Последнюю неделю Республика Молдова ищет ответ не на тот вопрос. «Они снимут деньги с наших счетов?» – именно так многие восприняли сообщение о том, что из государственных цифровых сервисов были извлечены данные, связанные примерно с 750 000 идентификационных номеров физических лиц (IDNP). Именно на этот вопрос власти поспешили дать ответ: нет, данные банковских карт не были скомпрометированы, а международный номер банковского счёта (IBAN) сам по себе не предоставляет доступа к счёту. Ответ правильный. Проблема в том, что сам этот вопрос делает нас более уязвимыми, поскольку направляет наше внимание на банковские счета, тогда как реальная угроза может исходить через телефонную связь.
Правильный вопрос следует формулировать иначе: кто после этого всё еще способен подтвердить свою личность и доказать, что он является именно тем человеком, за которого себя выдает? На протяжении многих лет в Республике Молдова имя, персональный идентификационный код и дата рождения считались достаточным подтверждением личности: при телефонных разговорах с банками, в микрокредитных компаниях, у операторов связи или при обращении в различные учреждения. С 23 октября эти три данных, а вместе с ними имена детей, сведения о пенсии, автомобиле, компании, задолженностях перед государственной налоговой службой и фотография, оказались в руках кого-то, кто не несет перед нами никаких обязательств. Деньги со счетов не исчезли. Но исчезла уверенность в том, что человек, который звонит нам и называет по имени нашего ребенка, действительно действует от имени организации или лица, которого представляет.
ЧТО НА САМОМ ДЕЛЕ ПРОИЗОШЛО?
Никто не взламывал сейф. В период с 19 по 23 октября злоумышленники автоматически отправляли запросы к электронным государственным сервисам, последовательно используя различные персональные коды и получая ответы на поставленные вопросы. Сервисы предоставляли ответы, поскольку были спроектированы таким образом, чтобы работать без предварительной аутентификации пользователя. Данные, полученные через единый государственный сервис, использовались для дальнейших запросов к другим сервисам. Таково техническое объяснение инцидента, содержащееся в сообщении Агентства электронного управления (АЭУ), опубликованном 27 октября. Важно точно объяснять произошедшее, поскольку каждая неточная метафора порождает необоснованные опасения.
Согласно предварительным данным, речь идет примерно об 11 миллионах запросов, около одного миллиона проверенных IDNP и наборах данных, полученных примерно по 750 тысячам из этих идентификационных номеров. 23 октября в 11:30 несанкционированное извлечение данных было прекращено. Впоследствии в качестве превентивной меры были отключены 82 государственных сервиса и более 30 информационных систем. После этого последовали новые попытки, предпринятые 25 и 27 октября, однако их удалось своевременно пресечь. 28 октября АЭУ временно деактивировало приложение EVOSign и механизм двухэтапной аутентификации в MPass, а директор агентства подала в отставку.
Согласно классификации Национального центра по защите персональных данных (НЦЗПД), среди извлеченных сведений оказались данные пяти основных категорий: идентификационная информация (имя, IDNP, дата и место рождения, фотография); сведения о семье (родители и дети); данные о состоянии здоровья и социальной защите (статус застрахованного лица, семейный врач, социальные выплаты, пенсии, инвалидность); информация об активах и экономической деятельности (водительское удостоверение, транспортные средства, принадлежащие или управляемые компании); финансовые и налоговые данные (IBAN, налоговые задолженности, история платежей через MPay). Обе организации, однако, уточнили, что не у всех лиц были раскрыты данные всех указанных категорий.
Согласно официальной информации, не были извлечены данные банковских карт, поскольку государственные цифровые платформы их не хранят; пароли и учетные записи MPass или EVO, которые не фигурируют в перечне скомпрометированных данных; копии документов, а также номера телефонов и адреса. По утверждению властей, изменения в государственных реестрах не вносились: случаев, когда недвижимое имущество оказалось переоформлено на другое лицо, зафиксировано не было. Точный термин для описания произошедшего – «извлечены», а не «украдены и опубликованы». По состоянию на 29 октября публичного подтверждения распространения этих данных не было.
Отдельного пояснения заслуживает одна деталь, которая стала источником недопонимания. Многие граждане обнаружили в приложении EVO записи о доступе, датированные периодом с 19 по 23 октября, в том числе в поздние ночные часы, например, в 23:04 или 3:36, с пометкой «Запрос документов гражданского состояния». На самом деле никакого документа не запрашивали. Сервис, которым воспользовались злоумышленники, некорректно фиксировал основание обработки данных, поэтому каждый их запрос отображался в истории пострадавшего как действие, совершенное самим пользователем. Это случайно обнаруженный след атаки и на данный момент единственное персональное подтверждение того, что данные конкретного человека могли быть затронуты.
