Передала мошенникам код из СМС от сервиса сравнения финансовых предложений: чем это грозит, если профиль удалён и данные не похищены

Могут ли мошенники узнать паспортные данные, если назван только код из СМС

Названный вами код сам по себе не содержит паспортных данных и не даёт мошенникам прямого доступа к номеру документа. Источником утечки паспортных данных может быть только то, что уже хранилось в учётной записи агрегатора или было передано иным путём.

Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным . Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. Согласие на обработку персональных данных должно быть оформлено отдельно от иных информации и (или) документов, которые подтверждает и (или) подписывает субъект персональных данных. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.
— ч. 1 ст. 9 ФЗ № 152-ФЗ «О персональных данных»

Из этой нормы видно ключевое: без вашего прямого, добровольного предоставления паспортных данных они не могли законно попасть в профиль. Если вы паспорт, СНИЛС или ИНН в этот сервис не вводили, то мошенники, получив лишь код подтверждения входа, получили доступ только к тому, что уже находилось в профиле (обычно — номер телефона, e-mail, ФИО, при наличии — данные заявок). Сам код не раскрывает номер паспорта.

Вы вправе проверить, какие именно данные о вас обрабатывал агрегатор, направив ему соответствующий запрос.

Субъект персональных данных имеет право на получение сведений, указанных в части 7 настоящей статьи, за исключением случаев, предусмотренных частью 8 настоящей статьи. Субъект персональных данных вправе требовать от оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
— ч. 1 ст. 14 ФЗ № 152-ФЗ

Вывод. Названный код не раскрывает ваших паспортных данных; узнать паспорт из него мошенники не могли. Если в профиле сервиса паспортных данных не было и вы их нигде не вводили — основания считать, что ваш паспорт «ушёл» мошенникам, отсутствуют. Запросите у сервиса подтверждение, какая именно информация хранилась и удалена, — это снимет неопределённость.

Достаточно ли кода для оформления кредита и что будет, если кредитов не оформляли

Одного кода от сервиса-агрегатора (даже вместе с номером телефона) для оформления кредита или займа на вас недостаточно: закон обязывает кредитора проверить ИНН заёмщика и отказать при несоответствии сведений.

При несоответствии представленных заемщиком сведений об идентификационном номере налогоплательщика, выявленном в рамках проверки, проведенной в соответствии с частью 4 1 настоящей статьи, или невозможности самостоятельного получения кредитной организацией, микрофинансовой организацией в порядке, установленном частью 4 2 настоящей статьи, сведений об идентификационном номере налогоплательщика, принадлежащем заемщику, кредитная организация, микрофинансовая организация отказывают заемщику в заключении договора потребительского кредита (займа). Кредитная организация, микрофинансовая организация обязаны уведомить заемщика в письменной форме об отказе в заключении договора потребительского кредита (займа) с указанием причины отказа, предусмотренной настоящей частью, не позднее окончания рабочего дня, следующего за днем принятия решения об отказе заемщику в заключении договора потребительского кредита (займа).
— ч. 4.4 ст. 7 ФЗ № 353-ФЗ

То есть для фактической выдачи кредита мошенникам понадобились бы ваш полный паспорт, ИНН (СНИЛС), а при онлайн-оформлении — ещё и подтверждение личности (код от банка/Госуслуг, биометрия и т. п.). Слова сотрудника агрегатора о том, что «ничего не оформлено», согласуются с тем, что одной авторизации в агрегаторе для займа недостаточно.

Как узнать точно, не отправлялись ли от вашего имени заявки. Запросите кредитную историю — это бесплатно и без указания причин.

Субъект кредитной истории вправе в каждом бюро кредитных историй, в котором хранится кредитная история о нем, не более двух раз в течение каждого календарного года (но не более одного раза на бумажном носителе) бесплатно и любое количество раз за плату без указания причин получить кредитный отчет
— ч. 2 ст. 8 ФЗ № 218-ФЗ

Кредитный отчёт покажет, подавались ли от вашего имени заявки и заключались ли договоры. Если окажется, что в кредитной истории появились записи, которых вы не совершали, — их можно оспорить.

