Незнакомец в мессенджере получил мои ФИО и дату рождения, прислал ссылку на фейковый маркетплейс и госуслуги, затем написал что продаёт документы и использует мой голос для биометрии — что делать и опасно ли это?

Можно ли использовать обычное голосовое сообщение и ФИО/дату рождения как биометрию для подтверждения операций без ведома человека

Утверждение злоумышленника о том, что ваш голос «будет использован как биометрия для подтверждения операций по документам», юридически и технически несостоятельно. Федеральный закон определяет биометрические персональные данные как сведения о физиологических особенностях человека, на основании которых можно установить его личность и которые используются оператором для установления личности:

Сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность (биометрические персональные данные) и которые используются оператором для установления личности субъекта персональных данных, могут обрабатываться только при наличии согласия в письменной форме субъекта персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи
— ч. 1 ст. 11 ФЗ «О персональных данных»

Для клиентки это означает: даже если она записывала голосовое сообщение, оно не является биометрическим образцом для ЕБС — таковым признаётся только голос, целенаправленно собранный оператором (банком, госорганом) в специальной процедуре для установления личности. Приказ Минцифры № 930 прямо требует, чтобы сбор голоса для идентификации производился при личном присутствии уполномоченного сотрудника с созданием биометрического контрольного шаблона:

Для проведения идентификации сбор параметров биометрических персональных данных субъекта персональных данных производится при его личном присутствии уполномоченным сотрудником государственного органа, банка и иной организации, в случаях, определенных федеральными законами, в целях создания биометрического контрольного шаблона […] — п. 3 прил. № 2 к Приказу Минцифры № 930 от 10.09.2021

Причём данные голоса принимаются только текстозависимым методом — субъект должен произнести сгенерированную системой последовательность цифр при личном сборе, а запись с голосом должна соответствовать жёстким техническим параметрам (формат WAV, один голос, нормальное психологическое состояние, русский язык):

проводится обработка параметров биометрических персональных данных физического лица следующих видов: данные изображения лица; данные голоса, собранные текстозависимым методом
— п. 2 прил. № 2 к Приказу Минцифры № 930 от 10.09.2021

Создаваемые для проведения идентификации БО записи голоса должны соответствовать следующим требованиям: отношение сигнал-шум для звука не менее 15 дБ; глубина квантования не менее 16 бит; частота дискретизации не менее 16 кГц; запись голоса должна быть сохранена в формате RIFF (WAV); код сжатия: PCM/uncompressed (0 х 0001); количество каналов в записи голоса: 1 (монорежим) канал; не допускается использовать шумоподавление; на записи должен присутствовать голос одного человека; произнесенное субъектом сообщение должно соответствовать последовательности букв и (или) цифр, сгенерированной программным обеспечением информационной системы органа или организации; запись голоса должна содержать указанную последовательность полностью и не должна прерываться; при осуществлении записи голоса эмоционально-психологическое состояние и состояние субъекта должно быть нормальным, не возбужденным, без явных признаков заболеваний, препятствующих произнесению сообщения, указанного в абзаце двенадцатом настоящего пункта, или способных нарушить тембр и (или) звучание голоса; сообщение, указанное в абзаце одиннадцатом настоящего пункта, должно быть произнесено субъектом на русском языке. Запрещено получение БО записи голоса путем перекодирования фонограмм, записанных с помощью технических средств телефонной сети общего пользования
— п. 12 прил. № 1 к Приказу Минцифры № 930 от 10.09.2021

Для клиентки это значит: случайная запись голосового сообщения в мессенджере не соответствует ни одному из этих требований и не может быть загружена в ЕБС или использована банками как биометрический ключ для операций. Ни «Госуслуги», ни банки не аутентифицируют операции по пересланному в чате голосу — иначе это противоречило бы и ч. 1 ст. 11 ФЗ-152, требующей согласия на обработку биометрии. Утверждение злоумышленника — типичный приём социальной инженерии для запугивания, а не реальная технологическая угроза.

Вывод: переданные ФИО, дата рождения и (если были) голосовые сообщения сами по себе не позволяют использовать ваш голос как биометрию для подтверждения операций по документам — такой образец собирается только при личном присутствии уполномоченного сотрудника зарегистрированного оператора и только с вашего письменного согласия.