ПОРТРЕТ ЛИЧНОСТИ – ЦИФРОВАЯ ИДЕНТИЧНОСТЬ
Если рассматривать их по отдельности, почти каждая информация из этого набора уже была кому-то известна. Банк располагал информацией об IBAN, школа – сведениями о детях, Налоговая служба – данными о задолженностях, а семейный врач знал, что человек закреплен за ним как пациент. По отдельности ни одна из этих категорий информации не относится к сведениям, представляющим государственную тайну. Основная угроза заключается именно в сформированном цифровом портрете личности. Все эти сведения об одном человеке могут быть объединены и попасть к лицу, которое не связано с ним никакими обязательствами.
А такой портрет позволяет без особых усилий получить достаточно полное представление о человеке. По дате рождения можно определить ваш возраст и возраст ваших родителей: если матери 78 лет, сценарий мошенничества под условным названием «внук попал в беду» уже практически готов. По информация о семейном враче, к которому вы прикреплены территориально, можно определить район, в котором вы проживаете. Сведения о пенсии, социальных пособиях и инвалидности позволяют судить о степени зависимости человека от государственных выплат, а также о его потенциальной уязвимости перед тем, кто “позвонит, представившись сотрудником Национальной кассы социального страхования”. По автомобилю можно судить об уровне жизни человека и при необходимости легко подобрать убедительный предлог для контакта с ним. По данным о компании можно понять, что вы предприниматель, а значит, становитесь идеальной целью для мошеннического счета с подмененным IBAN. По налоговой задолженности можно создать убедительное ощущение срочности. По истории платежей – узнать, что именно и когда вы платили государству. Фотография показывает, как вы выглядите.
В основе любой успешной манипуляции лежат четыре ключевых элемента: доверие, ощущение срочности, страх и авторитет. Именно эти данные дают мошеннику всё необходимое. Доверие формируется за счет достоверных сведений, тогда как ощущение срочности и страх опираются на обстоятельства, имеющие значение для потенциальной жертвы. Авторитет же возникает из-за того, что звонящий “знает” вещи, которые, как кажется, могут быть известны только официальному учреждению. До сих пор мошенники действовали наугад. Теперь злоумышленники могут определять, с кем связываться, какой сценарий использовать и в каком порядке выстраивать коммуникацию, а с помощью инструментов автоматизации способны ежедневно создавать тысячи персонализированных сообщений.
Уже поступило сообщение о случае мошенничества. 28 октября житель Кишинева лишился 15 000 евро после того, как «операторы» сообщили ему, что его персональные данные были скомпрометированы и что на его имя могут быть оформлены кредиты. Сообщение об атаке фактически превратилось в инструмент для новых манипуляций.
Но мошенничество – это лишь видимая часть проблемы. Если, как утверждает правительство, за атакой может стоять государственный субъект, то объектом воздействия становится не столько наше имущество, сколько наше поведение. Подобные профили могут использоваться для адресного распространения политических сообщений среди уязвимых групп населения, давления на лиц с задолженностями, запугивания чиновников или журналистов через их детей, вербовки, а также для публикации компрометирующих сведений непосредственно перед выборами.
Еще в июне Служба информации и безопасности (СИБ) сообщала о попытках российских специальных служб получить базы данных, содержащие информацию о гражданах Республики Молдова. Манипуляция такого рода не ограничивается одним телефонным звонком, совершенным в 19:40. Такое воздействие развивается постепенно, на протяжении месяцев, и создает впечатление, будто человек самостоятельно пришел к определенному выводу. Именно поэтому об этом нужно говорить сейчас, пока это находится в центре общественного внимания, а не через год, когда все это станет привычным фоном.
ЧЕГО МЫ ПОКА НЕ ЗНАЕМ И ЧТО СЛЕДУЕТ ПРОВЕРИТЬ
Официальная информация позволяет понять, какие категории данных были извлечены. Однако она не раскрывает, кто именно пострадал, в какой степени и кто является его исполнителем. Каждый из этих пробелов требует отдельных ответов.
