Продажа и покупка персональных данных

Сколько стоят Ваши персональные данные?

Metric Labs провели исследование и выяснили сколько стоят Ваши персональные данные. Эта компания занимается изучением спроса и предложения на различные товары и услуги уже более 10 лет. В частности они провели исследование востребованности Ваших персональных данных и подсчитали сколько такая информация будет стоить в даркнете.

Мошенники покупают и продают в теневом интернете похищенные личные данные пользователей. Это не только данные кредитной карты. Сюда входят анкеты на различных онлайн сервисах и социальных сетях, которые тоже имеют доступ к Вашей личной информации. На момент написания статьи стоимость персональных данных в даркнете может стоить около $ 1200.

Неудивительно, что данные кредитной карты относятся к числу наиболее продаваемых, знаете ли вы, что мошенники взламывают учетные записи Uber, Airbnb и Netflix и продают их не по 10 долларов США каждый? Кажется, что в теневом интернете цена есть у всего. Счет Paypal с положительным балансом привлекает самые высокие цены (в среднем 247 долларов США). Наименее востребована информация со взломанных акаунтов сетевого питания Grubhub или американской торговой сети Walmart. Эти данные продаются менее чем за $ 10. Купить мошеннику логин и пароль от акаунта какого-нибудь онлайн-магазина обойдется в 2-5 долларов. Вы только вдумайтесь насколько это дешево. Перекусить в какой-нибудь забегаловке и то будет дороже.

В среднем у человека несколько десятков учетных записей, которые формируют его онлайн-идентичность. Каждый из акаунтов может быть взломан и продан. Эксперты по информационной безопасности Metric Labs рассмотрели десятки тысяч листингов на трех из самых популярных темных веб-рынков, Dream, Point и Wall Street Market. Эти ресурсы доступны только в браузере Tor, через который преступники анонимно продают похищенную личную информацию вместе со всеми видами контрабанды, такими как незаконные наркотики и оружие. Из исследования видно, что совокупность данных одного среднестатистического американца будет стоить около 1,170 долларов.

Финансы

Самые востребованные это данные кредитных карт и счетов, на которых есть деньги. Цены на продажу, как правило, составляют 10% от имеющегося на них баланса. Исследователи заметили, что есть повышенный спрос на счета Paypal, так как цена на них может быть гораздо выше.

Популярным типом листинга здесь является то, что известно как «Fullz». Эти пакеты «полной» идентифицирующей информации иногда также упаковываются с финансовыми реквизитами или продаются отдельно. В таких списках указано имя владельца, его адреса, девичьей фамилии матери, номера социального страхования, даты рождения и других персональных данных.

Удостоверение личности

Предпочтительной тактикой киберпреступников является создание кредитных линий под чужим именем. Вот почему мы видим всевозможные цифровые доказательства идентичности, которые торгуются, например, сканирование паспортов, самоубийство и коммунальные счета. Высокие цены отражают легкость, с которой такие предметы могут использоваться для совершения мошенничества.

Онлайн шоппинг

Там может быть большой уступка в цене, но взломанные учетные записи онлайн-покупок предоставляют множество возможностей для мошенничества. Большинство людей сменили руки менее чем на 10 долларов, некоторые из них намного меньше. Хранение платежных реквизитов на счетах Amazon или Bestbuy может быть очень удобным, но это оставляет владельцев учетных записей открытыми для ряда мошенников, таких мошенников, которые заказывают дорогие предметы, чтобы продать их и забрать наличные.

Самые высокие цены на учетные записи, которые с наибольшей вероятностью предоставят доступ к более полной личной информации, а также к стоимости товаров, которые могут быть обмануты. Взломанные учетные записи eBay также особенно привлекательны, поскольку они не только позволяют преступникам обманывать покупателей, отправляя им деньги на поддельные листинги, но также покупают дорогие товары на средства владельца счета.

Путешествие

Купленный акаунт Airbnb всего за 8 долларов открывает большие возможности для мошенника. Например, он может забронировать себе (или кому-нибудь еще) проживание в дорогих отелях. На акаунте арендодателя хакеры могут подменить платежные реквизиты и деньги за аренду номера могут поступить на счет хакера. Конечно, Airbnb ужесточил меры безопасности, но на форумах продолжают писать о возникновении подобных случаев.