Опасность для аккаунтов и устройства при переходе по фишинговой ссылке без ввода данных (развилки)

Ключевой юридически значимый факт — вы ничего не вводили на поддельной странице входа. Именно ввод логина/пароля и сообщение кодов из СМС дают злоумышленнику доступ к аккаунтам; демонстрация вашего IP-адреса опасности для аккаунтов и устройства сама по себе не несёт — IP виден владельцу любого сайта/чата и не является средством доступа к вашим данным. Не введя учётные данные, вы не предоставили ему ключ к аккаунтам.

Ветка А (если на поддельной странице ничего не введено и код из СМС не сообщался, как вы указываете). Реальной компрометации аккаунтов не произошло: злоумышленник получил лишь ФИО, дату рождения и ваш IP. Для устройства угроза возникает только при скачивании и запуске вредоносного ПО — простое открытие страницы в браузере, как правило, устройство не поражает (при условии обновлённого браузера/ОС). Достаточно сменить/усилить пароли и включить двухфакторную аутентификацию основных аккаунтов и следить за несанкционированными активностями.

Ветка Б (если вы ошиблись и всё же ввели логин/пароль либо назвали код из СМС). Тогда аккаунт может быть захвачен, и злоумышленник получает рычаг для хищения. В этом сценарии его действия образуют более строгие составы — попытку хищения денег через доступ к Госуслугам/банку:

Мошенничество с использованием электронных средств платежа (Наименование в редакции Федерального закона от 23.04.2018 № 111-ФЗ ) 1. Мошенничество с использованием электронных средств платежа - (В редакции Федерального закона от 23.04.2018 № 111-ФЗ ) наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на срок до трех лет
— ч. 1 ст. 159.3 УК РФ

Действия по обману с целью завладения доступом и данными охватываются и мошенничеством как приготовлением/покушением, даже если до конца не доведены:

Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет
— ч. 1 ст. 159 УК РФ

Покушением на преступление признаются умышленные действия (бездействие) лица, непосредственно направленные на совершение преступления, если при этом преступление не было доведено до конца по не зависящим от этого лица обстоятельствам.
— ч. 3 ст. 30 УК РФ

Для клиентки это означает: в ветке А угрозы аккаунтам минимальны и нейтрализуются сменой паролей; в ветке Б необходимо немедленно сменить пароли всех сервисов, привязанных к Госуслугам/телефону, заблокировать карты, уведомить банк, и подать заявление в полицию, а также зафиксировать переписку как доказательство.

Вывод: если вы действительно не вводили данные и не сообщали коды — непосредственно аккаунты и устройство не скомпрометированы, реальный ущерб ограничен утечкой ФИО, даты рождения и IP; если же ввод происходил — действуйте по ветке Б неотложно (смена паролей, блокировка, заявление).

Уголовно-правовая квалификация действий злоумышленника (сбор ПД, фишинговая ссылка под Госуслуги, угрозы)

Совокупность действий злоумышленника (выманивание ФИО и даты рождения под предлогом знакомства, отправка ссылки-«клона» страницы входа маркетплейса/Госуслуг, заявление о «продаже документов» и об использовании голоса как биометрии с демонстрацией IP) содержит признаки сразу нескольких составов, что указывает на необходимость обращения в правоохранительные органы.

Сбор и обработка персональных данных без законного основания. ФИО и дата рождения гражданина собирались без его осознанного согласия на такую обработку и относятся к компьютерной информации с персональными данными. С 30.11.2024 ответственность за незаконный оборот такой информации установлена ст. 272.1 УК РФ:

Незаконные использование и (или) передача (распространение, предоставление, доступ), сбор и (или) хранение компьютерной информации, содержащей персональные данные, полученной путем неправомерного доступа к средствам ее обработки, хранения или иного вмешательства в их функционирование либо иным незаконным путем, за исключением деяний, совершенных в отношении компьютерной информации, содержащей персональные данные, предусмотренные частью второй настоящей статьи, - наказываются штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок
— ч. 1 ст. 272.1 УК РФ

Причём, если бы злоумышленник располагал и голосом/изображением (биометрическими данными), квалификация ужесточается по ч. 2 этой же статьи:

1. Те же деяния, совершенные в отношении компьютерной информации, содержащей персональные данные несовершеннолетних лиц, специальные категории персональных данных и (или) биометрические персональные данные, - наказываются штрафом в размере до семисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до двух лет или без такового, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок
   — ч. 2 ст. 272.1 УК РФ

