получение взятки). Липин передавал своему знакомому адвокату персональные данные омичей, пострадавших в ДТП, а самих потерпевших убеждал обратиться за оказанием юридической помощи именно к этому адвокату.

Районный суд Великого Новгорода вынес обвинительный приговор частному детективу, признанному виновным в совершении четырех преступлений, предусмотренных ч. 1 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации), и одного преступления, предусмотренного ч. 2 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации, совершенный из корыстной заинтересованности). Частный детектив, используя доверительные отношения с сотрудниками областного УМВД, неоднократно получал неправомерный доступ к персональных данным неопределенного числа граждан, посредством предоставленного ему во временное пользование компьютера, подключённого к интегрированным банкам данных (ИБД) ИЦ УМВД России по Новгородской области. Со своих клиентов детектив получал по 3 тысячи рублей за собранные из баз УМВД данные. Ему назначено наказание в виде штрафа в размере 150 тысяч рублей.

Июнь.


Ленинский районный суд Курска рассматривает уголовное дело, главным фигурантом которого является бывший менеджер по продажам одного из банков, она обвиняется в неправомерном доступе к охраняемой законом компьютерной информации. По версии следствия, обвиняемая осуществила от имени банка обработку персональных данных трех человек без их ведома и присутствия. Были выпущены карты, с которых потом снимались деньги. Ущерб превысил 1 миллион рублей.

21-летняя бывшая сотрудница компании, оказывающей услуги связи на территории Брянска, имея доступ к базе персональных данных абонентов передала подруге сведения о телефонных соединениях ее жениха. В отношении нее возбудили дело по статье 138 УК РФ (нарушение тайны телефонных переговоров, совершенное с использованием служебного положения).

Сотрудники Управлении ФСБ России по Ростовской области задержали 2-х человек, занимавшихся продажами детализаций телефонных звонков и паспортных данных жителей Ростовской области. Один из задержанных работал в салоне сотовой связи одного из операторов и имел доступ к конфиденциальной информации абонентов. Клиентов преступники находили через форумы «пробивов». «Бизнес» ростовских пробивщиков продержался всего месяц и за это время они успели «пробить» 100 человек. Суд оштрафовал преступников на 100 тыс. рублей каждого.

Июль.


В Костроме предстанет перед судом 39-летний участковый уполномоченный полиции, который с августа по октябрь 2018 года за деньги передавал персональные данные умерших и информацию о местонахождении тел частному похоронному бюро. Бывший полицейский успел получить от взяткодателей наличными как минимум 12 тыс. рублей. Ему предъявили обвинение по части 3 статьи 290 УК РФ "Получение должностным лицом лично взятки в виде иного имущества за совершение действий в пользу взяткодателя, если указанные действия входят в служебные полномочия должностного лица либо если оно в силу должностного положения может способствовать указанным действиям, за незаконные действия". Обвиняемому грозит до восьми лет заключения и крупный штраф. Дело передано для рассмотрения по существу в Свердловский районный суд Костромы.

По информации прокуратуры Астраханской области, руководитель «Бюро судебно-медицинской экспертизы», отвечающий, в том числе, за конфиденциальность персональных данных граждан, 27 декабря 2018 года получил от индивидуального предпринимателя, который занимался оказанием ритуальных услуг, 27 тыс. рублей за предоставление ему информации об умерших.

В г. Муром Владимирской области вынесен приговор 23-летнему бывшему сотруднику АО «Русская телефонная Компания» (розничная сеть «МТС»), который занимался продажей детализации телефонных переговоров клиентов «МТС». Как установило следствие и суд, в течение нескольких дней января 2017 года бывший сотрудник неоднократно подделывал заявления от имени клиентов компании «МТС» на получение сведений о соединениях (детализация звонков), а при получении данных копировал их на сменный носитель. Сотрудник направил от имени клиентов 43 сервисных запроса. Он признан виновным по ч. 2 ст. 138 УК РФ (нарушение тайны телефонных переговоров), ч. 3 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации) и ч. 3 ст. 183 УК РФ (незаконное получение сведений, составляющих коммерческую тайну) и приговорен к штрафу в 240 тысяч рублей.

