Ваши данные больше не персональные. Как инсайдеры продают чувствительную информацию
Компания «Серчинформ» изучила свыше ста судебных решений 2024–2025 годов по преступлениям в сфере информационной безопасности, совершенным сотрудниками различных организаций. Две трети из них связаны с незаконным доступом к компьютерным данным. 68% произошли в телекоме. В США кражей персональных данных чаще всего занимаются работники здравоохранения.
Photo by Aaron McLean on Unsplash
Среди лиц, привлеченных к уголовной ответственности за нарушения информбезопасности, чаще всего оказывались работники связи (55% случаев). Далее следуют представители госструктур (16%), а также сотрудники финансовых организаций (15%).
GR-специалист компании «Серчинформ» Дмитрий Вощуков рассказал, что статья 272 УК РФ охватывает широкий спектр правонарушений, связанных с несанкционированным доступом к охраняемым сведениям, независимо от того, выявлены ли такие случаи следствием или самими потерпевшими компаниями. В четверти случаев приговоры по этой статье заключаются в наложении штрафов либо запрете занимать конкретные должности и лишь в 9% случаев последствия выражаются в ограничении свободы обвиняемого сотрудника.
Статьи 272 УК РФ «Неправомерный доступ к компьютерной информации»предусматривает следующие меры наказания: штраф от 200 тыс. до 500 тыс. рублей либо эквивалентный доходу осужденного за период от полутора до трех лет. Запрет занимать определенные должности возможен на срок до трех лет, а ограничение свободы устанавливается продолжительностью от двух до четырех лет.
Исследование показало, что наиболее распространенным нарушением стало предоставление персональных данных клиентов и подробностей телефонных разговоров («пробив») — этот вид правонарушения составил почти половину (47%) зафиксированных инцидентов. Треть исследованных случаев (33%) была связана с внесением недостоверной информации в различные информационные системы, включая выпуск SIM-карт, а 16% — с незаконной передачей или извлечении иной закрытой информации.
Также аналитики обнаружили, что в абсолютном большинстве (87%) инцидентов ответственными за нарушения оказались обычные сотрудники компаний. Статистика показывает, что примерно половина нарушителей (45%) подверглись наказанию в виде штрафа, 26% получили условный срок лишения свободы, четверть (23%) были временно отстранены от исполнения конкретных обязанностей. Наказание в виде реального срока заключения понесли 6% преступников.
Сколько стоит пробив
Средняя цена пробива, предлагаемая в специализированных Telegram-каналах, варьируется от 5 до 20 тыс. рублей за одного человека. За эти деньги клиент получает пакет информации, включающий полный перечень идентификационных сведений: полное имя и фамилия, дату рождения, паспортные данные, контактный мобильный номер, фактический и регистрационный адреса, подробную историю голосовых и SMS-сообщений, финансовые реквизиты (банковские счета, остаток средств, карты и операции), страховые и налоговые сведения (СНИЛС, ИНН), а также данные водительского удостоверения. Чем свежее данные — тем они дороже.
Наказания за утечки стали строже
В 2025 году в закон «О персональных данных» и Кодекс Российской Федерации об административных правонарушениях были внесены изменения, существенно ужесточившие правила обработки персональной информации гражданами и организациями. Руководитель отдела разрешения IT & IP-споров юридической фирмы «Рустам Курмаев и партнеры» Ярослав Шицле сказал, что теперь операторы обязаны соблюдать повышенные стандарты защиты данных пользователей, а их ответственность за возможные нарушения значительно выросла. Одним из нововведений стал механизм расчета штрафов для юридических лиц за повторные инциденты с утечкой данных. Теперь организации, повторно допускающие подобные происшествия, рискуют столкнуться с финансовыми санкциями в виде оборота от 1% до 3% ежегодной выручки, однако максимальный размер взыскания ограничен суммой 500 млн рублей.
