Мне позвонили из службы цветов, попросили код, а потом якобы из Росфиннадзора и ФСБ сказали зайти на Госуслуги и оформили доверенность на террориста — это мошенничество или помощь?

Анализ применимого права к описанной ситуации целесообразно начать с квалификации действий звонивших лиц. Согласно ст. 159 УК РФ, мошенничество определяется как хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием. В данном случае обман очевиден: первый звонивший представился сотрудником службы доставки цветов и под предлогом «кода заказа» выманил конфиденциальный код, который, по всей видимости, был кодом доступа к учетной записи на портале Госуслуг. Последовавшая цепочка звонков от лиц, представлявшихся сотрудниками Росфиннадзора, Росфинмониторинга и ФСБ, — продолжение того же обмана, направленное на то, чтобы заставить несовершеннолетнюю выполнять действия (сменить пароль, обыскать дом, сфотографировать банковские карты родителей). Цель этих действий — либо хищение денежных средств (получение доступа к счетам), либо приобретение права на имущество (например, оформление кредита или переводов). Факт повторных звонков, угроз привлечь к уголовной ответственности, требования никому не рассказывать — классические элементы социальной инженерии, образующие состав мошенничества. Таким образом, деяния полностью охватываются ч. 1 ст. 159 УК РФ, а с учетом того, что потерпевшая — несовершеннолетняя, и возможной суммы ущерба (если бы мошенники довели замысел до конца) могла бы квалифицироваться и по ч. 2 или 3 (с отягчающими признаками), однако в настоящий момент налицо приготовление или покушение.

1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет.
   — Уголовный кодекс Российской Федерации, ст. 159

Далее необходимо рассмотреть нормы об охране компьютерной информации, поскольку мошенники получили доступ к учетной записи на портале Госуслуг, которая представляет собой охраняемую законом компьютерную информацию. Согласно ст. 272 УК РФ, неправомерный доступ к такой информации, если это деяние повлекло копирование, блокирование или модификацию, является уголовно наказуемым. Из описания следует, что мошенник «успел поменять пароль» — это модификация данных учетной записи. Кроме того, в личном кабинете появилась доверенность с электронной подписью на имя террориста — это также изменение содержания компьютерной информации (загрузка нового документа, подписанного цифровой подписью). То есть действия злоумышленников подпадают под ч. 1 ст. 272 УК РФ. Более того, если был причинен крупный ущерб или действовали из корыстной заинтересованности (а здесь явно из корысти — стремление получить доступ к деньгам), наступает ответственность по ч. 2 этой статьи.

Статья 272. Неправомерный доступ к компьютерной информации. 1. Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272.1 настоящего Кодекса, - наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок. 2. То же деяние, причинившее крупный ущерб или совершенное из корыстной заинтересованности, - наказывается штрафом в размере от ста тысяч до трехсот
— Уголовный кодекс Российской Федерации, ст. 272

Важным элементом является использование электронной подписи. В личном кабинете появилась доверенность с электронной подписью. Федеральный закон «Об электронной подписи» устанавливает обязанности владельца сертификата ключа подписи, в частности, обеспечивать конфиденциальность ключа и не допускать его использование без согласия. Здесь ключ (простая электронная подпись в виде кода из СМС или пароль от Госуслуг) был передан третьим лицам по воле потерпевшей, но под влиянием обмана. Соответственно, последующее использование этого ключа мошенниками для подписания доверенности является незаконным — это нарушение требований ст. 10 указанного закона. При этом сама доверенность, оформленная с использованием чужой электронной подписи без согласия владельца, является ничтожной, поскольку ст. 17.5 того же закона устанавливает, что доверенности, оформленные с нарушением требований (в том числе без полномочия), недействительны. Однако здесь факт появления такой доверенности — часть мошеннической схемы, а не законный документ.

1. обеспечивать конфиденциальность ключей электронных подписей, в частности не допускать использование принадлежащих им ключей электронных подписей без их согласия; 2) уведомлять удостоверяющий центр, выдавший сертификат ключа проверки электронной подписи, и иных участников электронного взаимодействия о нарушении конфиденциальности ключа электронной подписи в течение не более чем одного рабочего дня со дня получения информации о таком нарушении; 3) не использовать ключ электронной подписи при наличии оснований полагать, что конфиденциальность данного ключа нарушена;
   — Федеральный закон «Об электронной подписи», ст. 10

Указанные в статьях 17.2, 17.3 настоящего Федерального закона доверенности оформляются в соответствии с требованиями Гражданского кодекса Российской Федерации. Доверенность представляется в том числе в электронной форме в машиночитаемом виде в соответствии с формами доверенностей, которые могут быть определены и размещены на официальных сайтах операторами государственных и муниципальных информационных систем, для использования в которых представляются документы, Центральным банком Российской Федерации на официальном сайте Центрального банка Российской Федерации в информационно-телекоммуникационной сети "Интернет" в отношении доверенностей, выдаваемых участниками финансового рынка,
— Федеральный закон «Об электронной подписи», ст. 17.5