Тут стоит вспомнить и недавнюю историю про Uber. Кто-то купил взломанные аки пассажиров Uber проживающих в Европе и США. Людям приходили счета за поездки в России, хотя они там никогда не бывали. Стоимость акаунта Uber была около 7 доларов.

Не стоит забывать, что мошенники могут отправлять фальшивые электронные письма от владельца взломанного акаунта! Будьте бдительны!

Развлечения

Как и в случае с большинством взломанных учетных записей, обнаруженных для продажи в даркнете, эти логины тоже используют для кражи личных данных. Дополнительный бонус заключается в том, что преступники могут также бесплатно передавать контент, по крайней мере до тех пор, пока истинный владелец не заметит, что их учетная запись, например, Netflix или Spotify была скомпрометирована. Низкая стоимость этих предметов отражает ограниченную емкость для повторного использования.

Связь

Взломанные учетные записи Skype были использованы для отправки спама, даже если была установлена двухфакторная аутентификация. Спам-сообщения иногда содержат фишинг-ссылки на популярные сайты, такие как LinkedIn и Baidu. Учетные записи мобильных телефонов — это сокровищница возможностей мошенничества, особенно с учетом использования SMS-сообщений, например, для проверки банковского счета. T-Mobile, представленный в списке со средней ценой $ 10,51, был недавно взломан.

Доставка

Недавно были пойманы мошенники, которые создавали сложные аферы, связанные с похищенными счетами Paypal и eBay. Они покупали дорогую электронику. Взломанная учетная запись DHL за 10,40 долларов может быть недостающим фрагментом головоломки, которая позволяет им получить доступ к товарам, которые они обычно перепродают.

Соцсети

Вход в Facebook стоит около 5,20 долларов США. Это примерно в 2 раза дороже, чем стоимость учетных записей в других социальных сетях. Фейсбук — это кладезь персональных данных. С помощью него мошенники могут получить доступ к другим счетам жертвы, поэтому он стоит гораздо дороже. Другие соцсети используются в основном для кражи личных данных и наличия компромата в личной переписке (интимные фото и прочее). Такие данные в сети лучше не хранить.

Электронная почта

На черном рынке, как и в обычной экономике, работают законы спроса и предложения. Даркнет наполнен буквально миллионами взломанных учетных записей электронной почты, соответственно и цены на них низкие.

Хотя получение доступа к электронной почте жертвы часто является критическим аспектом онлайн-мошенничества, он не так полезен сам по себе, как другие учетные записи. Детали кредитной карты обычно не хранятся там, а поиск личной информации в тысячах писем это довольно утомительное занятие, особенно, если оно не автоматизировано.

Безопасность в Gmail, такая как двухфакторная аутентификация и подозрительные предупреждения для входа в систему, снижают цену до 1 доллара по сравнению с другими почтовиками, так как несанкционированный доступ можно быстро заблокировать, что делает взломанные аки бесполезными.

Доставка еды

Мошенники тоже люди. Проголодавшись, они взламывают службы доставки еды, например Grubhub, чтобы обманным путем заказать себе дорогую еду и алкоголь. Потом на взломаных аках появляются счета долларов на 200. Стоимость такого ака около $ 9.

Знакомства

Акаунты на сайтах знакомств являются самыми дешевыми, что отражает их ограниченное использование для преступников. Хотя взломанные учетные записи для знакомств, безусловно, можно было бы использовать для «сомаринга», классического совета, в котором мошенник принимает вымышленную личность, чтобы заманить свою жертву в отношения, чтобы использовать ее потом для извлечения финансовой прибыли. Некоторые эксперты считают, что дешевле и проще создавать фальшивые аккаунты, а не покупать их. Но это не означает, что такие данные продавать будут меньше. Хакеры будут продавать любую информацию, даже если ее ценность минимальна. Помните об этом, когда будете загружать в сеть материалы, которые могут Вас скомпрометировать.

