Утечка данных: что делать, если это случилось

Как понять, что произошла утечка данных

Утечка персональных данных — это несанкционированный доступ к информации, её копирование, передача третьим лицам или уничтожение. Источник может быть внешним (взлом, фишинговая атака) или внутренним (ошибка или умысел сотрудника).

Ключевые признаки, на которые стоит обратить внимание:

• Аномальная активность в журналах доступа. Пользователь скачивал нетипично большой объём данных или входил в систему в нерабочее время.
• Срабатывание SIEM или антивируса. Автоматизированные системы зафиксировали подозрительные события.
• Сообщения от клиентов или партнёров. Человек обнаружил свои данные в открытом доступе или получил спам с персонализированной информацией.
• Публикации в СМИ и Telegram-каналах. Утечка стала публичной, а внутренняя служба безопасности ещё не знает об инциденте.
• Результаты тестирования на проникновение. Пентест выявил уязвимость, которой уже успели воспользоваться.

Отсутствие видимых признаков — не гарантия безопасности. Часть инцидентов обнаруживается спустя месяцы. Именно поэтому регулярный мониторинг — рабочий инструмент, а не формальность.

Что должна сделать компания в первые 72 часа

Российское законодательство устанавливает жёсткие сроки реагирования. Их нарушение само по себе является правонарушением — вне зависимости от того, был ли нанесён реальный ущерб субъектам данных.

Первые 24 часа: локализация и первичное уведомление

1. Изолировать скомпрометированные системы. Отозвать доступы, заблокировать подозрительные учётные записи, остановить дальнейшее распространение информации.
2. Сохранить доказательства. Сделать образы дисков, экспортировать журналы событий. Эти данные нужны и для расследования, и для ответа регулятору.
3. Подать первичное уведомление в Роскомнадзор. Срок — 24 часа с момента обнаружения инцидента. Уведомление направляется через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) или через специальную форму на сайте ведомства. В нём указывают суть произошедшего, категории затронутых данных и предварительное число субъектов.

Порядок уведомления и обязательства оператора персональных данных закреплены в 152-ФЗ о персональных данных — там же можно найти актуальные требования к обработке и защите информации.

24–72 часа: расследование и уведомление субъектов

После первичного уведомления запускается полноценное расследование:

• Восстановить хронологию: когда начался инцидент, как долго продолжался, кто имел доступ к системе в этот период.
• Установить причину: внешняя атака, ошибка конфигурации, действия инсайдера.
• Оценить масштаб: количество затронутых записей, категории данных (специальные — медицинские, биометрические — требуют отдельного контроля).
• Подать дополненное уведомление в Роскомнадзор в течение 72 часов — с результатами расследования, принятыми мерами и планом по устранению последствий.
• Уведомить субъектов данных. Люди, чья информация оказалась под угрозой, должны узнать об инциденте. Чем раньше — тем быстрее они примут меры для защиты своих аккаунтов и финансов.

После закрытия инцидента зафиксируйте выводы во внутреннем отчёте и скорректируйте политику информационной безопасности.

Оборотные штрафы за утечку данных в 2026 году

С 2025 года в России действуют оборотные штрафы за нарушения в области персональных данных. До этого санкции были фиксированными и небольшими; теперь их размер привязан к годовой выручке компании. Это делает соблюдение правил хранения персональных данных работников экономически критичным для любого бизнеса.

За первичное нарушение предусмотрен штраф до 15 млн рублей, за повторное — до 500 млн рублей. Для должностных лиц, причастных к умышленной передаче данных, введена уголовная ответственность.

Важно: суммы штрафов и состав правонарушений уточняются по мере правоприменительной практики. Перед принятием решений по конкретному инциденту проверяйте актуальную редакцию закона или обращайтесь к юристу, специализирующемуся на защите персональных данных.

Именно поэтому вопрос защиты информации переместился с уровня ИТ-отдела на уровень совета директоров. Штраф в сотни миллионов рублей — уже экзистенциальный риск для большинства компаний среднего бизнеса.