Нарушение неприкосновенности частной жизни. Собирание сведений о частной жизни (а персональные сведения ФИО/дата рождения вкупе с использованием их для запугивания затрагивают частную жизнь лица) без согласия охватывается ч. 1 ст. 137 УК РФ:

Незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации , за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции федеральных законов от 08.12.2003 № 162-ФЗ , от 30.11.2024 № 421-ФЗ ) наказываются штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо принудительными работами на срок до двух лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет с лишением права занимать определенные должности
— ч. 1 ст. 137 УК РФ

Поскольку признаки деяния содержат уголовно наказуемое деяние, административная норма за обработку персональных данных уступает уголовной:

Обработка персональных данных в случаях, не предусмотренных законодательством Российской Федерации в области персональных данных, либо обработка персональных данных, несовместимая с целями сбора персональных данных, за исключением случаев, предусмотренных частями 2, 11 - 18 настоящей статьи и статьей 17.13 настоящего Кодекса , если эти действия не содержат уголовно наказуемого деяния
— ч. 1 ст. 13.11 КоАП РФ

Для клиентки это означает: даже если злоумышленник ничего не успел «продать», сами действия по незаконному собиранию персональных данных и созданию фишингового ресурса под поддельную страницу входа образуют общественно опасное деяние — основание для регистрации сообщения о преступлении и доследственной проверки.

Вывод: действия злоумышленника содержат признаки преступлений, предусмотренных ч. 1 ст. 159 (покушение на мошенничество — при доказанности намерения завладеть доступом/имуществом), ст. 272.1 (незаконный оборот компьютерной информации с персональными данными) и ч. 1 ст. 137 УК РФ (нарушение неприкосновенности частной жизни), что даёт вам право подать заявление о преступлении.

Как и куда подать заявление в полицию, какие доказательства приложить, что делать при отказе

Полиция обязана принять и зарегистрировать ваше сообщение о преступлении и провести проверку. Заявление может быть подано в устной или письменной форме:

Заявление о преступлении может быть сделано в устном или письменном виде. 2. Письменное заявление о преступлении должно быть подписано заявителем. 3. Устное заявление о преступлении заносится в протокол, который подписывается заявителем и лицом, принявшим данное заявление. Протокол должен содержать данные о заявителе, а также о документах, удостоверяющих личность заявителя. 4. Если устное сообщение о преступлении сделано при производстве следственного действия или в ходе судебного разбирательства, то оно заносится соответственно в протокол следственного действия или протокол судебного заседания. 5. В случае, когда заявитель не может лично присутствовать при составлении протокола, его заявление оформляется в порядке, установленном статьей 143 настоящего Кодекса. 6. Заявитель предупреждается об уголовной ответственности за заведомо ложный донос в соответствии со статьей 306 Уголовного кодекса Российской Федерации , о чем в протоколе делается отметка, которая удостоверяется подписью заявителя. 7. Анонимное заявление о преступлении не может служить поводом для возбуждения уголовного дела.
— ч. 1 ст. 141 УПК РФ

Обязанность принять, проверить сообщение и вынести решение в срок не позднее 3 суток установлена ч. 1 ст. 144 УПК РФ:

Дознаватель, орган дознания, следователь, руководитель следственного органа обязаны принять, проверить сообщение о любом совершенном или готовящемся преступлении и в пределах компетенции, установленной настоящим Кодексом, принять по нему решение в срок не позднее 3 суток со дня поступления указанного сообщения
— ч. 1 ст. 144 УПК РФ

По результатам проверки орган выносит одно из решений — о возбуждении дела, об отказе или о передаче по подследственности (ч. 1 ст. 145 УПК РФ). При подаче заявления сохраните и приложите доказательства: скриншоты переписки (включая сообщение о «продаже документов» и использовании голоса), фактическую ссылку на поддельную страницу входа с адресной строкой (домен — он отличается от настоящего), сведения о себе (ФИО, контактные данные злоумышленника — ник, номер). Эти материалы подтверждают и факт сбора персональных данных, и фишинговый характер ссылки.