Субъект кредитной истории вправе полностью или частично оспорить информацию, содержащуюся в его кредитной истории, подав в бюро кредитных историй, в котором хранится указанная кредитная история, заявление о внесении изменений и (или) дополнений в эту кредитную историю.
— ч. 3 ст. 8 ФЗ № 218-ФЗ

Вывод. Если вы не передавали паспорт и ИНН, а код был лишь от входа в агрегатор — оформить на вас заём практически невозможно, и заверение сервиса о том, что ничего не оформлено, соответствует требованиям закона (кредитор обязан отказать без полного пакета данных и проверки ИНН). Для полной уверенности получите бесплатный кредитный отчёт и при обнаружении чужих записей оспорьте их в бюро кредитных историй.

Самозапрет на кредиты: страховка от будущих атак

Поскольку злоумышленники уже пытались действовать от вашего имени, целесообразно установить самозапрет на выдачу потребительских кредитов и займов.

Субъект кредитной истории - физическое лицо вправе устанавливать запрет, а также снимать запрет посредством внесения сведений о запрете (снятии запрета) в кредитную историю.
— ч. 9 ст. 8 ФЗ № 218-ФЗ

Запрет означает, что банк или МФО обязаны запросить сведения о нём и при его наличии отказать в выдаче кредита.

Кредитная организация, микрофинансовая организация не ранее чем за тридцать календарных дней до даты заключения договора потребительского кредита (займа) обязаны запросить во всех квалифицированных бюро кредитных историй, а квалифицированные бюро кредитных историй обязаны предоставить информацию о наличии в кредитной истории заемщика сведений о запрете (снятии запрета).
— ч. 4.5 ст. 7 ФЗ № 353-ФЗ

При действующем запрете кредитор обязан отказать:

При наличии сведений о действующем запрете в кредитной истории заемщика на день запроса кредитной организацией, микрофинансовой организацией в соответствии с частью 4 5 настоящей статьи информации о наличии в кредитной истории заемщика сведений о запрете (снятии запрета) кредитная организация, микрофинансовая организация отказывают заемщику в заключении договора потребительского кредита (займа), если на такой договор потребительского кредита (займа) распространяется запрет.
— ч. 4.6 ст. 7 ФЗ № 353-ФЗ

Установить самозапрет можно бесплатно через единый портал Госуслуг (заявление о запрете подаётся в квалифицированные бюро кредитных историй; снятие запрета производится по отдельному заявлению, а не автоматически).

Вывод. Для защиты от повторных попыток оформить на вас заём рекомендуется через Госуслуги установить самозапрет на потребительские кредиты и займы. Пока запрет действует, банк или МФО обязаны отказать в выдаче кредита на ваше имя, что делает повторную атаку с использованием вашего номера телефона безрезультатной.

Есть ли состав преступления и что делать с заявлением в полицию

То, что деньги у вас не похитили и ничего не оформлено, не означает отсутствия состава: действия злоумышленников, непосредственно направленные на хищение через обман (получение кода, создание профиля, затем «помощь» якобы от кибербезопасности), при недоведении до конца по не зависящим от них обстоятельствам образуют покушение на мошенничество.

Покушением на преступление признаются умышленные действия (бездействие) лица, непосредственно направленные на совершение преступления, если при этом преступление не было доведено до конца по не зависящим от этого лица обстоятельствам.
— ч. 3 ст. 30 УК РФ

Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием
— ч. 1 ст. 159 УК РФ

Окончательную квалификацию даёт следствие. Ваша задача — дать объективные, полные сведения, без преуменьшения и домыслов: это важно, поскольку заявитель предупреждается об ответственности за заведомо ложный донос.

Заявление о преступлении может быть сделано в устном или письменном виде. 2. Письменное заявление о преступлении должно быть подписано заявителем. 3. Устное заявление о преступлении заносится в протокол, который подписывается заявителем и лицом, принявшим данное заявление. Протокол должен содержать данные о заявителе, а также о документах, удостоверяющих личность заявителя.
— ч. 1–3 ст. 141 УПК РФ

Полиция обязана принять и проверить ваше сообщение:

Дознаватель, орган дознания, следователь, руководитель следственного органа обязаны принять, проверить сообщение о любом совершенном или готовящемся преступлении и в пределах компетенции, установленной настоящим Кодексом, принять по нему решение в срок не позднее 3 суток со дня поступления указанного сообщения.
— ч. 1 ст. 144 УПК РФ

По итогам принимается одно из решений — о возбуждении дела, об отказе или о передаче по подследственности, и о решении сообщается заявителю с разъяснением права обжалования.