Разбираться с последствиями утечки — дорого. Строить защиту заранее — разумнее. Специалисты по информационной безопасности сегодня нужны в каждой организации, которая работает с персональными данными. Освоить профессию можно за 1,5 месяца с господдержкой — смотрите каталог программ с господдержкой.

Что делать человеку, чьи данные утекли

Если вы узнали, что ваши персональные данные попали к третьим лицам, — действуйте последовательно.

Проверьте факт утечки. Сервис Have I Been Pwned (haveibeenpwned.com — международная база известных инцидентов) позволяет узнать, появился ли ваш email или телефон в слитых базах. Роскомнадзор периодически публикует информацию о крупных российских инцидентах — следите за официальными сообщениями.

Смените пароли. Начните с почты — она служит ключом к большинству остальных аккаунтов. Затем — банки, Госуслуги, маркетплейсы. Пароли должны быть уникальными для каждого сервиса. Менеджер паролей избавит от необходимости держать их в голове.

Включите двухфакторную аутентификацию везде, где это возможно: на Госуслугах, в банковских приложениях, в почте. Даже если пароль утёк, второй фактор заблокирует вход для постороннего.

Оформите самозапрет на кредиты. Через Госуслуги или в МФЦ можно запретить выдачу кредитов и займов на своё имя — услуга бесплатная. Если мошенники попытаются воспользоваться вашими паспортными данными, оформить кредит у них не получится.

Следите за транзакциями. Подключите уведомления по всем банковским картам. Подозрительную операцию нужно оспорить как можно быстрее: банк обязан рассмотреть претензию.

Сохраните доказательства. Если вы понесли ущерб (списание денег, кредит на ваше имя) — сохраняйте скриншоты, выписки, переписку. Это понадобится для обращения в полицию и подачи жалобы в Роскомнадзор на оператора, допустившего утечку данных.

Как снизить риск будущих утечек

Профилактика — это системная работа: регулярный аудит прав доступа, шифрование чувствительных данных, обучение сотрудников распознавать фишинговые атаки.

Среди технических инструментов ключевую роль играют DLP-системы (от английского Data Loss Prevention — предотвращение утечек данных). Они отслеживают передачу информации внутри компании и за её периметр, блокируют подозрительные действия в режиме реального времени. Подробнее о том, как устроены такие системы и как выбрать подходящую, — в статье о DLP-системах для защиты данных.

Часто задаваемые вопросы

В какой срок нужно уведомить Роскомнадзор об утечке данных?

Первичное уведомление — в течение 24 часов с момента обнаружения инцидента. Дополненное уведомление с результатами расследования — в течение 72 часов. Оба срока отсчитываются от момента обнаружения, а не от фактической даты утечки данных.

Что грозит компании за утечку персональных данных?

С 2025 года действуют оборотные штрафы: за первичное нарушение — до 15 млн рублей, за повторное — до 500 млн рублей. Должностным лицам, причастным к умышленной передаче данных, грозит уголовная ответственность. Точные суммы зависят от обстоятельств и категории нарушения — уточняйте у юриста.

Как проверить, попали ли мои данные в открытый доступ?

Воспользуйтесь сервисом Have I Been Pwned — он сравнивает ваш email с базами известных мировых утечек. Дополнительно следите за официальными сообщениями Роскомнадзора: ведомство информирует о крупных российских инцидентах.

Что такое самозапрет на кредиты и как его оформить?

Самозапрет — это запрет на выдачу кредитов и займов на ваше имя. Оформляется бесплатно через Госуслуги или в МФЦ. Защищает от мошенников, которые пытаются взять кредит по утёкшим паспортным данным.

Обязана ли компания сообщить мне об утечке моих данных?

Да. Оператор персональных данных обязан уведомить субъектов — людей, чья информация затронута инцидентом. Если компания умалчивает об утечке, вы вправе подать жалобу в Роскомнадзор.

Может ли небольшая компания получить крупный штраф?

Может. Оборотные штрафы исчисляются от выручки, поэтому даже для среднего бизнеса итоговая сумма способна оказаться значительной. При повторном нарушении она вырастает многократно. Это принципиально меняет отношение к информационной безопасности: «у нас небольшая компания, нас не заметят» больше не работает как аргумент.