Catch and Punish: Comment la Russie est punie pour le commerce illégal de données

Il y a près d'un an, j'ai fait une sélection de reportages dans les médias sur la façon dont les gens en Russie sont pris et punis pour le commerce illégal de données personnelles . Il est temps de mettre à jour ce résumé.


Combien attrapent-ils


Au cours de l'année écoulée, le nombre de publications et d'informations sur le thème «détenus et punis» a fortement augmenté. Le plus grand nombre d'infractions a été identifié et porté à la connaissance du public après les événements bien connus avec des fuites de données à Sberbank - c.-à-d. immédiatement après octobre 2019.


De plus, même en tenant compte du délai nécessaire pour retrouver les auteurs et mener l'enquête, le nombre d'affaires ne correspond pas au nombre d'offres de vente de données sur le marché noir.


Qui est pris


La part du lion des personnes capturées sont des employés d'opérateurs de téléphonie mobile et de magasins de téléphonie mobile, ainsi que des représentants de banques, dont la Sberbank.

Comme vous pouvez le constater, à la fin de l'année, la part des «puncheurs» capturés fournissant des services dans le secteur bancaire et en particulier les opérateurs de télécommunications, sur laquelle les autorités chargées de l'application des lois accordaient peu d'attention au début de l'année, se concentrait sur les délinquants vendant des données à partir de bases d'État.


Pourquoi attrapent-ils



Comme vous pouvez le voir sur le graphique ci-dessus, les initiés capturés de différentes régions monétisent leurs capacités de différentes manières.


Les employés d'organisations gouvernementales, parmi lesquels une grande partie des informaticiens, créent et vendent leurs propres bases de données contenant les données auxquelles ils ont accès.


Les employés des entreprises de téléphonie mobile et des magasins de téléphonie mobile vendent principalement des services de pénétration, transmettant aux parties intéressées les détails des appels et des SMS.


Les employés de banque créent de plus en plus de stratagèmes frauduleux «fermés» en volant de l'argent sur les comptes des clients ou en «connectant» les personnes dont ils ont volé les données à divers produits financiers, par exemple en leur émettant des cartes de crédit ou en contractant un prêt en espèces.


Qui et comment attrape les initiés


Malheureusement, seulement dans 10% des cas, il existe des traces du service de sécurité des entreprises - dans 90% des cas, les organismes d'application de la loi attrapent des initiés, ce qui indique l'absence de changements fondamentaux dans les approches des entreprises en matière de protection des données personnelles. Dans le même temps, lorsque vous travaillez avec un système de sécurité d'entreprise, la majeure partie de la chaîne reste non résolue. L'initié lui-même devient un défendeur, et les intermédiaires et, surtout, les acheteurs restent dans les coulisses.


Dans presque tous les cas liés à la panne des opérateurs mobiles, les employés des bureaux de vente et des salons de téléphonie mobile apparaissent et continuent d'avoir un accès incontrôlé aux informations des abonnés.


Dans presque tous les cas, l'enquête est menée par le FSB. En cas de fraude bancaire, le dossier est presque toujours ouvert à la demande de la victime, qui a découvert la perte de fonds ou de dettes par elle-même.


Conclusions


Malgré l'activité accrue des forces de l'ordre, la situation des fuites de données ne s'améliore pas et ne s'améliorera pas en 2020. Les banques ne peuvent pas identifier les sources de fuites majeures, les opérateurs de télécommunications ne pensent même pas à restreindre l’accès aux données personnelles des abonnés, et les forces de l’ordre attrapent les petits commerçants qui négligent leur propre sécurité des informations. La situation dans le secteur bancaire est également affectée négativement par l'émergence d'un groupe de recruteurs professionnels, non seulement à la recherche d'employés de banque puis incitant à commettre des délits, mais aussi leur enseignant les principales méthodes de lutte contre les systèmes de contrôle.


Étuis


J'ai terminé l'examen précédent au début du mois de mars 2019, nous allons donc commencer à partir du milieu du même mois.


Allons-y ...

Mars 2019


Selon le bureau du procureur de la ville d'Oulianovsk, le directeur adjoint de la sécurité de l'école n ° 57 a illégalement eu accès à des informations contenant des données personnelles sur les élèves, les parents et le personnel scolaire d'Oulianovsk et les a supprimées. De plus, il a trouvé un programme malveillant sur Internet et l'a exécuté sur un ordinateur professionnel pour cacher les traces d'un crime. Il a été inculpé en vertu de la partie 3 de l'article 272 du Code pénal de la Fédération de Russie (accès illégal à des informations informatiques protégées par la loi, qui a conduit à sa destruction commise par une personne occupant sa position officielle), partie 2 de l'article 273 du Code pénal de la Fédération de Russie (utilisation de programmes informatiques connus de neutralisation des moyens de protection des informations informatiques commis par une personne occupant sa position officielle), l'affaire pénale a été renvoyée devant les tribunaux.