Прокуратура Набережных Челнов возбудила административное дело на бывшего работника Комсомольского ТИКа (территориальная избирательная комиссия), скопировавшего персональные данные избирателей. 37-летний специалист 1 разряда по информационному обеспечению ГАС РФ «Выборы», перед своим увольнением в 2017 году, скопировал на USB-флешку базу данных 56 тысяч избирателей (паспортные данные, адреса, телефоны, имена и прочие персональные данные), после чего вынес ее за пределы служебного помещения. Бывшему сотруднику ТИКа инкриминируют нарушение ч. 1. ст. 13.1 КоАП РФ «Нарушение законодательства в области персональных данных», которая влечет за собой предупреждение или административный штраф гражданину от 1 тыс. до 3 тыс. рублей.

Суд в Тбилисском районе Краснодарского края вынес приговор в отношении 34-летнего старшего оперуполномоченного отдела уголовного розыска районного ОМВД, признав его виновным в злоупотреблении полномочиями и приговорил к 2,5 годам заключения, а также лишил его права занимать должности в правоохранительных органах. С февраля по ноябрь 2018-го года бывший оперуполномоченный предоставил паспортные данные как минимум 15-ти граждан неустановленному лицу, выгружая текстовую информацию и сканы паспортов со сведениями о серии, номере, месте регистрации и дате выдачи.

МВД России по Хабаровскому краю направило в суд уголовное дело (по ч. 4 ст. 159 УК РФ «Мошенничество») в отношении менеджера по работе с ключевыми клиентами отдела корпоративных продаж одного из банков Хабаровска. 33-летний обвиняемый имел доступ к клиентской базе банка и знал порядок оформления кредитных договоров посредством мобильного приложения. Он вносил изменения в персональные данные клиентов, направлял в банк фиктивные заявления на получение кредитов. Злоумышленник указывал номера телефонов, находящихся у него в пользовании. Посредством мобильного приложения, подключенного к указанным им номерам телефонов, злоумышленник оформлял кредитные договоры на клиентов банка без согласия и фактического присутствия заемщиков. Обвиняемый воспользовался персональными данными семи клиентов банка для получения потребительских кредитов по 17-ти кредитным договорам на общую сумму около 6,7 млн. рублей.

Август.


Районный суд г. Улан-Удэ признал виновной по двум статьям (неправомерный доступ к компьютерной информации и незаконное разглашение сведений, составляющих коммерческую тайну) бывшего специалиста офиса продаж оператора сотовой связи. 25-летняя девушка, в августе-сентябре 2018 года, копировала персональные данные абонентов и отправляла неустановленному лицу через интернет. За это бывшая сотрудница оператора связи получила вознаграждение в сумме 6 тысяч рублей. Девушке назначили наказание в виде трех лет лишения свободы условно с испытательным сроком два года.

В июне 2017 года две бывшие сотрудницы филиала банка в Сахалинской области, оказывающего услуги по предоставлению потребительских кредитов, оформили на ничего не подозревающих граждан 2 кредитных договора и приобрели по ним три смартфона, которые позже сдали в ломбард. Бывшие эксперты прямых продаж банка, в чьи обязанности входила работа с персональными данными клиентов и их фотографирование, сохранили себе копии документов двух граждан, обращавшихся за кредитом, но так его и не взявших, после чего оформили на них займы размером 100 и 47 тысяч рублей. Санкции статьи (мошенничество, совершенного группой лиц по предварительному сговору), инкриминируемой обвиняемым, предусматривают до пяти лет лишения свободы.

Сентябрь.


В Тюмени направлено в Центральный районный суд дело частного детектива, который незаконно собирал данные о частной жизни граждан. В ноябре 2018 года владелец одного из салонов красоты обратился к частному детективу с заказом расследовать кражу сотрудниками салона базы данных клиентов. Частный детектив незаконным способом получил информацию о личной жизни одной из бывших сотрудниц салона, а также членов ее семьи. Детектив передал заказчику сведения о месте регистрации, номерах мобильных телефонов, о действующих и ранее выданных паспортах, о движении денежных средств по банковским счетам. За свою работу он получил более 120 тысяч рублей. 42-летнего частного детектива обвиняют по статьям «Нарушение неприкосновенности частной жизни» и «Превышение полномочий частным детективом».

В городе Алексин Тульской области местный житель за 1 тысячу рублей продал базу данных клиентов коммерческого банка из Нижнего Новгорода. В отношении 46-летнего мужчины возбуждено уголовное дело по ч. 1 ст. 137 УК РФ (незаконное распространение сведений о частной жизни, составляющих личную тайну). Обвиняемому избрана мера пресечения в виде подписки о невыезде. Дело направлено в Алексинский городской суд для рассмотрения по существу.

