Взлом личного кабинета военнослужащего на госсайте: чужие данные, смена логина и почты, как восстановить доступ и вернуть свои реквизиты

Первоочередное значение в сложившейся ситуации имеет вопрос об обеспечении безопасности персональных данных, обрабатываемых на государственном сайте для военнослужащих. Факт несанкционированного доступа к личному кабинету и изменения в нём сведений указывает на то, что оператор (администрация сайта) мог не принять меры, достаточные для предотвращения такого доступа. В соответствии с требованиями ст. 19 Федерального закона «О персональных данных», на оператора возложена обязанность принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, блокирования и иных неправомерных действий. Поскольку в результате взлома изменены имя, банковские реквизиты, логин и привязанная почта, эти действия являются неправомерным доступом и изменением персональных данных именно в информационной системе персональных данных. Техническая поддержка, запрашивая сканы паспорта и военного билета, реализует одну из мер по обнаружению несанкционированного доступа и восстановлению доступа законного пользователя – то есть осуществляет идентификацию. Однако сомнения пользователя в достаточности этих мер оправданы: для сброса учётной записи требуется достоверное подтверждение личности, ибо в силу прямого указания закона оператор обязан не только восстановить данные, но и обеспечить, чтобы несанкционированный доступ не повлёк за собой неправомерную обработку. Факт привязки чужого номера телефона и получения кода из смс мошенником существенно усиливает риск: если оператор не аннулирует эти действия, изменённые реквизиты могут легитимно использоваться третьим лицом.

"Статья 19. Меры по обеспечению безопасности персональных данных при их обработке. 1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. 2. Обеспечение безопасности персональных данных достигается, в частности: ... 6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реаг"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 19 (текст цитаты обрывается, но ясно, что перечислены меры, включая реагирование на инциденты)

Теперь рассмотрим, на каком правовом основании вообще могла производиться обработка персональных данных военнослужащего на этом сайте. Обработка должна быть законной. Статья 6 того же закона устанавливает исчерпывающий перечень условий, при которых обработка допускается без согласия субъекта. В ситуации с госсайтом для военнослужащих обработка, скорее всего, необходима для исполнения полномочий федеральных органов исполнительной власти (например, Министерства обороны) – то есть подпадает под п. 4 ч. 1 ст. 6. Однако после взлома в личном кабинете появились чужие данные (имя "Иванов Иван", левые банковские реквизиты). Такая обработка уже не является необходимой для исполнения госфункций – она прямо нарушает волю субъекта, что ставит под вопрос законность дальнейшей обработки. При этом само по себе согласие субъекта для обработки его собственных данных может не требоваться, если оператор действует в рамках закона, но для обработки чужих (фальшивых) данных оснований нет. Следовательно, администрация сайта обязана немедленно прекратить обработку недостоверных данных и восстановить подлинные сведения на основании обращения пользователя.

"Статья 6. Условия обработки персональных данных: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; 2) обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; 4) обработка персональных данных необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти субъектов Российской Федерации, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и м"
— Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», ст. 6

При восстановлении учётной записи ключевое значение имеет процедура идентификации личности. Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг» уделяет особое внимание видам электронных подписей и порядку их использования. Статья 21.1 этого закона устанавливает, что обращение за получением государственных услуг и их предоставление могут осуществляться с использованием электронной подписи. В контексте личного кабинета для военнослужащих применяется, как правило, простая электронная подпись (код из смс, логин-пароль). Поскольку мошенник сменил логин, почту и привязал свой номер телефона, он фактически перехватил контроль над ключом простой электронной подписи. Статья 21.2 определяет, что Правительством устанавливаются требования к простым электронным подписям и способы установления личности при выдаче ключа. Если администрация сайта выдала мошеннику новый ключ (через смену номера телефона) без надлежащей верификации личности, это может быть нарушением установленного порядка. Вам, как законному владельцу, необходимо заявить, что вы не совершали этих действий, и потребовать блокировки изменённых реквизитов и восстановления доступа на основании документального подтверждения личности (паспорт, военный билет). Техподдержка, запрашивая сканы, по сути, пытается идентифицировать вас способом, равнозначным установлению личности при выдаче ключа ПЭП – это законно и соответствует ст. 21.2.

"Статья 21.2. Правила использования простых электронных подписей при оказании государственных и муниципальных услуг... 1) требования, которым должны соответствовать простые электронные подписи и (или) технологии их создания; 2) способы установления личности лица при выдаче ему ключа простой электронной подписи в целях получения государственных и муниципальных услуг."
— Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», ст. 21.2

Мы также рассмотрели ст. 21.1, которая прямо допускает использование электронной подписи. Её дословное содержание приведено ниже, и она подтверждает, что вся процедура взаимодействия на госсайте строится на электронной подписи; если злоумышленник неправомерно завладел ключом, вы вправе оспаривать все операции, совершённые с его использованием.