Un ancien employé du service de protection des informations techniques de l'administration de la ville de Kurgan, a créé son propre logiciel et système d'information contenant des adresses, TIN, SNILS, permis de conduire, passeports, des informations sur les prêts et dettes bancaires dans le secteur du logement, etc. En raison de sa position officielle, l'homme avait accès à une base de données où les informations sont entrées par le FMS, le bureau d'enregistrement, les commissions électorales, les commissariats militaires, le Service fédéral des pénitenciers et d'autres et institutions. Pour une récompense monétaire de 1,5 à 2 000 roubles, l'attaquant a vendu ces informations à des tiers - banques et agences de recouvrement. Les acheteurs ont transféré de l'argent sur la carte de ses proches. Pour violation de la vie privée, le tribunal a condamné le coupable à une amende de 200 mille roubles.


Le chef du département du renseignement et du travail opérationnel de la police de Perm et le chef adjoint du département de développement de logiciels de la direction principale du ministère des Affaires intérieures de la Russie dans le territoire de Perm ont vendu des données personnelles de résidents. À propos de ces deux policiers, il est devenu connu lors de l'enquête de la direction du FSB dans le territoire de Perm concernant trois Permiens, qui pendant 15 000 roubles par mois ont fourni des informations sur les habitants de la région de Kama. Sur ce, ils ont gagné plus de 18 millions de roubles. Une affaire pénale a été engagée contre tous les membres du groupe criminel en vertu de l'article «Accès illégal à des informations protégées» (article 272 du Code pénal de la Fédération de Russie). Le matériel de l'affaire pénale a été transféré du FSB au SU SKR régional du territoire de Perm.


Avril


De 2015 à 2017, le chef de quart du district de Lénine de Novossibirsk a transmis des informations sur le défunt aux agents funéraires. Sur le commerce de ces données, il a gagné plus de 900 mille roubles. L'argent lui a été transféré sur une carte bancaire. Nom, date de naissance et de décès, où se trouve le défunt - communiqué aux services rituels par l'intermédiaire d'un messager. Le tribunal a déclaré l'ancien policier de 43 ans coupable d'avoir commis deux épisodes des crimes prévus au paragraphe "c" partie 5 de l'art. 290 du Code pénal (recevoir un pot-de-vin officiel sous forme d'argent, pour des actions illégales, à grande échelle) et l'a condamné à 7 ans et 5 mois de prison.


Mai


À Novossibirsk, Ilya Lozhkin, spécialiste de l'opérateur mobile MegaFon, a été condamné à une peine d'emprisonnement; il a été reconnu coupable d'avoir divulgué des informations constituant un secret commercial. En septembre de l'année dernière, un spécialiste Megafon a utilisé un nom d'utilisateur et un mot de passe pour accéder à distance aux données personnelles des abonnés d'un opérateur mobile à domicile. Lozhkin a photographié un écran avec des données personnelles (noms, prénoms, dates de naissance, données de passeport, lieux d'enregistrement et informations sur l'équilibre des nombres) de deux abonnés et, en utilisant le messager Telegram, a envoyé des photos à une personne inconnue, recevant 1400 roubles en échange. Le tribunal a condamné un spécialiste de Megafon à un an et demi d'emprisonnement.


Le tribunal de la région de Lipetsk a condamné un ancien employé de banque de 27 ans reconnu coupable de trois épisodes de délits en vertu de la première partie de l'article 158 du Code pénal de la Fédération de Russie (vol) et de la troisième partie de l'article 183 du Code pénal de la Fédération de Russie (utilisation illégale d'informations constituant des secrets bancaires sans le consentement de leur propriétaire ) En juin 2017, l'accusé, en tant que consultant financier dans l'une des succursales de la banque, a volé 14 mille roubles dans les comptes des déposants à l'aide d'un logiciel officiel. En utilisant des données personnelles et des informations sur le secret bancaire concernant les comptes de trois résidents de la région de Bryansk, elle a émis une nouvelle émission de leurs cartes de débit, avec laquelle elle a encaissé de l'argent. L'une des victimes a découvert que l'argent était débité de son compte bancaire et déposé auprès de la banque. C’est la raison de l’inspection par les services de sécurité de la banque et de l’ouverture d’une procédure pénale par les autorités chargées de l’enquête. Le tribunal a condamné le coupable à une amende de 100 000 roubles.


