Взломали аккаунт на Госуслугах: списали деньги, заказали 2-НДФЛ — нужно ли менять паспорт, как проверить кредитную историю и защититься

Нужно ли менять паспорт после взлома аккаунта на Госуслугах

Взлом учётной записи ЕСИА и утечка паспортных данных сами по себе не являются основанием для замены паспорта. Перечень оснований замены паспорта — исчерпывающий:

Замена паспорта производится при наличии следующих оснований: достижение 20-летнего или 45-летнего возраста; (В редакции Постановления Правительства Российской Федерации от 15.07.2021 № 1205) изменение гражданином в установленном порядке фамилии, имени, отчества, изменение сведений о дате (число, месяц, год) и/или месте рождения; изменение пола; непригодность паспорта для дальнейшего использования вследствие нарушения элементов защиты бланка паспорта, в результате которого невозможно установить подлинность такого бланка и обеспечить защиту от изменения нанесенной на него информации, повреждения, нарушающего целостность бланка паспорта (отсутствие страницы или ее части, предназначенной для внесения отметок и (или) записей), и (или) износа (повреждения), при котором невозможно однозначно визуально определить наличие или содержание всех или отдельных указанных в паспорте сведений и реквизитов (фамилия, имя, отчество, дата (число, месяц, год) и (или) место рождения, пол, наименование органа, выдавшего документ, номер или серия документа, дата выдачи документа), машиночитаемой записи либо фотографии; (В редакции Постановления Правительства Российской Федерации от 15.07.2021 № 1205) обнаружение неточности или ошибочности произведенных в паспорте записей. Замена паспорта производится и в иных случаях, предусмотренных нормативными правовыми актами Российской Федерации.
— п. 12 Положения о паспорте гражданина РФ, утв. Постановлением Правительства РФ от 08.07.1997 № 828

В перечне основания для замены паспорта — возраст, изменение имени/пола, непригодность бланка, неточность записей. Тот факт, что паспортные данные стали известны мошенникам, сюда не входит: сам документ не утрачен, не повреждён, записи в нём не ошибочны. Знание посторонними лицами серии, номера и даты выдачи паспорта законом к числу оснований замены не отнесено.

Из этого следует уверенный вывод: менять паспорт вы не обязаны — и не вправе требовать его замены только на том основании, что данные «скомпрометированы». Замена паспорта без предусмотренного законом основания не производится. Для защиты достаточно того, что вы уже сделали: восстановили доступ к ЕСИА в МФЦ и сменили пароль. Риск для вас создаёт не сам паспорт, а возможность использования его данных для дистанционного оформления договоров — этот риск закрывается самозапретом на кредиты (см. соответствующий блок) и контролем кредитной истории. Если же в полиции вам в какой-то момент оформили утрату паспорта или вы фактически его потеряли — тогда применяется обязанность заявить об утрате и получить новый паспорт (п. 17 Положения о паспорте), но в вашей ситуации факта утраты нет.

Возврат ~50 000 руб., списанных с карты без вашего согласия

Деньги, выведенные мошенниками, — это операции с использованием электронного средства платежа, совершённые без добровольного согласия клиента. Закон возлагает на банк (оператора по переводу денежных средств) обязанность информировать о каждой операции и возмещать сумму несанкционированной операции при соблюдении вами порядка уведомления:

