Как защитить от угона аккаунт на «Госуслугах»
Более 50 тысяч — именно столько аккаунтов жителей России на «Госуслугах» взломали в 2024 году мошенники, согласно данным Генеральной прокуратуры. В последнее время на вооружении злоумышленников появилось огромное множество самых разных тактик и стратегий — от искусной социальной инженерии до использования нейросетей для подмены лиц и голосов. О том, как взламывают «Госуслуги» и какие дополнительные меры защиты граждан от таких преступлений сегодня находятся в разработке, рассказывает «Парламентская газета».
Потерял пароль — иди в МФЦ
Тему взломов портала «Госуслуги« в очередной раз поднял 28 мая председатель IT-комитета Госдумы Сергей Боярский. Он сообщил о разработке новых мер по противодействию телефонным мошенникам и новых способах восстановления утраченных паролей, тема которых поднималась на одном из недавних заседаний комитета.
«Я уже неоднократно говорил и сказал сегодня вновь: пароль от «Госуслуг» — это не мелочь, а вещь, равная ключу от квартиры, который мы храним бережно, не позволяя себе забыть его или оставить где попало, — подчеркнул парламентарий. — Так же взвешенно нужно относиться и к паролю от своего главного электронного кабинета. Я убежден: если человеку придется прийти в МФЦ для восстановления пароля, в следующий раз он подумает и отнесется к вопросу гораздо внимательнее. Поэтому стою на жесткой позиции: восстановление доступа к паролю от «Госуслуг» должно происходить через личный визит в МФЦ, банк или с использованием биометрии».
Зачем взламывают «Госуслуги», понятно: получив полный доступ к ключевым документам человека, можно повесить на него займ или кредит, оформить «левую» сим-карту. Персональные данные можно использовать при запугивании самого человека или его родственников или, наконец, просто продать. А вот как их взламывают — вопрос уже куда более комплексный и сложный.
Как сообщил «Парламентской газете» эксперт по цифровым технологиям Эльдар Муртазин, взломать «Госуслуги» физически, то есть обойти их системы защиты и получить доступ к данным пользователей напрямую, практически невозможно.
«Строго говоря, взломать при нынешнем уровне развития технологий можно, наверное, все что угодно, — отметил эксперт. — Однако «Госуслуги», как и любой государственный сервис в России сегодня, защищены очень и очень неплохо. Дело в том, что мы и до 2022 года имели хорошие компетенции в сфере защиты от хакерских атак. А потом их еще больше развили. У нас с 2022 года, несмотря на непрерывные попытки, не было ни одного взлома государственной системы. Максимум — DDoS-атаки, когда серверы просто «ложатся» и какое-то время не работают».
Не «физически», а «социально»
Поэтому, констатировал собеседник издания, куда проще, дешевле и в какой-то степени надежнее привлекать ко взлому… самих пользователей. Именно по такой схеме сегодня и действует подавляющее большинство мошенников.
«Практически каждый успешный взлом чьего-то аккаунта — это результат социальной инженерии, — пояснил Эльдар Муртазин. — Когда человек сам сообщает свой логин и пароль, сам отдает мошенникам коды доступа и так далее».
Стратегий для этого сегодня существует неимоверное количество, чтобы в этом убедиться, достаточно просто почитать новости. Мошенники притворяются сотрудниками правоохранительных органов, пенсионных фондов, осваивают нейросети, меняющие внешность и голос, и разыгрывают с жертвой целые спектакли с несколькими действующими лицами. Так, неоднократно разводилы действовали под видом медиков или коммунальщиков — в первом случае код доступа к «Госуслугам» якобы нужен был для записи в больницу, во втором — для привязки ключа от домофона. Несколько месяцев назад по России прокатилась тактика с «защищенными счетами», когда жертве сообщали, что ее банковским накоплениям якобы угрожает опасность, а после просили зарегистрироваться на специальном сайте, чтобы их защитить. Сайт, конечно же, оказывался фишинговым, после чего все пароли и логины жертвы уходили мошенникам.
С тем, что социальная инженерия стала основой для взломов «Госуслуг», согласен и IT-эксперт Никита Лебедев-Зиновьев.
«Самое важное — это втереться в доверие жертве, найти общий язык и получить данные от аккаунта. Чаще всего используют несколько способов: например, развешивают QR-коды на подъездах жилых комплексов от лица старшего человека по подъезду с призывом войти в чат подъезда или подделывают платежный документ оплаты ЖКХ. После перехода на QR-код для оплаты жертве звонят от лица ЖКХ для «оплаты на «Госуслугах», — отметил эксперт. — Здесь нужно всегда помнить, что никакие данные из «Госуслуг» никому нельзя сообщать. А сами сотрудники «Госуслуг» никогда не позвонят — общение с ними возможно только через официальную электронную почту».
В целом все опрошенные «Парламентской газетой» эксперты сошлись на том, что, чтобы защитить пользователей «Госуслуг» (к которым, к слову, относится практически все население России — по последним данным Минцифры, на портале на декабрь 2024 года было зарегистрировано 112 миллионов человек из 144 миллионов проживающих), нужно делать основной упор на развитии цифровой грамотности. Чтобы люди запомнили простую вещь: код, приходящий в смс-сообщениях, нельзя говорить никогда и никому. Однако и дополнительные сугубо технические средства защиты сегодня находятся в разработке.
«Не так давно прозвучало предложение Минцифры сделать так, чтобы смс-сообщения с кодами от «Госуслуг» не могли приходить во время телефонного разговора, — отметил Эльдар Муртазин. — То есть человек, чтобы прочесть такую смс, должен будет отключиться, и мошенники не смогут его обрабатывать. А он, возможно, остынет, здраво подумает, поймет, что происходит, и уже не станет ни перезванивать, ни отвечать на новые входящие звонки».