По результатам рассмотрения сообщения о преступлении орган дознания, дознаватель, следователь, руководитель следственного органа принимает одно из следующих решений: (В редакции федеральных законов от 05.06.2007 № 87-ФЗ; от 02.12.2008 № 226-ФЗ) 1) о возбуждении уголовного дела в порядке, установленном статьей 146 настоящего Кодекса; 2) об отказе в возбуждении уголовного дела; 3) о передаче сообщения по подследственности в соответствии со статьей 151 настоящего Кодекса, а по уголовным делам частного обвинения - в суд в соответствии с частью второй статьи 20 настоящего Кодекса. 2. О принятом решении сообщается заявителю. При этом заявителю разъясняются его право обжаловать данное решение и порядок обжалования. Копия постановления, вынесенного в соответствии с пунктом 3 части первой настоящей статьи, в течение 24 часов с момента его вынесения направляется прокурору.
— ч. 1–2 ст. 145 УПК РФ

Вывод. Отсутствие хищения и списаний не исключает уголовно-правовой оценки действий мошенников как покушения на мошенничество (ч. 1 ст. 159 УК РФ через ч. 3 ст. 30 УК РФ). Обращение в полицию правомерно и целесообразно: заявление подаётся в письменном или устном виде в отдел полиции по месту совершения деяния, проверка проводится до 3 суток (с правом продления), о решении вы уведомляетесь с разъяснением порядка обжалования. Если вы решите не заявлять — это ваше право, состав преступления в ваших действиях отсутствует: вы лишь сообщили код под влиянием обмана, ничего не похищали и никаких обязательств на себя не принимали.

Какие меры принять сейчас: права в отношении агрегатора и компенсация

1. Зафиксируйте удаление данных. Вы вправе отозвать согласие на обработку и потребовать уничтожения данных; оператор обязан это сделать.

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва
— ч. 5 ст. 21 ФЗ № 152-ФЗ

Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.
— ч. 3 ст. 20 ФЗ № 152-ФЗ

Поэтому рекомендуется направить сервису письменное требование (по электронной почте с подтверждением) об уничтожении всех ваших данных и предоставлении письменного ответа о том, какие сведения хранились и удалены. Устное «всё нормально» юридически не фиксирует факт удаления.

2. Если сервис не удалит данные или ответит отказом — обжалуйте в Роскомнадзор или в суд.

Если субъект персональных данных считает, что оператор осуществляет обработку его персональных данных с нарушением требований настоящего Федерального закона или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке. 2. Субъект персональных данных имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
— ч. 1–2 ст. 17 ФЗ № 152-ФЗ

3. Компенсация морального вреда. Если действиями оператора или злоумышленников вам причинены нравственные страдания (стресс, переживания), это основание для компенсации — но только при доказанности нарушения.

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда. (В редакции Федерального закона от 02.07.2013 № 142-ФЗ) При определении размеров компенсации морального вреда суд принимает во внимание степень вины нарушителя и иные заслуживающие внимания обстоятельства. Суд должен также учитывать степень физических и нравственных страданий, связанных с индивидуальными особенностями гражданина, которому причинен вред.
— ст. 151 ГК РФ

4. Звонок «из кибербезопасности». Такие звонки — типичное продолжение мошеннической схемы («вторичный обзвон»). Вы правильно не сообщили никаких данных. Никаких обязательств перед звонившими у вас нет; никакие «службы кибербезопасности» не вправе требовать коды, пароли или данные карты по телефону. Номер звонившего стоит сохранить и приложить к заявлению в полицию.

Вывод. Зафиксируйте ситуацию письменно (запрос сервису об уничтожении данных и об ответе о том, что хранилось), сохраните номера и переписку, запросите бесплатный кредитный отчёт и при желании установите самозапрет на кредиты. При неудовлетворении требований сервисом обращайтесь в Роскомнадзор, при фиксации ущерба — с иском о возмещении убытков и компенсации морального вреда (ст. 151 ГК РФ через ч. 2 ст. 17 ФЗ № 152-ФЗ).