«Человека можно выключить». Эксперт объяснил, чем грозят утечки личных данных и как бороться с киберрэкетом

Как злоумышленники используют данные

— Павел, расскажите, чем масштабные утечки данных из баз банков или сотовых операторов грозят обычным людям.

— Если вы имеете в виду те утечки, что были, например, у Сбербанка, то выборка или кусок из такой базы данных может оказаться в продаже в теневом интернете — Даркнете.

Покупают эту информацию разные компании, в том числе другие банки. Для них это потенциальная клиентская база, ведь они видят не только, как зовут человека, но и, допустим, размеры его счетов. Можно звонить и предлагать то, что с большой вероятностью заинтересует.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Такие спам-звонки знакомы почти всем. Лично я каждую неделю получаю по три подобных звонка и понимаю, что мой телефон давно украли из какой-то базы. Мобильные операторы уже предлагают услугу защиты от нежелательных звонков, потому что проблема приобретает огромные масштабы.

— Сейчас бродит страшилка о том, что мошенники могут оформить кредит на чье-то имя. Это возможно?

— Такая вероятность есть. Банки стали выдавать кредиты онлайн. Единственное, чем себя можно успокоить, их размеры небольшие. Хотя, конечно, для каждого своя сумма критична.

— Когда нужно начинать беспокоиться по поводу утечки личных данных?

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

— Заранее вы никак не узнаете, что информация о вас куда-то утекла. Только когда мошенники или какие-то компании начнут предпринимать действия. Допустим, звонят вам из банка, клиентом которого вы не являетесь, и говорят, что вам одобрили кредит.

Возникает закономерный вопрос: как этот банк мог проанализировать данные обо мне? Я не госслужащий, информацию о доходах не публикую.

Соглашаться по телефону на предложения, связанные с финансами, не стоит. Если вы хотите сбить мошенников с толку, то отвечайте им, что у вас долги и вы подаете на банкротство. Они извинятся и положат трубку. Реальный банк начнет с вами спорить, ведь обладает достоверной информацией.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Как гражданам защищаться от сетевых мошенников

— Как еще можно себя защитить?

— В случае с некоторыми госуслугами, которые оказывают в электронном виде, можно обратиться в госорган и написать заявление, что без вашего личного присутствия нельзя совершать какие-то операции. Например, открывать юрлицо.

Есть и другие меры предосторожности. В гостиницах задавайте вопрос, зачем сканируют ваш паспорт. Зачастую это действие избыточно, в законодательстве оно не прописано. Гостиницы обязаны сканировать паспорта только иностранных граждан, остальное — их внутренние регламенты.

Я был свидетелем ситуации, когда люди отказывались отдавать паспорт на сканирование. Не видел, чтобы в отеле говорили категорично: «Мы вас не поселим», хотя и спорили. Точно так же паспорт не должны сканировать в бюро пропусков организаций. Достаточно того, что вы его предъявили.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

— Безопасники часто ругают обычных юзеров за то, как они обращаются с паролями. Актуальная проблема?

— Да, безусловно. Люди часто ставят один пароль на все сервисы. Знаю по себе, что менять их и следить за ними очень сложно. Однако даже если делать все правильно, то это не исключит того, что пароль украдут.

На устройства пользователей с помощью вирусов ставят зловредный софт, который следит за тем, что человек набирает на клавиатуре. Если вы заходите, например, на сервис онлайн-банкинга, то велика вероятность, что следующая комбинация клавиш будет логином и паролем.

Не факт, что злоумышленники воспользуются этой информацией сразу, сначала они могут копить данные о тысячах клиентов банка. Поэтому периодическая смена пароля дает некоторую безопасность.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Чтобы упростить запоминание пароля, можно придумать правило, по которому вы будете его менять. Условно: первое слово всегда «президент», второе — номер месяца смены пароля, третье — следующий цвет в радуге.

— Но злоумышленники могут раскрыть эту логику.

— Зачастую они тестируют более топорные схемы: имя, год рождения, ближайшие родственники, какие-то примитивные комбинации этих данных.

Мое мнение: пока люди становятся жертвами мошенников не потому, что у какого-то конкретного Ивана Иванова хотели что-то украсть. А лишь потому, что он попал в случайную выборку и машина смогла воспользоваться информацией. Создается бот, который пытается взломать сайт определенного банка, ему подсовывают базу набранных паролей, он перебирает их. Чей-нибудь пароль подходит.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

— Со временем это может превратиться в преследование конкретных людей, как показывают в некоторых фильмах? Мне кажется, в обществе появляется такая фобия.

— Есть такое, да. Эта фобия не безосновательна. Думаю, пройдет еще лет пять, и любого человека можно будет «выключить», как в одной из серий «Черного зеркала». Некоторые эпизоды из этого сериала уже стали реальностью. Например, о социальном статусе человека в интернете, исходя из которого ему дают или не дают какие-то блага. В Китае похожая система работает.