Октябрь.


В Москве задержан сотрудник Сбербанка, который похитил данные платежных карт и персональные данные клиентов банка. Им оказался руководитель сектора одного из бизнес-подразделений банка 1991 года рождения. Сбербанк официально признал кражу только 5 тыс. записей (первоначально заявляя вообще только о 200 пострадавших), несмотря на факт публикации в открытом доступе данных значительно большего количества.

Кировский районный суд Перми рассмотрит уголовное дело в отношении бывшего и.о. начальника отдела уголовного розыска ОП №3 УМВД Перми и частного детектива. В июле 2018 года бывший полицейский за небольшое вознаграждение (3 тысячи рублей) передал частному детективу данные из базы МВД в отношении двух граждан: сведения о судимости, паспортные данные, номера телефонов, информацию о личных автомобилях. Действия должностного лица квалифицированы по ч. 3 ст. 272 УК РФ ("Неправомерный доступ к компьютерной информации с использованием своего служебного положения, группой лиц по предварительному сговору"), ч. 1 ст. 291.2 УК РФ ("Мелкое взяточничество"). Уголовное дело возбудили также против частного детектива, ему предъявлено обвинение по ч. 1 ст. 291.2 УК РФ, ч. 3 ст. 272 УК РФ и ч. 1 ст. 137 УК РФ ("Нарушение неприкосновенности частной жизни"). Максимальное наказание за совершение данных преступлений - лишение свободы сроком до пяти лет.

Суд во Владивостоке вынес приговор по уголовному делу в отношении менеджера отдела продаж и обслуживания одной из компаний связи, которая признана виновной в совершении преступления, предусмотренного ч. 4 ст. 274.1 УК РФ (неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, что повлекло причинение вреда критической информационной инфраструктуре Российской Федерации, совершенное лицом с использованием своего служебного положения). Имея доступ к автоматизированной системе, она осуществила копирование компьютерной информации, содержащей персональные данные абонентов. После чего по просьбе знакомого переслала указанные сведения на его электронный адрес. Признав подсудимую виновной в совершении указанного преступления, суд назначил ей наказание в виде в виде 3 лет лишения свободы с лишением права заниматься деятельностью, связанной с доступом к критической информационной инфраструктуре РФ сроком на 2 года. В соответствии со ст. 73 УК РФ наказание в виде лишения свободы назначено условно с испытательным сроком на 2 года.

По версии прокуратуры Новосибирской области, с 22 августа 2016 года по 11 сентября 2017-го бывший оперуполномоченный подразделения экономической безопасности и противодействия коррупции УМВД по Новосибирску, злоупотребляя своими полномочиями, трижды незаконно получил из базы данных информационного центра ГУ МВД России по Новосибирской области сведения о персональных данных граждан. Речь идёт о паспортных данных, фотографиях, адресах, телефонах, сведениях о привлечении к уголовной и административной ответственности и другой информации, которую обвиняемый передавал по WhatsApp своему знакомому в Москву. 35-летний бывший полицейский обвиняется в «злоупотреблении должностными полномочиями» (ч. 1 ст. 285 УК РФ) и «незаконном собирании и распространении сведений о частной жизни лиц с использованием служебного положения» (ч. 2 ст. 137 УК РФ). Свою вину он не признал, отказавшись от дачи каких-либо пояснений.

В Воркуте 23-летний специалист по обслуживанию клиентов оператора сотовой связи предстал перед судом за то, что в период с января по апрель 2019 года, за 40,5 тыс. рублей передал неустановленному лицу данные семи абонентов. Суд вынес обвинительный приговор и назначил наказание в виде лишения свободы условно на срок один год.

Прокуратура Хакасии обвинила 25-летнего работника магазина сотовой связи в преступлениях по статьям «неправомерный доступ к компьютерной информации» и «незаконное получение и разглашение сведений, составляющих коммерческую тайну» (ч. 3 ст. 272 и ч. 3 ст. 183 Уголовного кодекса РФ). В августе 2019 года сотрудник магазина, принадлежащего одному из основных операторов сотовой связи, передавал постороннему лицу персональные данные клиентов.


Автор: Ашот Оганесян

https://www.devicelock.com/ru/blog/pojmat-i-nakazat-kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi-chast-2.html

Tags: Утечки
Subscribe
  • Post a new comment

    Error

    Anonymous comments are disabled in this journal

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

  • 5 comments