Если в возбуждении дела откажут или откажут в приёме заявления, отказ обжалуется прокурору или в суд в порядке ст. 124, 125 УПК РФ, — отказ в приёме прямо указан как обжалуемый:

Отказ в приеме сообщения о преступлении может быть обжалован прокурору или в суд в порядке, установленном статьями 124 и 125 настоящего Кодекса. 6. Заявление потерпевшего или его законного представителя по уголовным делам частного обвинения, поданное в суд, рассматривается судьей в соответствии со статьей 318 настоящего Кодекса. В случаях, предусмотренных частью четвертой статьи 147 настоящего Кодекса, проверка сообщения о преступлении осуществляется в соответствии с правилами, установленными настоящей статьей. (В редакции Федерального закона от 12.04.2007 № 47-ФЗ) 7. При поступлении из органа дознания сообщения о преступлениях, предусмотренных статьями 199 3 и 199 4 Уголовного кодекса Российской Федерации , следователь при отсутствии оснований для отказа в возбуждении уголовного дела в срок не позднее трех суток с момента поступления такого сообщения направляет в территориальный орган страховщика, в котором состоит на учете страхователь - физическое лицо или страхователь-организация, которые обязаны уплачивать страховые взносы на обязательное социальное страхование от несчастных случаев на производстве и профессиональных заболеваний в государственный внебюджетный фонд (далее в настоящей статье - страхователь), копию такого сообщения с приложением соответствующих документов и предварительного расчета по страховым взносам. (Дополнение частью - Федеральный закон от 22.10.2014 № 308-ФЗ) (В редакции Федерального закона от 09.03.2022 № 51-ФЗ) 8.
— ч. 5 ст. 144 УПК РФ

Для клиентки это означает: обратитесь в территориальный орган МВД по месту жительства с письменным заявлением (желательно с комплектом скриншотов и адресом фишинговой ссылки), зарегистрируйте его — вам обязаны выдать документ о принятии; при отказе вы вправе обжаловать его прокурору или в суд в порядке ст. 124–125 УПК РФ. Сбор доказательств (скриншоты переписки и ссылки) следует выполнить незамедлительно, до удаления переписки или блокировки собеседником.

Вывод: подайте письменное заявление о преступлении в отдел полиции по месту жительства с приложением скриншотов переписки и данных о фишинговой ссылке; при незаконном отказе обжалуйте его прокурору или в суд в порядке ст. 124–125 УПК РФ.

Гражданско-правовая и иная защита: компенсация морального вреда и охрана частной жизни, административная ответственность

Помимо уголовно-правовой реакции, у вас есть гражданско-правовые средства защиты. Сбор и использование информации о частной жизни без согласия не допускаются, а при нарушении — защищаются в суде:

не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, в частности сведений о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни
— п. 1 ст. 152.2 ГК РФ

Если злоумышленник фактически распространит или использует ваши персональные сведения (опубликует, передаст третьим лицам, создаст на их основе аккаунты), вы вправе требовать в суде пресечения нарушений и компенсации морального вреда. Основание компенсации за физические и нравственные страдания от нарушения личных неимущественных прав предусматривает ст. 151 ГК РФ:

Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда
— ст. 151 ГК РФ

Для клиентки это означает: пока злоумышленник лишь угрожал, гражданский иск преждевременен; но если последует фактическое использование или распространение ваших персональных данных (например, регистрация на ресурсах от вашего имени, публикация), вы вправе обратиться в суд с иском о компенсации морального вреда и пресечении нарушения частной жизни по ст. 151, 152.2 ГК РФ.

Отдельно: если деяние не содержит признаков преступления (например, проверка не установит умысла либо будет признана малозначительной), нарушение порядка обработки персональных данных влечёт административную ответственность по ст. 13.11 КоАП РФ для оператора. Однако в данной ситуации действия злоумышленника носят признаки уголовно наказуемого деяния (ст. 272.1, ч. 1 ст. 137 УК), поэтому в приоритете заявление о преступлении, а административная ответственность — субсидиарный инструмент, применимый главным образом к организациям — операторам обработки данных.

Вывод: при фактическом распространении/использовании ваших персональных данных вы вправе взыскать компенсацию морального вреда в суде по ст. 151 и защитить частную жизнь по ст. 152.2 ГК РФ; при отсутствии признаков преступления нарушение порядка обработки персональных данных подпадает под ст. 13.11 КоАП РФ.