A Oufa, une enquête pénale a été ouverte contre un employé de 31 ans de la banque. La femme a copié les données des clients et les lui a envoyées par la poste. Plus tard, elle a transféré ces données à un employé d'une autre banque. Pour la divulgation d'informations constituant des secrets bancaires, l'ancien employé de la banque encourt une sanction soit sous la forme d'une amende, de travaux forcés ou, dans le cas le plus extrême, d'une peine d'emprisonnement.


Le tribunal a décidé d'envoyer en état d'arrestation le chef du département chargé des enquêtes sur les accidents de la route de l'administration du ministère russe des Affaires intérieures à Omsk, Alexei Lipin. Selon le comité d'enquête, une procédure pénale a été ouverte contre Alexei Lipin en vertu de la partie 2, partie 3 de l'art. 290 du Code pénal (recevoir un pot-de-vin). Lipin a transmis à son ami l'avocat les données personnelles des victimes d'Omsk de l'accident, et il a exhorté les victimes elles-mêmes à se tourner vers cet avocat pour obtenir une assistance juridique.


Le tribunal de district de Veliky Novgorod a condamné un détective privé reconnu coupable de quatre crimes en vertu de la partie 1 de l'art. 272 du Code pénal de la Fédération de Russie (accès illégal aux informations informatiques protégées par la loi, si cet acte entraînait la copie d'informations informatiques), et un délit au titre de la partie 2 de l'art. 272 du Code pénal de la Fédération de Russie (accès illégal à des informations protégées par ordinateur par la loi, si cet acte impliquait la copie d'informations informatiques, commises par intérêt personnel). Un détective privé, utilisant une relation de confiance avec des employés du ministère régional des Affaires intérieures, a reçu à plusieurs reprises un accès illégal aux données personnelles d'un nombre indéterminé de citoyens par le biais d'un ordinateur mis à sa disposition pour un usage temporaire connecté à des banques de données intégrées (BID) du centre d'information du ministère des Affaires intérieures de la Russie dans la région de Novgorod. De ses clients, le détective a reçu 3 000 roubles pour les données collectées dans les bases de données du ministère de l'Intérieur. Il a été condamné à une amende de 150 mille roubles.


Juin


Le tribunal de district de Leninsky de Koursk envisage une affaire pénale, dont le principal accusé est un ancien directeur des ventes de l'une des banques, elle est accusée d'accès illégal à des informations informatiques protégées par la loi. Selon l'enquête, l'accusé, au nom de la banque, a traité les données personnelles de trois personnes à leur insu et en leur absence. Des cartes ont été émises, dont l'argent a ensuite été retiré. Les dégâts ont dépassé 1 million de roubles.


Une ancienne employée de 21 ans d'une entreprise de services de communication sur le territoire de Bryansk, ayant accès à une base de données de données personnelles d'abonnés, a donné à son amie des informations sur les connexions téléphoniques de son fiancé. Une affaire a été engagée contre elle en vertu de l'article 138 du Code pénal de la Fédération de Russie (violation du secret des conversations téléphoniques commises en utilisant une position officielle).


Des employés du bureau du FSB de Russie dans la région de Rostov ont arrêté 2 personnes qui vendaient des détails d'appels téléphoniques et des données de passeport de résidents de la région de Rostov. L'un des détenus travaillait dans un salon de téléphonie mobile de l'un des opérateurs et avait accès aux informations confidentielles des abonnés. Les criminels ont trouvé des clients sur les forums «percés». Les «affaires» des pénétrateurs de Rostov n'ont duré qu'un mois et pendant ce temps, ils ont réussi à «percer» 100 personnes. Le tribunal a condamné les criminels à une amende de 100 000 roubles chacun.


Juillet


À Kostroma, un commissaire de police local de 39 ans comparaîtra devant le tribunal, qui a transféré d'août à octobre 2018 les données personnelles du défunt et le lieu où se trouvent les corps dans un salon funéraire privé contre de l'argent. L'ancien policier a réussi à obtenir au moins 12 000 roubles en espèces auprès de donateurs de pots-de-vin. Il a été inculpé en vertu de la partie 3 de l'article 290 du Code pénal de la Fédération de Russie: "Réception par un fonctionnaire personnellement d'un pot-de-vin sous la forme d'autres biens pour avoir commis des actes en faveur d'un pot-de-vin, si ces actions relèvent de l'autorité officielle du fonctionnaire ou si, en raison de sa position officielle, il peut faciliter ces actions, pour illégales action. " Le prévenu encourt jusqu'à huit ans de prison et une grosse amende. L'affaire a été renvoyée pour examen au fond au tribunal de district de Sverdlovsk de Kostroma.