Телеком: любые подозрительные случаи немедленно расследуются
Директор департамента методологии информационной безопасности компании «Ростелеком» Михаил Савельев подчеркнул, что уволившиеся сотрудники не способны осуществить пробив, поскольку в день своего ухода теряют доступ к корпоративной инфраструктуре и информационным ресурсам. По его мнению, мелкие инциденты, вызванные человеческими факторами вроде ошибок или недостатка квалификации работников, встречаются часто, но обычно не приводят к серьезным последствиям, включая раскрытие клиентских данных. «Ростелеком» применяет концепцию минимизации прав доступа сотрудников, регулируя уровень доступа как к самим системам, так и к конкретным данным пользователей. Что касается намеренной передачи или злоупотреблений персональными данными, такие события крайне редки, утверждает эксперт. Любые подозрительные случаи немедленно расследуются внутри компании, выясняются причины происшествия, участники и их мотивация. Помимо возможных умышленных действий, особое внимание уделяется проблемам организационного характера: недостаток обучения персонала, сложности процедур или неясность регламентов. При обнаружении признаков административного проступка или уголовного преступления сотрудник несет соответствующую ответственность, вплоть до увольнения. Компания готова обращаться в правоохранительные органы, если инцидент выходит за рамки внутреннего разбирательства.
Представитель Т2 также сообщил изданию, что доступ сотрудников к личным данным строго регламентируется, а случаи недобросовестного обращения с ними являются единичными и быстро устраняются самой организацией.
Компании увлеклись «бумажной» безопасностью
Руководитель отдела управления правами доступа к информационным ресурсам группы компаний «Солар» Юлия Семенова подтвердила, что сфера телекоммуникаций относится к числу отраслей, наиболее подверженных попыткам мошенничества и хищениям данных. Она считает, что практика продажи приватных сведений перестала быть изолированными случаями и превратилась в полуофициальный теневой рынок, включающий целый комплекс участников: самих сотрудников провайдеров, посредников, собирателей данных и конечных заказчиков.
Похожее мнение выразил представитель технологической компании F6, специализирующейся на разработке инструментов противодействия киберугрозам. По его наблюдениям, схема преступных действий приобрела систематизированный характер, вовлекая целую цепочку заинтересованных сторон, участвующих в добыче и продаже чувствительной информации.
Начальник отдела безопасности компании «Серчинформ» Алексей Дрозд обратил внимание на тот факт, что нормативные требования к обеспечению конфиденциальности данных, особенно в секторе связи, в России являются одними из самых жестких в мире. Однако отдельные компании нередко сосредотачивают усилия исключительно на «бумажной» безопасности или ориентированы лишь на защиту от внешних злоумышленников-хакеров, игнорируя угрозы, возникающие вследствие человеческого фактора. Эксперт предложил решение проблемы путем разработки отраслевого стандарта или рекомендаций от контролирующих органов, направленных на повышение уровня технической защиты данных от внутренних рисков, обусловленных поведением сотрудников. Подобный документ позволил бы устранить дисбаланс между теоретическими требованиями и практическим уровнем безопасности.
Корыстные и мстительные инсайдеры виновны в 14% утечек персональных данных в США
Согласно отчету американского телеком-оператора Verizon «2025 Data Breach Investigations Report (DBIR)» (Отчет по расследованию утечек данных 2025 года), инсайдеры — сотрудники, подрядчики, стажёры — ответственны за 14% всех утечек данных. Эти инциденты включают как злонамеренные действия, так и ошибки. При этом за последние пять лет 76% организаций зафиксировали рост числа внутренних угроз, а в период с 2023 по 2024 год количество случаев раскрытия, потери, утечки и кражи данных по вине инсайдеров увеличилось на 28%.
Согласно аналитике из отчета независимого исследовательского центра Ponemon Institute «Cost of Insider Risks Global Report 2025» (Глобальный отчет о стоимости инсайдерских рисков за 2025 год). В 2024 году зафиксировано 7 868 инцидентов, связанных с инсайдерами, 7 343 в 2023 году. Средняя годовая стоимость инцидентов утечки данных, связанных с инсайдерами, в 2025 году достигла $17,4 млн — это на 7,4% больше по сравнению с $16,2 млн в 2023 году.
Подавляющее большинство (89%) случаев злонамеренного внутреннего взлома мотивировано личной финансовой выгодой. На втором месте идут обиды и месть кому-либо (это может быть работодатель или клиент компании), на третьем — кража данных с целью шпионажа.
Что касается отраслей, где инсайдеры крадут персональные данные, то чаще всего этим занимаются работники здравоохранения, на втором месте финансисты, на третьем сотрудники телекоммуникационных компаний.
Новости
Неделя рекламы 
Кейсы 
How to 
Интервью и дискуссии 
Маркетинговые исследования 
Просто о сложном 
Энциклопедия обмана 
Проверено ADPASS 
Рекламные кампании