К чему приводят утечки ПД https://plusworld.ru/articles/49571/

Мошенники открывают магазины на зарубежных маркетплейсах под чужими именами и с использованием ИНН ни о чем не подозревающих самозанятых граждан.
На AliExpress для создания магазина требуется указать имя, ИНН и контактный номер телефона. Платформа, согласно установленным ею правилам, проверяет, зарегистрирован ли человек с таким именем и ИНН в ФНС как самозанятый или ИП. Но не идентифицирует того, кто эти данные предоставляет: нет дополнительной проверки паспорта или других способов идентификации,
А с началом СВО и закрытием офисов зарубежных компаний у добросовестных пользователей появилось больше трудностей с тем, чтобы связаться со службой поддержки глобальных маркетплейсов и разрешить спор.

Любопытная история случилась в Томске – гражданина РФ осудили за отсутствие идентификации в сети. Дали три года ограничения свободы (ч.1 ст.273 УК РФ). Это такой особый легкий вид наказания, при котором обвиняемый обязан периодически отчитываться о своем местонахождении, ему запрещено посещать определенные места, но его не отправляют в колонию и даже не ограничивают нахождением исключительно дома. Дело рассматривали в особом порядке, подсудимый полностью признал свою вину.
Хотя решение суда уже опубликовано, в нем осталось много таинственного.
История развивалась так. 9 ноября гуру ИБ Алексей Лукацкий в своем телеграм-канале сообщил, что в Томске наказали некоего гражданина К. за использование VPN. Тогда решение суда еще не было опубликовано, а новость на сайте суда гласила , что «в результате использования гражданином К. вредоносной компьютерной программы были нейтрализованы средства защиты компьютерной информации, выразившиеся в невозможности однозначной идентификации пользователя и его сетевой активности в сети «Интернет», в том числе провайдером, оказывавшим услуги связи, включая доступ к сети «Интернет» по месту жительства гражданина К.»
На следующий день выяснилось, что это не VPN, а мессенджер Vipole. В полном решении суда указано, что гражданин Белоус «в октябре 2018 года не позднее 24 октября 2018 года умышленно в целях сокрытия следов своей деятельности в сети «Интернет», используя принадлежащий ему персональный компьютер с доступом к сети «Интернет» и статистическим IP-адресом 176.209.160.36, в сети «Интернет» осуществил поиск вредоносной компьютерной программы «Vipole», выражающейся в невозможности однозначной идентификации пользователя сети «Интернет» и его сетевой активности, в том числе провайдером, предоставляющим доступ к сети «Интернет» и заведомо для него предназначенной для нейтрализации средств защиты компьютерной информации провайдеров, направленных на однозначную идентификацию пользователя в сети «Интернет». 24 октября 2018 года в квартире ... в г.Томске Белоус Г.В. умышленно указанную программу «Vipole» в целях ее последующего использования записал на SSD диск Samsung MZ-76E250 с своего персонального компьютера, после чего в указанной квартире в период с 31 октября 2018 года по 20 августа 2020 года, осознавая, что использование данной программы приведет к нейтрализации средств защиты компьютерной информации провайдеров, регулярно осуществлял запуск вредоносной компьютерной программы «Vipole» со своего персонального компьютера, тем самым используя ее. В результате использования Белоусом Г.В. вредоносной компьютерной программы «Vipole» были нейтрализованы средства защиты компьютерной информации, выразившиеся в невозможности однозначной идентификации пользователя Белоуса Г.В. и его сетевой активности в сети «Интернет», в том числе провайдером ПАО «Ростелеком», оказывавшим услуги связи, включая доступ к сети «Интернет» по месту жительства Белоуса Г.В. в квартире ... в г.Томске.
Однако Vipole оказался не мессенджером! Представитель прокуратуры Томской области уточнила редакции vtomske.ru, что защищенный мессенджер не имеет отношения к этому делу. Его название просто похоже на название вредоносной программы, за использование которой осудили мужчину. По данным прокуратуры, эта программа популярна среди хакеров, в открытом доступе найти ее нельзя. По какой причине в приговоре написали неверное название, в прокуратуре уточнить затруднились. В пресс-службе Октябрьского районного суда комментарий к моменту публикации не предоставили.
Но и это еще не конец истории. По данным неофициальных источников в сибирском юридическом сообществе, человек был причастен к распространению интересных веществ. Но нормальных доказательств не было, поэтому пошли в ход «вредоносные компьютерные программы»
Чтобы не стояло за этим решением суда, прецедент создан. «Средства защиты компьютерной информации, выразившиеся в невозможности однозначной идентификации пользователя и его сетевой активности в сети «Интернет» признаны почему-то незаконными. Хотя никакой закон пока не обязывает проходить идентификацию при доступе в сеть.