Selon les informations du bureau du procureur de la région d'Astrakhan, le chef du Bureau d'examen médico-légal, responsable, entre autres, de la confidentialité des données personnelles des citoyens, a reçu le 27 décembre 2018 d'un entrepreneur individuel engagé dans la prestation de services funéraires, 27 mille roubles pour lui avoir fourni des informations. sur les morts.


Dans la ville de Murom, dans la région de Vladimir, un ancien employé de 23 ans de la Russian Telephone Company JSC (réseau de vente au détail MTS) a été condamné, qui se livrait à la vente de conversations téléphoniques de clients MTS. Comme l'enquête et le tribunal l'ont établi, en quelques jours de janvier 2017, l'ancien employé a simulé à plusieurs reprises des déclarations au nom des clients de MTS pour recevoir des informations sur les connexions (détails de l'appel) et, à la réception des données, il les a copiées sur un support amovible. L'employé a envoyé 43 demandes de service au nom des clients. Il a été reconnu coupable en vertu de la partie 2 de l'art. 138 du Code pénal (violation du secret des conversations téléphoniques), partie 3 de l'article 272 du Code pénal de la Fédération de Russie (accès illégal aux informations informatiques protégées par la loi) et partie 3 de l'article 183 du Code pénal (réception illégale d'informations constituant un secret commercial) et condamné à une amende de 240 mille roubles.


Le parquet de Naberezhnye Chelny a engagé une action administrative contre un ancien employé de la Komsomolsky TEC (commission électorale territoriale), qui a copié les données personnelles des électeurs. Avant son limogeage en 2017, le spécialiste de la sécurité des informations de premier niveau du GAS RF «Vybory», âgé de 37 ans, a copié une base de données de 56 000 électeurs (données de passeport, adresses, numéros de téléphone, noms et autres données personnelles) sur une clé USB, après quoi il a rendu elle hors du bureau. Un ancien employé de TEC est accusé de violation de la partie 1 de l'art. 13.1 Code administratif "Violation de la législation dans le domaine des données personnelles", qui entraîne un avertissement ou une amende administrative pour un citoyen de 1 000 à 3 000 roubles.


Un tribunal du district de Tbilissky dans le territoire de Krasnodar a condamné le fonctionnaire supérieur de 34 ans du département des enquêtes criminelles du département de police du district, le déclarant coupable d'abus de pouvoir et condamné à 2,5 ans de prison, et l'a également privé du droit d'occuper des postes dans les forces de l'ordre. De février à novembre 2018, l'ancien agent de sécurité a soumis les données du passeport d'au moins 15 citoyens à une personne non identifiée, téléchargeant des informations textuelles et des numérisations de passeport avec des informations sur la série, le numéro, le lieu d'enregistrement et la date de délivrance.


Le Ministère des affaires intérieures de la Russie dans le territoire de Khabarovsk a renvoyé une affaire pénale (en vertu de la partie 4 de l'article 159 du Code pénal de la Fédération de Russie «Fraude») à un responsable pour avoir travaillé avec des clients clés du service commercial de l'une des banques de Khabarovsk. Le défendeur, âgé de 33 ans, avait accès à la clientèle de la banque et connaissait la procédure d'exécution des accords de prêt via une application mobile. Il a modifié les données personnelles des clients, envoyé des demandes de prêts fictifs à la banque. L'attaquant a indiqué les numéros de téléphone dont il se sert. Au moyen d'une application mobile connectée aux numéros de téléphone indiqués par lui, l'attaquant a exécuté des accords de prêt pour des clients bancaires sans le consentement et la présence effective d'emprunteurs. L'accusé a utilisé les données personnelles de sept clients de banques pour obtenir des prêts à la consommation en vertu de 17 accords de prêt totalisant environ 6,7 millions de roubles.


Août


Le tribunal de district d'Ulan-Ude a déclaré coupable, en vertu de deux articles (accès illégal à des informations informatiques et divulgation illégale d'informations constituant un secret commercial), un ancien spécialiste du bureau des ventes d'un opérateur de téléphonie mobile. Une fille de 25 ans, en août-septembre 2018, a copié les données personnelles des abonnés et envoyées à une personne non identifiée via Internet. Pour cela, l'ancien employé de l'opérateur de télécommunications a reçu une récompense d'un montant de 6 mille roubles. La jeune fille a été condamnée à trois ans de prison avec une période probatoire de deux ans.


