Афера з Приватбанком. Хто і як торгує в Україні базами даних

Одразу обмовимося: тут мова піде не про торгівлю публічними, рекламно-комерційними базами даних на кшталт "Всі виробники України за 2020 рік на одному CD". Йтиметься про інший ринок, (нібито) нелегальний, на якому можна купити приватну інформацію про приватних осіб, закриті бази даних клієнтів організацій або платіжних систем, банківські бази даних тощо.

Витоки, витоки, витоки...

Днями спалахнув черговий скандал, пов'язаний з витоком даних клієнтів українського Приватбанку. Велике міжнародне видання з кібербезпеки Cybernews.com розповіло про те, що в інтернеті, на одному з популярних хакерських форумів, з'явилася в продажу база даних з 40 млн записів про клієнтів Приватбанку.

Ці записи включають повне ім'я, дату і місце народження, номер мобільного телефону, сімейний статус і наявність автомобіля, освіту, паспортні дані тощо.

У Приватбанку журналістам Cybernews.com на їх запит, звичайно, відповіли, що нічого подібного немає і бути не може. "З початку 2017 року служба інформаційної безпеки Приватбанку не зафіксувала жодного факту копіювання або передачі персональних даних з клієнтської бази банку. Персональні дані клієнтів захищені багаторівневою системою безпеки і копіювання бази даних технічно неможливе", — сказав представник банку.

За його словами, дані, що продаються, "створені шахраями, які не мають і ніколи не мали доступу до персональних даних жодного з українських банків і установ".

Однак продавець бази даних стверджує, що всі дані актуальні, і пропонує перевірити їх валідність. Також він публікує приклади записів.

Уся ця база даних пропонується за ціною $3400 (оплата криптовалютою). Крім того, той самий анонімний продавець пропонує ще ряд баз даних по різних країнах, у тому числі по Україні.

Важко сказати, чи дійсно на хакерському форумі продається справжня база даних клієнтів Приватбанку. Але точно відомо, що подібні скандали в Україні спалахують досить часто. У квітні 2018 р. поліція затримала осіб, які продавали персональні дані українських громадян. Йшлося про крадені бази даних клієнтів "Нової Пошти" і Приватбанку, а також бази податкових і митних органів. Наприклад, база 500 тис. клієнтів "Нової Пошти" з ПІБ, телефонами і паспортами продавалася за 1500 грн. (щодо "Нової Пошти" пізніше інформація не підтвердилася). Ще раніше — у вересні 2017-го — хакери зламали сервери Приватбанку і чи то вивезли, чи то переслали особисті дані клієнтів в Росію.

А в травні 2020-го в масовому витоку особистих даних українців звинувачували вже мобільний додаток "Дія". Правда, міністр цифрової трансформації Михайло Федоров це категорично спростував. Однак дані дійсно були доступні через Telegram-ботів, що викликало бурхливе обговорення проблеми.

Але ж є ще безліч державних відомств і ще більше — комерційних структур, які також ведуть свої власні, спеціалізовані бази даних. Ну а грошей на інформаційну безпеку завжди не вистачає, зате майже напевно знайдеться який-небудь низькооплачуваний співробітник, який захоче заробити і винесе величезну базу на флешці розміром з ніготь.

У результаті навіть не треба вже лізти в Даркнет ("тіньовий інтернет") — досить скористатися пошуком Google, щоб швидко знайти щось таке:

Що пропонують інфобізнесмени?

Сьогодні вже навіть не обов'язково мучити Google запитами — в месенджері Telegram працюють справжні "супермаркети" конфіденційної інформації. Не завжди та чи інша база пропонується відкрито. Але якщо вона потрібна, не так складно знайти спеціалізований чат і запитати там: чи не готовий хто продати? Зазвичай це вирішує проблему.

На сьогодні чати і канали в Telegram — найоперативніший і найзручніший спосіб торгівлі конфіденційною інформацією. Утім, сайти своєї актуальності не втрачають — все-таки там можна розмістити більше інформації. Такої, наприклад:

Найпростіший і найдешевший варіант щодо приватних осіб — це база, яка містить ПІБ, телефони (мобільний і міський), адресу реєстрації. Набагато дорожче коштують спеціалізовані дані: щодо наявного майна (автомобілі, нерухомість) у кримінальних та адміністративних справах цієї людини, ДТП з його участю, взятих і повернених/неповернених кредитів, роздруківки його телефонних дзвінків (кому і коли дзвонив він, хто дзвонив йому) тощо.