Поможет ли страхование рисков утечек защите персональных данных? ИТ-Эксперты сильно сомневаются

Глава Минцифры Шадаев: России нужна единая система безопасной идентификации пользователей.
Государству нужна единая система надежной и безопасной идентификации. И кооперация с банками – главный способ это построить. У нас во главе – удобство пользователя, защищенность и безопасность. Важно обеспечить бесшовность перехода пользователя из системы "Госуслуг" в другие системы", — сказал Шадаев.

Как-то не получила должного внимания концепция открытых API, предложенная ЦБ. А ведь ее смысл — в открытом обмене клиентскими данными.
По нынешним планам ЦБ до конца 2024 года использование открытых API будет носить рекомендательный характер, а затем «их применение по ряду операций для крупнейших организаций станет обязательным». Другими словами, крупные банки, построившие экосистемы, чтобы входящим в них компаниям были доступны данные клиентов друг друга, должны будут открыть информацию конкурентам с начала 2025 года.
В новой концепции изложены два подхода внедрения открытых API: первый — только для финансовых институтов, второй — и для нефинансовых тоже. Второй полезнее и эффективнее, говорится в документе.
Банки готовятся к сопротивлению.

Ликбез. Как расшифровать VIN автомобиля.

Теперь персональные данные иноагентов станут публичными.

На «Авито» растет число объявлений от частных лиц и компаний о предоставлении услуг переноса или установки на смартфоны приложений банков, удаленных из App Store, с помощью специальной программы и доступа в iTunes. Подобная схема грозит передачей всех данных с устройства злоумышленникам, предупреждают эксперты.

Интересное исследование Сбера о телефонных мошенниках. 90% мошеннических колл-центров было на Украине, и СВО их остановила. Потом они снова начали возрождаться, но тут пошли массовые отключения электричества.
Впрочем, настоящее решение проблемы телефонных мошенников — не в бомбежках Украины. Сбер предлагает комплекс мер, включающих более быструю идентификацию по всей цепочке вызова, ускорение взаимодействия правоохранителей с операторами.
Также предлагается установить уголовную ответственности работников операторов связи за неоднократное нарушение закона о связи, повлекшее причинение существенного вреда правам и законным интересам граждан (организаций) либо интересам общества или государства.

Важное из вебинара «Масштабирование Госключа»:
1. Мобильное приложение без sdk и без десктоповской версии.

2. Можно получить сертификат физлица и подписывать им документы (УКЭП (КС1) или УНЭП). Интеграция с УЦ Казначейства России в работе.

3. В Госключе отображаются документы в следующих форматах: pdf, xml, tiff, txt. Общий объём файлов - до 100мб.

4. В Госключе пользователь может: подписать, отказаться от подписания.

5. Доступно пакетное подписание.

6. Срок хранения ЭД для подписания в Госключе – 24 ч. Процесс подписания асинхронный.

7. Госключ формирует откреплённую подпись.

8. Госключ не является местом для хранения, не выполняет функции маршрутизации, визуализации штампиков, МЧД.

9. Все документы, которые идут в Госключ, идут через портал Госуслуг. Подписанные документы хранятся 3 месяца.

10. Документы, которые направляются в Госключ, должны быть подписаны УКЭП.

Желаем успехов в дальнейшем развитии проекта.

МТС оценивают свою базу биометрических слепков как вторую после Сбера по объему. Это "несколько десятков миллионов биометрических образцов", - заявил Сергей Яковлев, директор Центра идентификации и цифровых продуктов МТС.

Росфинмониторинг намерен обязать банки делиться фото- и видеоматериалами с камер, установленных в отделениях или на банкоматах. Это должно помочь эффективнее бороться с незаконным обналичиванием денег и мошенничеством.
Эти инициативы содержатся в подготовленному ко второму чтению законопроекту с поправками в закон "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма" в части совершенствования процедур идентификации и упрощенной идентификации
Такие материалы «помогают установить реального держателя банковской карты, а также местонахождение лиц, находящихся в розыске, что способствует раскрытию преступлений», заявили РБК в Росфинмониторинге. Согласно поправкам, объем и характер запрашиваемой информации будет определять правительство.