Но самый тревожный вопрос связан именно с уведомлением пострадавших. Согласно Закону № 195/2024, если нарушение влечет высокий уровень риска, лица, которых оно затрагивает, должны быть уведомлены лично и без неоправданного промедления. Публичное уведомление допускается только в тех случаях, когда индивидуальное уведомление потребовало бы несоразмерных усилий. Спустя неделю после атаки ни одному из граждан не было направлено персональное уведомление с разъяснением того, что его данные оказались раскрыты и какие именно категории информации были затронуты. У государства есть необходимые каналы: EVO, SMS, почта. Без индивидуального уведомления каждому из нас остается лишь предполагать, что среди раскрытых сведений могли оказаться как данные о семье, так и информация о пенсии или предпринимательской деятельности. Если вопрос следует адресовать Агентству электронного управления (АЭУ), то разъяснение того, какие действия считаются достаточными в данной ситуации, относится к компетенции Национального центра по защите персональных данных (НЦЗПД).
Второй вопрос касается установления виновника атаки. Премьер-министр рассказал о признаках более масштабной кампании, в которой задействованы иностранные государственные субъекты. Это рабочая гипотеза, а не окончательный, подтвержденный вывод. Установление виновника кибератаки может занять месяцы; оно основывается на технических доказательствах, при этом выводы могут меняться. «Улики» – это еще не «доказательства», а «государственные субъекты» – это пока не название конкретной страны. Это важно для общественности, а не только для дипломатии: преступная группировка извлекает из данных выгоду быстро и предсказуемо, тогда как иностранная разведка использует их медленно и незаметно.
Третий вопрос касается судьбы данных. Ни один официальный орган не подтвердил публикацию или продажу этого набора данных, а скриншоты «из даркнета», которые циркулируют в сети, не имеют источника, который можно было бы проверить. Граждане не имеют возможности проверить самостоятельно. Мониторинг нелегальных рынков входит в задачи Агентства по кибербезопасности (ASC), СИБ и полиции, при этом следует особо оговорить обязательство публично уведомлять о случаях обнаружения там соответствующих данных.
Остаются также технические вопросы, ответы на которые покажут, может ли подобный инцидент повториться. Насколько детализирована “история платежей MPay” и содержат ли данные о детях их идентификационный номер (IDNP)? Почему были деактивированы EVOSign и двухэтапная аутентификация – если не учитывать объяснение о “дополнительных проверках”? Существует правдоподобная гипотеза, которая еще требует подтверждения, согласно которой эти данные вместе с фотографией могут помочь в прохождении дистанционных проверок личности. Были ли данные только прочитаны, или они также подверглись изменениям, учитывая, что проверка всё еще продолжается? А как 11 миллионов запросов остались незамеченными в течение четырёх дней?
Даже цифра 750 000 является предварительной и может содержать дублирования. Для общественности разница может показаться незначительной. Для установления ответственности это имеет значение.
ПРЕУВЕЛИЧЕННЫЕ И НЕДООЦЕНЕННЫЕ РИСКИ
В общественном дискурсе одни риски преувеличены, тогда как другие – менее заметные – упускаются из виду. Нет, одного лишь IBAN недостаточно, чтобы опустошить наш счет: это адрес, по которому деньги отправляются, а не ключ, с помощью которого их можно снять. Для проведения дебетовой транзакции требуются карта, ПИН-код, код подтверждения или подпись, однако в извлеченном наборе данных ничего из этого не содержится.
Нет, одного лишь знания данных недостаточно для передачи прав на дом, автомобиль или бизнес: записи в реестрах не были изменены, а осознание того, что вы чем-то владеете, еще не означает наличия у вас законного права на этот актив. Нет, раскрытие этих данных не означает автоматически “кражу личности” – для этого потребовались бы также копия документа, удостоверяющего личность, наш телефон или наши пароли. И, исходя из представленной информации, нет никаких общих оснований для замены удостоверений личности.
IDNP никогда не был секретом. Он есть в договорах, в счетах, в списке из детского сада. Проблема не в том, что кто-то об этом знает, а в том, что некоторые компании по-прежнему воспринимают это как доказательство того, что речь идет именно о нас.
Заверения в обратном могут быть столь же обманчивыми. «У меня нет учетной записи EVO, так что это меня не касается»: данные находятся в государственных реестрах, независимо от наличия приложения, а учетная запись позволяет лишь увидеть, кто к ним обращался. «У меня нет денег, поэтому никто меня не ищет» – для мошенника пенсионер, у которого есть 3000 леев и который не имеет привычки задавать лишние вопросы, – куда более подходящая цель, чем осторожный предприниматель.
Однако три риска недооцениваются.
Первый – это время: у данных нет срока годности. Даты рождения, имена детей и номера банковских счетов (IBAN) остаются актуальными в течение многих лет, и мошеннические схемы, основанные на этих данных, могут проявиться даже спустя два года – к тому моменту, когда человек уже исчезнет из поля зрения прессы.