Ссылка на все исследование:
https://www.top10vpn.com/wp-content/uploads/2018/02/Dark-Web-Market-Price-Index-Feb-2018.pdf

Ответственность за покупку (продажу) персональных данных

Скорее всего, в России такие открытые исследования еще не проводились. Но это не имеет значение, так как ответственность за покупку и продажу личной информации все равно придется нести. Что же будет за нарушение закона о персональных данных в России?

Административная ответственность

Нарушение закона о персональных данных регулируется статьей 13.11 КоАП РФ (http://base.garant.ru/12125267/b369434ee740927935cc6f0a04242543/)

За обработку персональных данных в случаях, не предусмотренных законом, либо обработку, несовместимую с целями сбора персональных данных последует предупреждение или административный штраф:

• на граждан – от 1 тыс. до 3 тыс. руб.;
• на должностных лиц – от 5 тыс. до 10 тыс. руб.;
• на юридических лиц – от 30 тыс. до 50 тыс. руб.

За обработку персональных данных без письменного согласия субъекта, когда это необходимо, либо обработку данных с нарушением требований к составу сведений, включаемых в такое согласие административный штраф:

• на граждан – от 3 тыс. до 5 тыс. руб.;
• на должностных лиц – от 10 тыс. до 20 тыс. руб.;
• на юридических лиц – от 15 тыс. до 75 тыс. руб.

За невыполнение оператором обязанности по опубликованию или обеспечению иным образом неограниченного доступа к политике обработки персональных данных предупреждение или административный штраф:

• на граждан – от 700 до 1 тыс. руб.;
• на должностных лиц – от 3 тыс. до 6 тыс. руб.;
• на индивидуальных предпринимателей – от 5 тыс. до 10 тыс. руб.;
• на юридических лиц – от 15 тыс. до 30 тыс. руб.

За невыполнение оператором обязанности по предоставлению субъекту персональных данных информации, касающейся обработки его персональных данных предупреждение или административный штраф:

• на граждан – от 1 тыс. до 2 тыс. руб.;
• на должностных лиц – от 4 тыс. до 6 тыс. руб.;
• на индивидуальных предпринимателей – от 10 тыс. до 15 тыс. руб.;
• на юридических лиц – от 20 тыс. до 40 тыс. руб.

За невыполнение оператором в установленные сроки требования субъекта персональных данных или его представителя либо Роскомнадзора об уточнении персональных данных, их блокировании или уничтожении (если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки). Предупреждение или административный штраф:

• на граждан – от 1 тыс. до 2 тыс. руб.;
• на должностных лиц – от 4 тыс. до 10 тыс. руб.;
• на индивидуальных предпринимателей – от 10 тыс. до 20 тыс. руб.;
• на юридических лиц – от 25 тыс. до 45 тыс. руб.

За невыполнение оператором при обработке персональных данных без использования средств автоматизации обязанности по соблюдению условий, обеспечивающих их сохранность и исключающих несанкционированный к ним доступ, если это повлекло неправомерный или случайный доступ к данным, их уничтожение, изменение, блокирование, копирование, предоставление, распространение, либо иные неправомерные действия в отношении них административный штраф:

• на граждан – от 700 до 2 тыс. руб.;
• на должностных лиц – от 4 тыс. до 10 тыс. руб.;
• на индивидуальных предпринимателей – от 10 тыс. до 20 тыс. руб.;
• на юридических лиц – от 25 тыс. до 50 тыс. руб.

Уголовная ответственность

Уголовная ответственность при нарушении закона о персональных данных регулируется:

• Статья 137 Уголовного кодекса
  http://base.garant.ru/10108000/ebc50e6ddaded94a364f6da2a2cc3355/#block_137
• Статья 140 УК РФ
  http://base.garant.ru/10108000/39508de81c29ab8e2f1ebbd63918d25c/#block_140
• Статья 272 УК РФ
  http://base.garant.ru/10108000/8258b99e15c780ec0d7c9a628d13c3b2/#block_272

Тут в основном штраф до 300 тысяч рублей, либо принудительные работы до 360 часов, либо лишение свободы до 2х лет с лишением права заниматься определенной деятельностью и занимать определенные должности. Ну и соответственно лишением лицензии, если такая была.