Ціни дуже варіюються: від буквально 100 грн за простеньку базу і до багатьох тисяч доларів за базу з фінансовою або податковою інформацією. Все залежить від важкодоступності інформації, її повноти, актуальності, а також рівня довіри до продавця. Одні з найдорожчих баз — митні.

Скрізь є своя специфіка. Наприклад, база даних служб доставки дозволяє визначити реальні та актуальні на даний час адреси проживання людей. База по взятих і погашених кредитах — реальний фінансовий стан людини і його сім'ї, розкрити можливі проблеми. Теж інформація, яку можна використовувати в тому числі і для кримінальних справ.

Як продають інформацію: технологія

Бази даних з інформацією про людей і підприємства добуваються двома шляхами: через крадіжку або парсинг. З крадіжкою все зрозуміло: злили інформацію зі службового комп'ютера.

Парсинг — це автоматизований збір інформації з відкритих джерел. Ви розмістили оголошення на OLX або якомусь інтернет-форумі, вказали там своє ім'я та телефон. Або дали оголошення про пошук роботи. Програма-парсер, яка переглядає подібні сайти, додасть вас у свою базу даних, "прив'язавши" до імені будь-яку інформацію, яка знайдеться в мережі. Зрозуміло, що вкрадена інформація цінується вище, хоча і грамотно проведений парсинг здатний дати багато інформації про людину.

Зазвичай торгівля відбувається наступним чином. Клієнт залишає заявку на сайті або в Telegram-каналі продавця. Менеджер зв'язується для уточнення деталей. За необхідності відправляє якусь кількість рядків з бази даних для її перевірки. Також клієнтові можуть показати базу різними способами за бажанням: наприклад, відео бази з екрана (можна натиснути на паузу і перевірити вибірково контакти).

Далі клієнт сплачує базу на банківську карту, криптовалютою, через платіжну систему або при особистій зустрічі. Після отримання оплати йому можуть відправити файл з базою на пошту, через різні месенджери або віддати при особистій зустрічі на флешці.

Багато хто, хто має доступ до тих чи інших закритих баз даних, вважають за краще торгувати інформацією "в роздріб": не продавати відразу всю базу, а знаходити в ній інформацію по конкретній людині чи фірмі — під замовлення. добре, що сучасні технології дозволяють це легко автоматизувати — наприклад, через бота в месенджері Telegram.

Виходить невигадливий, але прибутковий інфобізнес: людина купує (або краде) кілька баз з конфіденційною інформацією, а далі продає її в роздріб. Наприклад, він може під замовлення зібрати воєдино з різних баз інформацію по конкретній людині або організації. Або зробити вибірку записів (скажімо, від 100 до 10 тис.) за певними критеріями.

Більш того, зараз найсвіжіший тренд у цьому бізнесі — підбір бази даних (або вибірки з неї) під конкретний напрям діяльності. Причому як легальної, так і кримінальної — продавцям інформації це байдуже.

Залишається одне питання: наскільки все це (не)законно і як борються правоохоронці з подібним бізнесом. Борються, звичайно, і навіть регулярно рапортують про успіхи. Але, як самі ж зізнаються в неофіційних бесідах, небагато подібних справ вдається довести до суду, а ще рідше — дати зловмисникам реальні терміни. З одного боку, на відміну від, скажімо, наркоторгівлі, суспільна небезпека таких злочинів не настільки очевидна.

З іншого — інфобізнесмен зазвичай говорить, що сам нічого не крав, а лише перепродує бази даних, які сам купив і навіть не знав, що вони закриті. Або знав, але вважав дані вже неактуальними. Або взагалі зібрав інформацію сам, за допомогою спеціальної програми.

Якщо вже продавців фальшивих грошей в Україні, як ми з'ясували недавно, практично неможливо притягнути до відповідальності, то що вже говорити про торгівців інформацією...