Второй – это объединение данных. Недостающие элементы из набора АЭУ – номер телефона и адрес – можно найти в более ранних утечках. До этого случая в Республике Молдова было зафиксировано 16 инцидентов, связанных с утечкой персональных данных: в 2015 году – данные 139 400 клиентов компании StarNet; в 2022 году – сведения из кадастрового реестра (к которому через одну учетную запись было совершено 680 263 обращения), затрагивающие 362 533 человека; а ранее в этом году – база данных группы Шора, содержащая информацию о 145 000 человек. Так что ситуация не новая – проблема существует давно. Октябрь стал связующим звеном между идентичностью, семьей и деньгами.
Третий риск – это манипуляции, не предполагающие денежных расчетов (подобные тем, что были описаны выше); в таких случаях не появляется пострадавших, которые могли бы обратиться в полицию, а значит, не возникает и никаких новостных поводов.
ПРЕССА – В ТЕЧЕНИЕ НЕДЕЛИ ПОСЛЕ
В подобных ситуациях пресса не просто рассказывает о системе обороны – она сама является ее частью. То, что доходит до общественности раньше, чем до мошенника, важнее любого исправления, установленного на серверах АЭУ. Именно по этой причине то, как были написаны материалы на этой неделе, заслуживает критического взгляда.
Преобладали заголовки, в которых использовался термин «похищены». Это слово не является ложным, но оно неточно – и эта неточность обходится дорого. Формулировка «похищены данные 750 000 граждан Молдовы» подразумевает, что набор данных уже находится в обращении; в ней речь идет о конкретных людях – в то время как в официальном заявлении фигурируют персональные идентификационные номера (IDNP), – к тому же отсутствует слово «предварительно». Мошенники ссылаются на эти заголовки. Они становятся первым предложением в обращении, опубликованном в 19:40.
Также циркулировали скриншоты «из даркнета» без указания источника, как будто изображение само по себе является доказательством. Повторная публикация личных идентификационных номеров (IDNP) или имен из предполагаемой утечки сама по себе может представлять собой незаконную обработку данных, а также подтверждает достоверность этих данных для тех, кто занимается их продажей. То тут, то там возникал также рефлекс превращать «указания на причастность государственных субъектов» в утверждение «Россия совершила атаку», при этом все нюансы и оговорки по пути терялись.
Три фактора могли бы значительно улучшить качество освещения в СМИ. Первый: описание схем мошенничества, а не инструкций по их применению. Людям необходимо знать, как выглядят «безопасный счет», «курьер» и «племянник в беде». Им не нужны ни номера телефонов мошенников, ни ссылки, ни рабочие копии фейковых веб-страниц.
Второй: жертвы не наивны. Кто-то «стал жертвой мошенничества, подготовленного с использованием реальных данных», а не «попался на уловку». Стыд – это оружие мошенника: он препятствует тому, чтобы о случившемся сообщали или делились предостережениями внутри семьи.
Третий: в каждом материале – абзац, побуждающий к действию, каким бы аналитическим ни был сам материал. Читателю стоит усвоить одно: никто не запрашивает у вас коды по телефону – злоумышленнику нужны именно вы. Эта фраза, повторенная пятьюдесятью редакциями, стоит больше, чем любая инфографика.
В долгосрочной перспективе есть ещё два важных момента. Такие нерешенные вопросы, как индивидуальное оповещение, проведение аудита и сбор статистики по попыткам мошенничества, требуют контроля на протяжении многих месяцев – как раз в тот период, когда пресса, как правило, уже перестает проявлять к ним интерес. «Длинный хвост» инцидента – это также тот этап, на котором организации раньше всего теряют бдительность.
В то же время, пресса сама по себе может стать предлогом. Если новость об атаке была использована в мошеннической схеме, то вслед за ней могут появиться логотипы редакций, клонированные страницы и «опросы», в которых запрашиваются личные данные. Редакциям следует прямо заявить, что они никогда не запрашивают персональные данные, а также периодически проверять, не появились ли страницы, имитирующие их присутствие.
ЧЕГО МЫ ДОЛЖНЫ ОЖИДАТЬ
Граждане должны проявлять бдительность. Впрочем, для кого-либо другого это не служит оправданием, а отставка директора не ставит точку в дискуссии об ответственности. Закон существует. Проблема заключается в его применении.