Оператор по переводу денежных средств обязан обеспечить возможность направления ему клиентом уведомления об утрате электронного средства платежа и (или) о его использовании без добровольного согласия клиента. (В редакции Федерального закона от 24.07.2023 № 369-ФЗ) 6. Оператор по переводу денежных средств обязан фиксировать направленные клиенту и полученные от клиента уведомления, а также хранить соответствующую информацию не менее трех лет. 7. Оператор по переводу денежных средств обязан предоставлять клиенту документы и информацию, которые связаны с использованием клиентом его электронного средства платежа, в порядке, установленном договором. 8. Оператор по переводу денежных средств обязан рассматривать заявления клиента, в том числе при возникновении споров, связанных с использованием клиентом его электронного средства платежа, а также предоставить клиенту возможность получать информацию о результатах рассмотрения заявлений, в том числе в письменной форме по требованию клиента, в срок, установленный договором, но не более 30 дней со дня получения таких заявлений, а также не более 60 дней со дня получения заявлений в случае использования электронного средства платежа для осуществления трансграничного перевода денежных средств. 9. Использование клиентом электронного средства платежа может быть приостановлено или прекращено оператором по переводу денежных средств на основании полученного от клиента уведомления или по инициативе оператора по переводу денежных средств при нарушении клиентом порядка использования электронного средства платежа в соответствии с договором , а также в случаях, предусмотренных настоящим Федеральным законом . (В редакции Федерального закона от 24.07.2023 № 369-ФЗ) 9 1 . (Дополнение частью - Федеральный закон от 27.06.2018 № 167-ФЗ) (Утратила силу - Федеральный закон от 24.07.2023 № 369-ФЗ) 9 2 . При приостановлении или прекращении использования клиентом электронного средства платежа в случаях, предусмотренных настоящим Федеральным законом, оператор по переводу денежных средств обязан в день такого приостановления или прекращения в порядке, установленном договором, предоставить клиенту информацию о приостановлении или прекращении использования электронного средства платежа с указанием причины такого приостановления или прекращения. (Дополнение частью - Федеральный закон от 27.12.2019 № 490-ФЗ) 10. Приостановление или прекращение использования клиентом электронного средства платежа не прекращает обязательств клиента и оператора по переводу денежных средств, возникших до момента приостановления или прекращения указанного использования. 11. В случае утраты электронного средства платежа и (или) его использования без добровольного согласия клиента клиент обязан направить соответствующее уведомление оператору по переводу денежных средств в предусмотренной договором форме незамедлительно после обнаружения факта утраты электронного средства платежа и (или) его использования без добровольного согласия клиента, но не позднее дня, следующего за днем получения от оператора по переводу денежных средств уведомления о совершенной операции.
— ч. 5, 11 ст. 9 ФЗ «О национальной платёжной системе»

После получения оператором по переводу денежных средств уведомления клиента в соответствии с частью 11 настоящей статьи оператор по переводу денежных средств обязан в течение 30 дней возместить клиенту сумму операции, совершенной без добровольного согласия клиента с использованием указанного в уведомлении электронного средства платежа после получения указанного уведомления. (В редакции Федерального закона от 24.07.2023 № 369-ФЗ) 13. В случае, если оператор по переводу денежных средств не исполняет обязанность по информированию клиента о совершенной операции в соответствии с частью 4 настоящей статьи, оператор по переводу денежных средств обязан возместить клиенту сумму операции, о которой клиент не был проинформирован и которая была совершена без добровольного согласия клиента, в течение 30 дней после получения заявления клиента о возмещении суммы операции, совершенной без добровольного согласия клиента. (В редакции Федерального закона от 24.07.2023 № 369-ФЗ) 14. В случае, если оператор по переводу денежных средств исполняет обязанность по информированию клиента о совершенной операции в соответствии с частью 4 настоящей статьи и клиент не направил оператору по переводу денежных средств уведомление в соответствии с частью 11 настоящей статьи, оператор по переводу денежных средств не обязан возместить клиенту сумму операции, совершенной без добровольного согласия клиента, за исключением случая, установленного частью 3 13 статьи 8 настоящего Федерального закона. (В редакции Федерального закона от 24.07.2023 № 369-ФЗ) 15. В случае, если оператор по переводу денежных средств исполняет обязанность по уведомлению клиента - физического лица о совершенной операции в соответствии с частью 4 настоящей статьи и клиент - физическое лицо направил в соответствии с частью 11 настоящей статьи оператору по переводу денежных средств уведомление об утрате электронного средства платежа и (или) о его использовании без согласия клиента, за исключением случая, установленного частью 3 13 статьи 8 настоящего Федерального закона, оператор по переводу денежных средств обязан возместить клиенту сумму указанной операции, совершенной до момента направления клиентом - физическим лицом уведомления. В указанном случае оператор по переводу денежных средств обязан возместить сумму операции в течение 30 дней после получения заявления клиента - физического лица о возмещении суммы операции, а в случае трансграничного перевода денежных средств - в течение 60 дней, если не докажет, что клиент - физическое лицо нарушил порядок использования электронного средства платежа, что повлекло совершение указанной операции.
— ч. 4, 12, 13, 14, 15 ст. 9 ФЗ «О национальной платёжной системе»

Применение к вашей ситуации: вы обязаны были направить банку уведомление о несанкционированной операции незамедлительно после её обнаружения, но не позднее дня, следующего за днём получения от банка уведомления об операции. Если вы это уже сделали (письменно либо через банк), банк обязан возместить сумму операции, совершённой без вашего согласия, в течение 30 дней после вашего заявления о возмещении. Важный момент — срок уведомления: если операция была совершена и вы получили о ней СМС/пуш-уведомление, а заявили в банк позже следующего дня, банк вправе отказать (ч. 14 ст. 9) — кроме случаев, когда вы докажете, что сами порядок использования карты не нарушали, а списание стало следствием противоправных действий третьих лиц (взлома). Поэтому ключевые факты для исхода: (1) когда вы обнаружили списание, (2) когда и в какой форме заявили в банк, (3) имеется ли талон-уведомление из полиции — он подтверждает факт преступления и существенно усиливает вашу позицию при отказе банка.