En juin 2017, deux anciens employés d'une succursale bancaire dans la région de Sakhaline qui fournit des services de crédit à la consommation ont signé 2 accords de prêt pour des citoyens sans méfiance et leur ont acheté trois smartphones, qu'ils ont ensuite remis à un prêteur sur gages. Les anciens experts de la vente directe de la banque, dont les tâches consistaient à travailler avec les données personnelles des clients et à les photographier, ont conservé des copies des documents de deux citoyens qui ont demandé un prêt mais ne l'ont pas accepté, après quoi ils ont émis des prêts de 100 et 47 mille roubles. Les sanctions prévues par l'article (fraude commise par un groupe de personnes par complot préalable), incriminées par l'accusé, prévoient jusqu'à cinq ans de prison.


Septembre


À Tioumen, le cas d'un détective privé a été renvoyé au tribunal de district central, qui a collecté illégalement des données sur la vie privée des citoyens. En novembre 2018, le propriétaire de l'un des salons de beauté s'est tourné vers un détective privé afin d'enquêter sur le vol de la base de données clients par les employés du salon. Un détective privé a illégalement obtenu des informations sur la vie personnelle de l'une des anciennes employées du salon, ainsi que des membres de sa famille. Le détective a remis au client des informations sur le lieu d'enregistrement, les numéros de téléphone portable, les passeports valides et délivrés précédemment, les flux de trésorerie sur les comptes bancaires. Pour son travail, il a reçu plus de 120 000 roubles. Un enquêteur privé de 42 ans est inculpé en vertu des articles «Violation de la vie privée» et «Excès de pouvoir par un enquêteur privé».


1 . 46- . 1 . 137 ( , ). . .



, . - 1991 . 5 . ( 200 ), .


.. №3 . 2018 (3 ) : , , , . . 3 . 272 (" , "), . 1 . 291.2 (" "). , . 1 . 291.2 , . 3 . 272 . 1 . 137 (" "). — .


, , . 4 . 274.1 ( , , , ). , , . . , 3 , 2 . . 73 2 .


, 22 2016 11 2017- , , . , , , , , WhatsApp . 35- « » (. 1 . 285 ) « » (. 2 . 137 ). , - .


23- , 2019 , 40,5 . . .


25- « » « , » (. 3 . 272 . 3 . 183 ). 2019 , , .



, «, ». , 2018 , , . , - , 20 . , , .


, . 2 . 183 ( , , , , ), , . , 2019 . "", . .


( ) - . " ". , . . , (.3 . 183 ) .


, . , 23- , , . 4 . .


. 183 ( , ) 272 ( ) . , - , 23- . , . . 150 .



19– , «» 19- . , : , .. . 3 . 272 ( ), . 3 . 30 . 3 . 272 ( ), . 3 . 183 ( , ). 1,5 .


2019 , 21- - . , . 300 .


1993 , . 1 . 183 ( , ) . 1 . 272 ( ). , 2019 , «» 96 IP-, , . (703 .) «» , .


, . «» 100 2019 . , . 20 3 183 (" , , "). 5 .


43- «» , . , , . 2 183 (" , , "). , , .


- «» . «» 1996 , . 22 2019 . 26 (.3 .272 ) 150 . .


. , . . , , 3 272 (« ») .


31- «» 6 6 . . 3 . 272 (" , , , "). , SIM- . 12 2019 . «» SIM-.


«-» ( «»), . . : , . .3 .272 ( ) .2 .138 ( ). .


S7. . 1, 2 . 210 ( , ) . 2, . 4 . 159.6 ( , ). , , . 13 , — 12,5 , — 10 . , , , . . , . 2013- 2014 5 . 17 .


. 2018-2019 , , . 300 . , . 2 . 138 ( , ), . 3 . 272 ( , , , ).


2020.


. , , , ( ) , ( ) . , . 1 3 .


. 2 . 138 ( ). , , , .


26- , « », . 2019 , . , , , . , , , - . .


"", , (. 1 . 183 ). , , . , .


2018 2 32 . 23- , , . C 20 – 10 .


. , . 2019 20- , . 12 2019 , , . 200 . .


Soit dit en passant, dans ma chaîne Telegram, des " fuites d'informations " comme celui-ci apparaissent rapidement presque immédiatement après leur publication dans les médias.

Source: https://habr.com/ru/post/fr485942/


All Articles