Согласно недавнему анализу 64 киберинцидентов, зафиксированных в Республике Молдова в период с 2009 по 2026 год (подготовленному в рамках серии материалов „Cybersecurity and Personal Data Protection Vulnerabilities, and Compliance with the Requirements of Chapters 23 and 10 in the EU–Republic of Moldova Accession Negotiations”), уровень гармонизации законодательства в области защиты данных оценивается в 71%, а уровень его практической реализации – в 34%. Самыми слабыми местами являются именно те области, в которых сейчас проявились уязвимости: безопасность обработки данных, потенциал НЦЗПД и реестры отраслевых организаций.
Из 64 инцидентов 17 были связаны с раскрытием персональных данных, по 19 имеется публично задокументированное расследование, и лишь в двух случаях были применены санкции. Ни в одном из семи контрактов, касающихся затронутых сервисов, не прописаны требования к безопасности, при этом платформы, подвергшиеся атаке, получили от Всемирного банка займы на сумму 91,5 млн долларов, тогда как на защиту данных было выделено лишь около одного миллиона евро.
Это оценки автора упомянутого анализа – а не официальные показатели, – но они указывают на то, что теперь мы можем наблюдать невооруженным глазом: мы создали цифровые сервисы, забыв при этом установить “двери”.
Мы вправе ожидать от АЭУ и правительства персонального уведомления – с указанием того, какие именно категории данных каждого конкретного лица оказались скомпрометированы, – а также проведения публичного аудита с четким графиком, который даст ответы на три простых вопроса: почему государственные службы отвечали на запросы от кого попало, как 11 миллионов таких запросов могли оставаться незамеченными в течение четырех дней и какие требования к безопасности были прописаны в соответствующих контрактах?
От банков, микрокредитных организаций и телекоммуникационных операторов – а также от Национального банка Молдовы, Национальной комиссии по финансовому рынку и Национального агентства по регулированию в области электронных коммуникаций и информационных технологий – требуется положить конец сложившейся практике: имя человека, его персональный идентификационный номер (IDNP) и дата рождения больше не могут служить подтверждением личности в Республике Молдова.
Дополнительная проверка по телефону, защита при смене SIM-карты и рассылка всем клиентам сообщения, содержащего одно-единственное правило, – всё это не требует больших затрат. Стоит меньше 15 000 евро. А от НЦЗПД мы ждем проведения собственного расследования – с обнародованием выводов, – а не просто регистрации уведомления.
Есть еще одна сфера, до которой должен дойти этот прорыв: переговоры о вступлении. При оценке глав 23 и 10, касающихся основных прав и цифровой трансформации, должны учитываться не только принятые законы, но и их применение. Инцидент, произошедший в октябре 2026 года, показывает, почему эту практику следует отдельно проанализировать в обеих главах. Если бы от этой атаки могло остаться хоть одно институциональное изменение, то именно оно было бы наиболее полезным.
ЧТО ЕЩЕ ПРЕДСТОИТ СДЕЛАТЬ СЕГОДНЯ ВЕЧЕРОМ
Пока государственные органы выполняют свою работу, каждому из нас предстоит внести свой небольшой вклад – и сделать это прямо сейчас. Расскажем родителям три истории – «племянник в беде», «безопасный счет», «курьер» – и правило, которое опровергает их все: никто не звонит, чтобы выведать коды, пароли или деньги. Повесьте трубку и перезвоните сами по официальному номеру.
Давайте выберем семейное кодовое слово на случай чрезвычайных ситуаций. Включим банковские уведомления и сменим пароли, которые основаны на дате рождения или имени ребенка. Запросим у мобильного оператора пароль для смены SIM-карты, а в бюро кредитных историй – собственный кредитный отчет.
А если мы уже передали код или деньги – прямо сейчас, не откладывая на завтра, позвоним в банк, а затем – в полицию; и пусть нас при этом ничуть не мучает стыд. Стыд – это тоже удел мошенника.
Злоумышленнику нужны мы. Все, что у него есть, – это данные. Чтобы получить деньги или влияние, ему нужен код, клик, перевод, встреча с курьером или согласие, данное без вопросов о том, откуда оно взялось.
Данные уже не вернуть. Единственное, что мы можем изменить, – это то, как мы действуем, когда раздается телефонный звонок, и насколько настойчиво требуем от тех, кто должен был обеспечить сохранность наших данных, сделать так, чтобы подобное больше не повторилось.
Правильный вопрос на этой неделе – не «Они снимут деньги с наших счетов?», а «Кому мы еще верим и на каком основании?». Ответ на него формируется с этого момента в каждом звонке, на который мы не отвечаем кодом.
Наталья Спыну
директор Европейского института политических исследований Республики Молдова