Вывод: банк обязан возместить сумму несанкционированного списания при условии своевременного уведомления — обратитесь в банк с письменным заявлением о несанкционированной операции и о возмещении, приложив талон-уведомление из полиции; срок возмещения по ст. 9 — 30 дней. При отказе — жалоба в Банк России и к финансовому уполномоченному, далее суд (подробнее в блоке «если откажут»).

Где и как посмотреть кредитную историю без Госуслуг

Право на получение кредитной истории и доступ к ней НЕ привязаны к порталу Госуслуг — это ваше самостоятельное право, реализуемое напрямую через бюро кредитных историй:

Субъект кредитной истории вправе получить из Центрального каталога кредитных историй информацию о том, в каком бюро кредитных историй хранится его кредитная история. (В редакции Федерального закона от 31.07.2020 № 302-ФЗ) 2. Субъект кредитной истории вправе в каждом бюро кредитных историй, в котором хранится кредитная история о нем, не более двух раз в течение каждого календарного года (но не более одного раза на бумажном носителе) бесплатно и любое количество раз за плату без указания причин получить кредитный отчет по своей кредитной истории, включая индивидуальный рейтинг субъекта кредитной истории.
— ч. 1, 2 ст. 8 ФЗ «О кредитных историях»

Применение к вашей ситуации: вы вправе в каждом БКИ, где хранится история о вас, два раза в год бесплатно получить кредитный отчёт. Госуслуги — лишь один из способов, а не единственный. Конкретные рабочие способы без Госуслуг:

1. Через Центральный каталог кредитных историй (ЦККИ) на сайте Банка России — узнать, в каких именно БКИ хранится ваша история (для запроса нужен код субъекта кредитной истории, который можно оформить в любом банке/МФЦ, либо при наличии — через «Госуслуги», но есть и иные пути).
2. Через банк, с которым у БКИ заключён договор:

Субъект кредитной истории вправе направить через кредитную организацию, заключившую договор об оказании информационных услуг с бюро кредитных историй, в котором хранится кредитная история о нем, в соответствии с подпунктом "г" пункта 2 части 6 1 или подпунктом "в" пункта 2 части 6 4 статьи 6 настоящего Федерального закона запрос о получении, в том числе бесплатно в соответствии с частью 2 настоящей статьи, кредитного отчета по своей кредитной истории, включая индивидуальный рейтинг субъекта кредитной истории . Направление запроса субъекта кредитной истории о получении кредитного отчета бесплатно в соответствии с частью 2 настоящей статьи исполняется кредитной организацией без взимания платы. Бюро кредитных историй обязано по запросу кредитной организации сообщить о количестве кредитных отчетов, полученных субъектом кредитной истории бесплатно в соответствии с частью 2 настоящей статьи.
— ч. 2.1 ст. 8 ФЗ «О кредитных историях»

1. Напрямую в БКИ (например, НБКИ, ОКБ, сервис «Госуслуги» — не единственный; отчёт можно запросить в самих крупных БКИ, у операторов-агентов).

Вывод: удаление или потеря доступа к Госуслугам не лишает вас права просмотреть кредитную историю. Запросите отчёт напрямую в бюро или через банк — дважды в год бесплатно. Рекомендую сделать это сейчас: проверьте, не оформили ли от вашего имени кредиты/займы, и не появились ли в истории «чужие» запросы.

Стоит ли удалять аккаунт Госуслуг (самозапрет на кредиты)

Удалять учётную запись ЕСИА (по совету из МФЦ/окружения) не обязательно и чаще невыгодно: именно через Госуслуги удобно оформить главный инструмент защиты — самозапрет на заключение договоров потребительского кредита, а также контролировать кредитную историю. Закон даёт право оформить запрет, а не удалять запись:

Для установления запрета (снятия запрета) субъект кредитной истории - физическое лицо вправе бесплатно любое количество раз подать во все квалифицированные бюро кредитных историй через многофункциональный центр предоставления государственных и муниципальных услуг или с использованием единого портала государственных и муниципальных услуг: 1) заявление о запрете; 2) заявление о снятии запрета.
— ч. 1 ст. 5.1 ФЗ «О кредитных историях»