"Статья 21.1. Использование электронной подписи при оказании государственных и муниципальных услуг: 1. Обращение за получением государственной или муниципальной услуги и предоставление государственной или муниципальной услуги могут осуществляться с использованием электронных документов, подписанных электронной подписью в соответствии с требованиями Федерального закона "Об электронной подписи" и требованиями настоящего Федерального закона. 2. Виды электронных подписей, использование которых допускается при обращении за получением государственных и муниципальных услуг, и порядок их использования устанавливаются Правительством Российской Федерации."
— Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», ст. 21.1

Что касается ваших прав как заявителя (пользователя государственной услуги), ст. 5 Закона № 210-ФЗ гарантирует вам право на получение услуги своевременно и в соответствии со стандартом, на получение полной и достоверной информации, а также на получение услуги в электронной форме. Взлом и отказ в восстановлении доступа (если он последует) прямо нарушают эти права. Вы вправе требовать от администрации сайта именно восстановления доступа, а не просто «скинуть заново как для новичка» – последнее может быть равнозначно созданию новой учётной записи, но это не решит проблему с чужими данными в старой. Оператор обязан аннулировать все изменения, внесённые злоумышленником, и восстановить ваши подлинные персональные данные. В противном случае он продолжит обрабатывать недостоверные сведения, что противоречит принципам ст. 5.

"Статья 5. Права заявителей при получении государственных и муниципальных услуг. 1. При получении государственных и муниципальных услуг заявители имеют право на: 1) получение государственной или муниципальной услуги своевременно и в соответствии со стандартом предоставления государственной или муниципальной услуги и с единым стандартом в случае, предусмотренном частью 2 статьи 14 настоящего Федерального закона; 2) получение полной, актуальной и достоверной информации о порядке предоставления государственных и муниципальных услуг, в том числе в электронной форме; 3) получение государственных и муниципальных услуг в электронной форме, если это не запрещено законом, а также в иных формах, предусмотренных законодательством Российской Федерации, по выбору заявителя, за исключением случая, если н"
— Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», ст. 5

В случае бездействия или ненадлежащего реагирования техподдержки сайта (например, отказ восстановить доступ или требование пройти необоснованно сложные процедуры) вы можете использовать механизм досудебного (внесудебного) обжалования. Статья 11.1 Закона № 210-ФЗ прямо перечисляет случаи, когда заявитель может обратиться с жалобой, в том числе при нарушении срока регистрации запроса (первое обращение в техподдержку – это именно запрос) и при нарушении срока предоставления самой услуги (восстановление доступа – часть услуги). Таким образом, если техподдержка затягивает решение, отклоняет требование без оснований или требует то, что не предусмотрено регламентом, вы вправе подать жалобу в вышестоящий орган (например, в Министерство обороны или в Роскомнадзор – как уполномоченный орган по защите персональных данных). Также можно обжаловать действия (бездействие) должностного лица органа, предоставляющего услугу.

"Статья 11.1. Предмет досудебного (внесудебного) обжалования заявителем решений и действий (бездействия) органа, предоставляющего государственную услугу, органа, предоставляющего муниципальную услугу, должностного лица органа, предоставляющего государственную услугу, или органа, предоставляющего муниципальную услугу, либо государственного или муниципального служащего, многофункционального центра, работника многофункционального центра, а также организаций, предусмотренных частью 1.1 статьи 16 настоящего Федерального закона, или их работников. Заявитель может обратиться с жалобой в том числе в следующих случаях: 1) нарушение срока регистрации запроса о предоставлении государственной или муниципальной услуги; 2) нарушение срока предоставления государственной или муниципальной услуги; 3) требова"
— Федеральный закон от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», ст. 11.1

К сожалению, в предоставленном блоке НПА отсутствуют специальные нормы о процедуре именно «сброса до заводских настроек» учётной записи военнослужащего. Такой порядок может быть установлен ведомственным нормативным актом Министерства обороны или регламентом работы данного сайта. В общем случае, при отсутствии специального порядка, применяются общие правила восстановления доступа, описанные выше, с усиленной идентификацией через предоставление документов. Отмечу, что военнослужащие являются субъектами особого правового статуса, и возможно, на них распространяется ускоренная или упрощённая процедура через военные комиссариаты. Вам следует уточнить в техподдержке, есть ли отдельный регламент восстановления доступа для военнослужащих (военно-учётные специальные порталы). Если же администрация сайта откажет, вы можете ссылаться на ст. 19 152-ФЗ и ст. 5, 21.1, 21.2, 11.1 210-ФЗ для обоснования требования полного восстановления учётной записи в исходное состояние.

Итоговый вывод: предъявите сканы паспорта и военного билета – это минимально необходимые меры идентификации, предусмотренные ст. 21.2 210-ФЗ. В ответе техподдержки чётко потребуйте не просто сброс пароля, а отмену всех изменений, внесённых после взлома, включая восстановление логина, почты, имени и банковских реквизитов. Если будут задержки – подавайте жалобу в порядке ст. 11.1 указанного закона. Специального «заводского сброса» для военных в приведённых нормах нет, но оператор обязан восстановить ваши подлинные данные.