Взлом аккаунта на портале госуслуг и несанкционированное подписание на участие без ведома владельца

Несанкционированный доступ к личному кабинету на портале госуслуг и оформление участия в программе злоумышленниками

Анализ ситуации

Произошел инцидент информационной безопасности: третьи лица получили неправомерный доступ к учетной записи на портале государственных услуг и, действуя от имени владельца аккаунта, оформили его участие в какой-то программе. Это классический случай несанкционированного доступа и возможного мошенничества с использованием цифровой идентификации.

Применимые правовые нормы

1. Ответственность за неправомерный доступ и мошеннические действия

Действия злоумышленников подпадают под несколько составов правонарушений:

"Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло ... модификацию либо копирование компьютерной информации" (Источник: Уголовный кодекс Российской Федерации, статья 272)

"Мошенничество в сфере компьютерной информации, то есть ... приобретение права на чужое имущество путем ввода, удаления, блокирования, модификации компьютерной информации либо иного вмешательства в функционирование средств хранения, обработки или передачи компьютерной информации" (Источник: Уголовный кодекс Российской Федерации, статья 159.6)

"Причинение имущественного ущерба собственнику или иному владельцу имущества путем обмана или злоупребления доверием при отсутствии признаков хищения" может рассматриваться как административное правонарушение (Источник: Кодекс Российской Федерации об административных правонарушениях, статья 7.27.1)

2. Правовой статус действий, совершенных от чужого имени

Сделка, совершенная неуполномоченным лицом, не создает обязательств для представляемого (владельца аккаунта):

"При отсутствии полномочий действовать от имени другого лица или при превышении таких полномочий сделка считается заключенной от имени и в интересах совершившего ее лица, если только другое лицо (представляемый) впоследствии не одобрит данную сделку" (Источник: Гражданский кодекс Российской Федерации, статья 183)

"Недействительная сделка не влечет юридических последствий, за исключением тех, которые связаны с ее недействительностью, и недействительна с момента ее совершения" (Источник: Гражданский кодекс Российской Федерации, статья 167)

3. Обязанности оператора (портала госуслуг) по защите данных

Оператор, обрабатывающий персональные данные, обязан обеспечивать их безопасность:

"Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним" (Источник: Федеральный закон "О персональных данных", статья 19)

"Оператор обязан ... обнаруживать факты несанкционированного доступа к персональным данным и принимать меры, в том числе меры по обнаружению, предупреждению и ликвидации последствий компьютерных атак" (Источник: Федеральный закон "О персональных данных", статья 19)

"В случае выявления неправомерной обработки персональных данных ... оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных" (Источник: Федеральный закон "О персональных данных", статья 21)

Риски и возможные последствия

Финансовые риски

1. Списание средств — если программа предполагает платное участие и привязана к банковским реквизитам.
2. Возникновение обязательств — если программа создает какие-либо договорные отношения.
3. Использование персональных данных для других мошеннических схем.

Юридические риски

1. Формальное возникновение обязательств, которые придется оспаривать.
2. Возможное использование учетной записи для других неправомерных действий.

Рекомендации и порядок действий

1. Немедленные действия для блокировки аккаунта

• Смена пароля — если доступ еще возможен.
• Обращение в техническую поддержку портала госуслуг с требованием немедленной блокировки учетной записи и прекращения обработки персональных данных, ссылаясь на статью 21 Федерального закона "О персональных данных".
• Проверка всех подключенных услуг и отмена всех недавних действий, совершенных без согласия владельца.

2. Обращение в правоохранительные органы

Необходимо подать заявление в органы внутренних дел (полицию) по месту жительства:

• Заявление должно содержать описание ситуации, дату обнаружения, сведения о действиях злоумышленников.
• Ссылаться на статьи 272 и 159.6 Уголовного кодекса РФ.
• Приложить скриншоты, подтверждающие несанкционированные действия.

"Полиция обязана принимать и регистрировать заявления и сообщения о преступлениях" (Источник: Федеральный закон "О полиции", статья 12)

3. Обращение в контролирующие органы

• В Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) с жалобой на оператора (портал госуслуг) о нарушении требований к защите персональных данных.

"Субъект персональных данных вправе обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных" (Источник: Федеральный закон "О персональных данных", статья 17)

• В прокуратуру для проведения проверки по факту нарушения законодательства о персональных данных.

4. Отмена действий, совершенных злоумышленниками

• Направить официальное заявление оператору программы, в которой было оформлено участие, о том, что согласие было дано неуполномоченным лицом и сделка является недействительной.
• Требовать применения последствий недействительности сделки согласно статье 167 ГК РФ.

5. Документирование и сбор доказательств

• Сохранить все логи входа в аккаунт (если доступны).
• Зафиксировать все несанкционированные действия (скриншоты, даты, время).
• Сохранять копии всех обращений и ответов на них.

Выводы

1. Владелец аккаунта не несет ответственности за действия, совершенные без его согласия и ведома, если докажет факт несанкционированного доступа.
2. Существуют реальные риски финансовых потерь и возникновения нежелательных обязательств, поэтому действовать нужно оперативно.
3. Закон предоставляет эффективные механизмы защиты через блокировку аккаунта, обращение в правоохранительные органы и оспаривание незаконных действий.
4. Оператор (портал госуслуг) обязан принять меры по блокировке аккаунта и обеспечению безопасности данных после обращения.

Рекомендуется немедленно начать с обращения в техническую поддержку портала госуслуг для блокировки аккаунта, затем написать заявление в полицию. Параллельно следует связаться с организаторами программы, в которую было оформлено участие, и заявить о неправомерности этих действий. В случае возникновения сложностей с реализацией прав или если уже произошли финансовые потери, целесообразно обратиться за помощью к адвокату, специализирующемуся на вопросах информационной безопасности и защиты персональных данных.