Заявление о запрете подается субъектом кредитной истории - физическим лицом во все квалифицированные бюро кредитных историй: 1) через многофункциональный центр предоставления государственных и муниципальных услуг независимо от места жительства или места пребывания субъекта кредитной истории - физического лица при представлении субъектом кредитной истории - физическим лицом паспорта или иного документа, удостоверяющего личность;
— п. 1 ч. 4 ст. 5.1 ФЗ «О кредитных историях»

Применение: самозапрет можно подать в любое время бесплатно и неограниченное число раз во все квалифицированные БКИ — либо через МФЦ (лично с паспортом), либо через Госуслуги. Запрет блокирует заключение от вашего имени договоров потребительских займов/кредитов, в том числе дистанционных (без личной явки), — то есть закрывает ровно ту лазейку, которой могли воспользоваться мошенники с вашими паспортными данными.

Вывод: удалять аккаунт не нужно — вместо этого оформите самозапрет на кредиты (через МФЦ с паспортом либо через восстановленный аккаунт Госуслуг). Пароль вы уже сменили, доступ восстановили — этого достаточно для безопасности. Удаление записи ЕСИА лишит вас удобного доступа к услугам и к кредитной истории без какой-либо дополнительной защиты, которую не давал бы самозапрет.

Оспаривание «чужих» записей в кредитной истории и квалификация действий мошенников

Если в кредитной истории появятся записи, сделанные на основании договоров, оформленных мошенниками от вашего имени (справка 2-НДФЛ, микрозаймы, заявки), вы вправе их оспорить:

Субъект кредитной истории вправе полностью или частично оспорить информацию, содержащуюся в его кредитной истории, подав в бюро кредитных историй, в котором хранится указанная кредитная история, заявление о внесении изменений и (или) дополнений в эту кредитную историю. Субъект кредитной истории вправе обратиться с заявлением об оспаривании информации непосредственно к источнику формирования кредитной истории в случае, если направление этой информации в бюро кредитных историй указанным источником подтверждено данными закрытой части кредитной истории. (В редакции Федерального закона от 31.07.2020 № 302-ФЗ) 4. Бюро кредитных историй в течение 20 рабочих дней со дня получения заявления, указанного в части 3 настоящей статьи, обязано, за исключением случаев, определенных настоящим Федеральным законом, провести дополнительную проверку информации, входящей в состав кредитной истории, запросив ее у источника формирования кредитной истории. В случае, если субъект кредитной истории указал в заявлении о наличии у него обоснованных причин, в том числе обстоятельств, угрожающих причинением вреда жизни или здоровью, для получения соответствующей информации в более короткий срок, бюро кредитных историй проводит проверку в указанный им срок.
— ч. 3, 4 ст. 8 ФЗ «О кредитных историях»

Применение: при обнаружении недостоверных данных подаёте в БКИ (или напрямую источнику формирования истории) заявление о внесении изменений; бюро обязано в течение 20 рабочих дней провести проверку, а источник — в течение 10 рабочих дней подтвердить или исправить сведения. При наличии самозапрета, оформленного до заключения «чужого» договора, информация о таком договоре подлежит аннулированию по вашему заявлению (ч. 4.1-1 ст. 8 ФЗ).

Что касается уголовно-правовой оценки действий мошенников — их деяния образуют самостоятельные составы преступлений:

Неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование компьютерной информации, за исключением случаев, предусмотренных статьей 272 1 настоящего Кодекса, - (В редакции Федерального закона от 30.11.2024 № 421-ФЗ) наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок. 2. То же деяние, причинившее крупный ущерб или совершенное из корыстной заинтересованности, - наказывается штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо исправительными работами на срок от одного года до двух лет, либо ограничением свободы на срок до четырех лет, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок. (В редакции Федерального закона от 28.06.2014 № 195-ФЗ) 3.
— ч. 1 ст. 272 УК РФ

Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, - наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 2. Мошенничество, совершенное группой лиц по предварительному сговору, а равно с причинением значительного ущерба гражданину, - наказывается штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет, либо обязательными работами на срок до четырехсот восьмидесяти часов, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до пяти лет с ограничением свободы на срок до одного года или без такового, либо лишением свободы на срок до пяти лет с ограничением свободы на срок до одного года или без такового. (В редакции Федерального закона от 07.12.2011 № 420-ФЗ ) 3.
— ч. 1 ст. 159 УК РФ

Взлом вашей учётной записи ЕСИА и копирование данных — это неправомерный доступ к охраняемой законом компьютерной информации (ч. 1 ст. 272 УК РФ); завладение деньгами/оформление справки 2-НДФЛ путём обмана — мошенничество (ч. 1 ст. 159 УК РФ). Заявление в полицию вы уже подали, талон-уведомление получен — это основание для признания вас потерпевшей и для дальнейшего процессуального реагирования.