Теперь обратимся к нормам о персональных данных. Мошенники требовали предоставить информацию о наличных деньгах, банковских картах родителей, а также сфотографировать документы. Эти требования напрямую нарушают Федеральный закон «О персональных данных». Статья 6 устанавливает, что обработка персональных данных (любое действие с ними, включая сбор, запись, систематизацию) допускается только с согласия субъекта персональных данных, за исключением установленных законом случаев. Никакого согласия несовершеннолетняя не давала. Более того, она сама является субъектом персональных данных, и обработка её данных (например, номера телефона, паспортных данных, которые могли быть в Госуслугах) также должна быть с её согласия. Звонки от имени «Росфинмониторинга» не являются тем законным основанием (например, исполнение государственных полномочий, судебный акт), которое позволяло бы требовать такие данные без согласия. Статья 7 обязывает операторов (всех, кто получил доступ к персональным данным) не раскрывать их без согласия. Здесь же мошенники, получив доступ к учётной записи, могли «выгрузить документы родителей» — это незаконное распространение персональных данных. Статья 9 детализирует требования к согласию: оно должно быть свободным, конкретным, информированным и сознательным. Очевидно, что под угрозами и обманом такого согласия быть не могло.

Статья 6. Условия обработки персональных данных: 1) обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных; ... 5) обработка персональных данных необходима для исполнения договора... Заключаемый с субъектом персональных данных договор не может содержать положения, ограничивающие права и свободы субъекта персональных данных, устанавливающие случаи обработки персональных данных несовершеннолетних, если иное не предусмотрено законодательством Российской Федерации.
— Федеральный закон «О персональных данных», ст. 6

Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
— Федеральный закон «О персональных данных», ст. 7

Статья 9. Согласие субъекта персональных данных на обработку его персональных данных. 1. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. ... 4. ... Согласие в письменной форме субъекта персональных данных на обработку его персональных данных должно включать в себя, в частности: 1) фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе; 2) фамилию, имя, отчество, адрес представителя субъекта персональных данных, номер основного документа
— Федеральный закон «О персональных данных», ст. 9

Относительно использования электронной подписи при оказании государственных и муниципальных услуг следует отметить, что Федеральный закон «Об организации предоставления государственных и муниципальных услуг» (ст. 21.1 и 21.2) регулирует использование электронных подписей для получения государственных услуг. В описанной ситуации злоумышленники использовали доступ к Госуслугам для совершения противоправных действий, что выходит за рамки законного оказания услуг. Эти нормы не являются основаниями для действий мошенников, а наоборот, подчеркивают, что электронная подпись должна использоваться добросовестно. Факт появления доверенности в личном кабинете свидетельствует о том, что кто-то пытался воспользоваться функционалом портала от имени потерпевшей, что прямо нарушает порядок, установленный этими статьями.

Статья 21.1. Использование электронной подписи при оказании государственных и муниципальных услуг: 1. Обращение за получением государственной или муниципальной услуги и предоставление государственной или муниципальной услуги могут осуществляться с использованием электронных документов, подписанных электронной подписью в соответствии с требованиями Федерального закона "Об электронной подписи" и требованиями настоящего Федерального закона. 2. Виды электронных подписей, использование которых допускается при обращении за получением государственных и муниципальных услуг, и порядок их использования устанавливаются Правительством Российской Федерации.
— Федеральный закон «Об организации предоставления государственных и муниципальных услуг», ст. 21.1

Статья 21.2. Правила использования простых электронных подписей при оказании государственных и муниципальных услуг. 1. Правила использования простых электронных подписей при оказании государственных и муниципальных услуг, в том числе правила создания и выдачи ключей простых электронных подписей, а также перечень органов и организаций, имеющих право на создание и выдачу ключей простых электронных подписей в целях оказания государственных и муниципальных услуг, устанавливаются Правительством Российской Федерации. ... 3. Запрос и иные документы, необходимые для предоставления государственной или муниципальной услуги, подписанные простой электронной подписью и поданные заявителем с соблюдением требований части 2 статьи 21.1 настоящего Федерального закона и части 1 настоящей статьи, признаются
— Федеральный закон «Об организации предоставления государственных и муниципальных услуг», ст. 21.2

Дополнительно обратим внимание на ст. 273 УК РФ, которая предусматривает ответственность за создание, использование и распространение вредоносных компьютерных программ. В ситуации не указано прямо, что использовалось вредоносное ПО, но сама схема получения кода доступа и последующая загрузка доверенности могли быть осуществлены с помощью фишингового сайта или поддельного приложения (например, если "человек из ФСБ" заставил пройти по ссылке из Яндекса). Однако для применения этой статьи нужны доказательства использования именно вредоносных программ. Пока что наиболее релевантны мошенничество и неправомерный доступ к компьютерной информации.

Статья 273. Создание, использование и распространение вредоносных компьютерных программ. 1. Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, - наказываются ограничением свободы на срок до четырех лет, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок со штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев.
— Уголовный кодекс Российской Федерации, ст. 273

Таким образом, совокупность описанных фактов образует признаки нескольких составов преступлений, предусмотренных Уголовным кодексом, и грубые нарушения законодательства об электронной подписи и персональных данных. Никаких правовых оснований для требований «сотрудников» не имеется, и несовершеннолетней следует немедленно обратиться в правоохранительные органы с заявлением о мошенничестве.