Минцифры готово обсудить интеграцию портала "Госуслуг" с коммерческими идентификаторами (ID) по предложению Центробанка. Об этом сообщил глава министерства Максут Шадаев.

Европейский парламент, страны-члены Евросоюза и Еврокомиссия (ЕК) согласовали позиции по декларации о цифровых правах и принципах, разработанной ранее ЕК.
Декларация подразумевает продвижение и защиту в цифровой среде следующих ценностей:
конфиденциальность,
индивидуальный контроль над данными,
равный доступ к услугам и образованию,
честные условия труда,
участие в общественных процессах.
свобода выбора.

Google заплатит $391,5 млн за незаконное отслеживание пользователей в США

КНР украла инноваций, коммерческих и персональных данных американцев больше других стран вместе взятых; об этом заявил директор ФБР Кристофер Рэй (Christopher Wray), выступая на слушаниях в Палате представителей США.

Сегодня стало известно, что у петербургского провайдер "Дом.ру» произошла утечка данных 4 млн клиентов. Компания быстро призналась и проводит расследование.

Администраторов каналов в Telegram научились деанонимизировать

В Московской академии Следственного комитета для сотрудников СК разработали методическое пособие по поиску и идентификации администраторов Telegram-каналов. Сейчас оно проходит стадию рецензирования, рассказали несколько источников, знакомых с документом. Ориентировочно в течение трех месяцев его получат работники СК. Об этом изданию «Ведомости. Инновации и технологии» рассказали несколько источников, знакомых с документом.

«В Следственном комитете разработан ряд методик, которые позволяют получать значимую информацию из различных мессенджеров. Эти методики предназначены исключительно для следователей и криминалистов», – заявили в пресс-службе СК РФ.

В пресс-службе отметили, что мессенджеры могут использоваться злоумышленниками для совершения преступлений. Например, в качестве площадки для распространения фейковой информации и экстремистских идей, как инструмент для организации и руководства массовыми беспорядками, координации деятельности преступной группы при подготовке к убийству и другим преступлениям.

«Такие действия всегда оставляют цифровые следы, которые могут помочь в раскрытии преступлений», – отметили представители СК.

Содержание методички не публично, но знакомые с ее содержанием собеседники знают, что там, в частности, объясняется, как найти владельца анонимного Telegram-канала, если в описании нет никакой информации о нем либо для обратной связи оставлены чат-бот, электронная почта или Jabber кого-либо из администраторов.

Также в пособии описываются приемы OSINT – это методология сбора и анализа данных, находящихся в открытом доступе. Например, специалисты смотрят историю канала, архивные сообщения и пытаются вычислить сетки, т. е. ряд сообществ, созданных одной группой людей для продвижения материалов. И в одном из заброшенных сообществ может обнаружиться username владельца – и далее по цепочке находят всю группу администраторов.

#нестер #датаэтика Отвечай за данные собственной шкурой - хороший пример персонального наказания

Американский FTC (что-то вроде нашего ФАС) в октябре вынес наказание за утечку данных из сервиса Drizzle. Это компания по доставке алкоголя. В 2020 она "потеряла" данные 2.5 миллионов своих клиентов. Их засудили, каждому клиенту компания выплатила $14 в результате иска. А в 2021 её купил за миллиард с лишним Убер.

Но рассмотрение дела об утечке продолжилось. В итоге FTC посмотрел и решил - Drizzle не сделала никаких выводов, в компании по прежнему куча "дырок" для утечки. И наказала персонально СЕО компании, Кори Релласа. Теперь лично он несёт ответственность за любые новые утечки. Даже если уйдет из компании, в любом своём новом бизнесе, где есть данные более 25 000 человек. Подобные меры применены впервые.

Всё это может стать новым подходом в делах о пользовательских данных. Уж очень часто компании платят штраф - и для большинства из них он не кажется уж слишком болезненным. Ну, уволят какого-нибудь линейного аналитика. А потом всё повторяется снова и снова. Ваши данные гуляют по интернету туда-сюда, а компания не при чём, штраф-то она уже платила. Руководство улыбается на презентациях и живёт хорошо. В Drizzly теперь точно будет не так.

Как думаете, нормальная практика - заставлять СЕО компании лично отвечать за утечки данных?