Вывод: все записи, порождённые действиями мошенников, подлежат оспариванию и аннулированию через БКИ или источник формирования, а действия виновных должны получить квалификацию по ст. 159 и 272 УК РФ в рамках уже возбуждённой по вашему заявлению проверки.

Защита персональных данных и справка 2-НДФЛ

Запрос справки 2-НДФЛ от вашего имени означал обработку ваших персональных данных (данные о доходах) третьими лицами. Закон обязывает оператора при выявлении неправомерной обработки принимать меры, а вас — наделяет правом требовать их:

В случае выявления неправомерной обработки персональных данных при обращении субъекта персональных данных или его представителя либо по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных оператор обязан осуществить блокирование персональных данных, относящихся к этому субъекту персональных данных, или обеспечить их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц. 2. В случае подтверждения факта неточности персональных данных оператор на основании сведений, представленных субъектом персональных данных или его представителем либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов обязан уточнить персональные данные либо обеспечить их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в течение семи рабочих дней со дня представления таких сведений и снять блокирование персональных данных. 3. В случае выявления неправомерной обработки персональных данных, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий трех рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку персональных данных или обеспечить прекращение неправомерной обработки персональных данных лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки персональных данных невозможно, оператор в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки персональных данных, обязан уничтожить такие персональные данные или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его представителя, а в случае, если обращение субъекта персональных данных или его представителя либо запрос уполномоченного органа по защите прав субъектов персональных данных были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган.
— ч. 1, 3, 3.1 ст. 21 ФЗ «О персональных данных»

Применение: по вашему обращению либо по запросу уполномоченного органа (Роскомнадзора) оператор данных обязан заблокировать неправомерно обрабатываемые данные на период проверки, а при подтверждении незаконности — прекратить обработку и уничтожить сведения с уведомлением вас. Запрос справки 2-НДФЛ через ЕСИА мог идти через ФНС/работодателя, поэтому при необходимости вы вправе направить обращение и им (требование о прекращении обработки и об уничтожении неправомерно полученных сведений), а также в Роскомнадзор — как уполномоченный орган по защите прав субъектов персональных данных.

Вывод: вы вправе требовать от операторов (ФНС/работодатель, ЕСИА) блокирования и уничтожения персональных данных, обработанных неправомерно при заказе справки от вашего имени, а также обратиться в Роскомнадзор; оператор обязан отреагировать (блокирование — незамедлительно, уничтожение — в срок до 10 рабочих дней с уведомлением вас).

Если банк откажет в возврате денег — порядок обжалования

Если банк не возместит списанные ~50 000 руб. добровольно, последовательность действий следующая:

1. Письменное заявление в банк об оспаривании операции и возмещении с приложением талона-уведомления из полиции — первичный обязательный шаг; по ст. 9 ФЗ «О национальной платёжной системе» банк обязан рассмотреть заявление (до 30 дней) и возместить сумму несанкционированной операции.
2. Жалоба в Банк России (интернет-приёмная ЦБ) — на бездействие/отказ банка.
3. Финансовый уполномоченный (по правам потребителей финансовых услуг) — обязательная досудебная инстанция по спорам с банками до подачи иска, если требование не превышает установленный порог.
4. Суд — иск о взыскании суммы операции, процентов за пользование чужими денежными средствами (ст. 395 ГК РФ) и компенсации морального вреда (ст. 15 Закона РФ «О защите прав потребителей»). Потребитель вправе предъявить иск по своему месту жительства либо по месту заключения/исполнения договора, без уплаты госпошлины при цене иска до 1 млн руб.

В вашей ситуации сроки критичны: чем раньше зафиксировано письменное заявление в банк о несанкционированной операции, тем выше шанс на возврат, поскольку именно дата уведомления банка определяет пределы его обязанности по возмещению (ч. 11, 15 ст. 9 ФЗ «О национальной платёжной системе»).

Вывод: первичный способ вернуть деньги — письменное требование в банк с талоном-уведомлением из полиции; при отказе последовательно: Банк России → финансовый уполномоченный → суд (по месту жительства, без госпошлины), с взысканием процентов по ст. 395 ГК РФ и компенсации морального вреда.