С точки зрения безопасности в развитии технологий есть плюсы. Поймать преступников сейчас намного проще, чем 20 лет назад. Правоохранительные органы плотно работают с ИТ. Когда-то Шерлок Холмс говорил, что у любого преступления есть финансовый след, теперь появился цифровой.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Как хакеры атакуют системы крупных компаний

— Как злоумышленникам удается взламывать системы крупных банков? Получается, они уязвимы?

— Лет семь назад госорганы озаботились защитой персональных данных, но она свелась к юридическим аспектам — запрос разрешения на обработку, правила этой обработки и так далее. Закон защищает от человеческого фактора — сотрудникам компаний запретили некорректно обращаться с такого рода сведениями.

Но теперь утечки происходят по другим причинам — техническим, в том числе и из-за неграмотности людей в этой сфере.

Наша компания привлекалась к экспертизе по двум случаям воровства денег из банка. И оба раза виновным признали потерпевшего. В одном случае у человека украли 600 тыс. рублей, и он начал судиться с банком.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Сколько денег просят сетевые рэкетиры

— Когда хакеры шифруют информацию и требуют выкуп, можно как-то иначе решить проблему и не платить?

— Первое, что можно сделать — попытаться восстановить информацию с резервных копий — с дневной или недельной потерей данных. У некоторых крупных компаний есть услуга — они расшифровывают информацию, для этого нужны большие вычислительные мощности. Но все больше случаев, когда расшифровать невозможно.

Поэтому многие крупные организации вынуждены платить. Каждый действует исходя из экономической целесообразности: считает, сколько стоит время простоя и какой выкуп предлагается заплатить. Как правило, он намного меньше. Отследить получателей таких платежей нереально, потому что выкуп просят перечислить в криптовалюте.

В последние два года, к нашей радости, рынок безопасности меняется. Раньше нас просили аттестовать предприятие по установленным законом нормативам — «для галочки», а теперь все смещается в сторону защиты от реальных угроз.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

— Когда требуют выкуп, о каких суммах идет речь?

— Пример из нашей практики — за каждый зашифрованный сервер просили пять биткоинов. Всего было порядка 20 серверов. Какой был курс биткоина тогда, я уже не помню. Но он точно достигал нескольких тысяч долларов. Суммы доходят до колоссальных. Однако злоумышленник в основном соизмеряет свои запросы с возможностями жертвы.

— Допустим, организация заплатила выкуп. Есть ли гарантии, что у нее снова не попросят денег?

— Нет. Через какое-то время все может повториться. Когда компания платит выкуп, она надеется, что хотя бы получит доступ к своей информации, заберет оттуда нужные файлы и заново создаст инфраструктуру. Некоторые предприятия восстанавливают базу по бумажным документам — решают, что им так проще.

Сейчас в цифровом мире все как в России девяностых: пришел рэкетир, потребовал денег, ты дал, и нет никаких гарантий, что завтра тебя опять не попросят заплатить. Логика такая: заплатил один раз — заплатишь и второй.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

— И от этого никак нельзя защититься?

— Инфраструктуру заново построить можно, ввести на ней круглосуточный мониторинг, чтобы не наступить на те же грабли во второй раз. Одним словом, опять же как в девяностые, нужно вставать под чью-то защиту (смеется - прим. ред.)

— Правоохранительные органы задерживают киберпреступников?

— Да, такие случаи были, но задерживают в основном начинающие команды, которые горят на более простых вещах. Серьезные атаки организуют группировки международного масштаба. Где они находятся географически, сказать сложно. И людей, которые занимаются ИТ-преступлениями, скорее всего, сотни или даже тысячи. Они постоянно развиваются. Появляется новая технология, и мошенники сразу придумывают, как ее использовать в своих целях.

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

О чем еще рассказал собеседник

Павел Плетнев, гендиректор "Центр информационной безопасности".

Ксения Морозова

Что известно о Павле Плетневе

Павел Плетнев родился 27 августа 1985 года в Павлодаре. Высшее образование получил на инженерно-физическом факультете АлтГТУ им. Ползунова по специальности САПР. Второе высшее — в том же вузе по направлению «информационная безопасность». Кандидат технических наук по направлению «Системы, сети и устройства телекоммуникаций» СибГУТИ, Новосибирск.

Карьеру начал после окончания второго курса университета в 2005 году с должности системного администратора компании «Корпоративные системы» (сейчас ликвидирована). За четыре года вырос до заместителя коммерческого директора. В 2009 году с четырьмя партнерами основал собственную компанию «Центр информационной безопасности». С 2010 года и до сегодняшнего дня работает ее генеральным директором.

Павел Плетнев женат, воспитывает троих сыновей. В свободное время занимается плаванием, боксом, увлекается парусным спортом.

Самое важное - в нашем Telegram-канале