На этой неделе Молдова столкнулась с масштабной кибератакой на государственные сервисы. Злоумышленники могли получить персональные данные, связанные примерно с 750 тыс. IDNP, а власти предупредили, что эту информацию могут использовать мошенники. NM собрал главное о произошедшем и выяснил, как гражданам узнать об утечке своих данных, обязаны ли власти уведомить пострадавших и можно ли получить компенсацию.
Как развивалась кибератака
История получила огласку после того, как жители Молдовы обнаружили в государственном сервисе EVO подозрительные записи об обращениях к их персональным данным в ночь на 22 октября. В истории доступа указывалось, что Агентство электронного управления запрашивало информацию для получения документов гражданского состояния, хотя сами пользователи за такими услугами не обращались. Лишь позже в агентстве объяснили, что один из затронутых атакой сервисов некорректно фиксировал основание обработки персональных данных, из-за чего в EVO появлялись такие записи.
24 октября власти впервые публично сообщили о кибератаке, заявив примерно об 11 млн запросов к государственным сервисам. Позже выяснилось, что злоумышленники пытались извлекать информацию с 19 по 23 октября, используя уязвимости сервисов, доступных без авторизации. Остановить извлечение данных удалось 23 октября в 11:30, после чего власти превентивно отключили 82 государственных сервиса и более 30 информационных систем и административных панелей.
Однако попытки несанкционированного доступа продолжились 25 и 27 октября. По утверждению властей, обе удалось пресечь. В тот же день, 27 октября, агентство раскрыло предварительные масштабы утечки: злоумышленники пытались получить информацию примерно по миллиону IDNP, а извлеченные данные были связаны примерно с 750 тыс. идентификационных номеров.
Среди потенциально скомпрометированных сведений — имена, фамилии, фотографии, информация о родственниках, медицинской страховке, пенсиях, социальных пособиях и инвалидности. Также речь идет о водительских правах, автомобилях и финансовых данных, включая IBAN, налоговые задолженности и историю платежей через MPay. Власти подчеркнули, что у разных граждан могли раскрыть разные категории информации, а окончательные масштабы утечки еще устанавливают.
Премьер-министр Василе Тофан 28 октября заявил, что власти расследуют возможную причастность иностранных государственных структур к кибератакам на Молдову. «Наша страна подвергается масштабным и скоординированным кибератакам. Речь идет не об отдельном инциденте. У нас, кстати, есть признаки более широкой кампании с участием иностранных государственных структур. Компетентные службы расследуют в том числе их причастность к недавнему инциденту. Целью атак становятся не только персональные данные граждан, но и цифровая инфраструктура государства», — сказал премьер на заседании правительства.
Василе Тофан также признал наличие уязвимостей в государственных цифровых системах и допустил, что злоумышленники могли использовать искусственный интеллект для их обнаружения и эксплуатации. Он заявил о необходимости усилить защиту инфраструктуры и регулярно проверять государственные системы на уязвимости. К устранению последствий атаки власти привлекли и специалистов частного сектора.
На том же заседании правительства премьер сообщил, что договорился с директором Агентства электронного управления Николетой Коломеец о ее уходе с должности. Временно исполняющим обязанности руководителя станет Артем Кочу. Тофан объяснил, что теперь государству необходимо сосредоточиться не столько на популяризации электронных услуг, сколько на обеспечении их безопасности.
Работа государственных сервисов до сих пор полностью не восстановлена. Хотя часть услуг вновь доступна, 28 октября власти временно отключили двухэтапную авторизацию через MPass и вход с помощью EVOSign. В мобильное приложение EVO теперь можно войти только с использованием мобильной подписи, а портал e-Cadastru временно приостановил работу по соображениям безопасности.
Как злоумышленники могут использовать данные
Агентство электронного управления подчеркнуло, что данные банковских карт не пострадали, поскольку государственные платформы не хранят эту информацию. Одного номера IBAN также недостаточно для доступа к банковскому счету, а расследование пока не выявило несанкционированных изменений в государственных реестрах. Однако в ведомстве прямо признали, что основной риск утечки — возможное использование персональных сведений для мошенничества и манипуляций в интернете.
Директор Национального центра управления кризисами Сергей Диакону объяснил, что похищенной информации самой по себе практически недостаточно для непосредственного совершения преступлений. Однако мошенники могут представляться сотрудниками банков или государственных учреждений, называть личные данные человека, чтобы вызвать доверие, а затем пытаться получить дополнительную информацию.
Власти рекомендуют не сообщать посторонним пароли и коды авторизации, не переходить по подозрительным ссылкам и проверять необычные обращения через официальные каналы связи. Если мошенники представляются родственниками и просят о помощи или сообщают о смене номера телефона, гражданам советуют самостоятельно связаться с близкими по ранее известным контактам.
IT-специалист Алексей Волнянский в комментарии NM также посоветовал следить за официальными сообщениями и заранее оценить возможные последствия раскрытия личной информации. По его словам, работа EVO зависит в том числе от доступности серверов, отвечающих на запросы приложения. Пока сервисы не восстановлены, специалист рекомендует задуматься, как посторонние могли бы использовать доступные о человеке сведения, и постараться минимизировать такие риски.
Должны ли власти уведомить пострадавших?
Адвокат Вадим Виеру объяснил NM, что новый закон о защите персональных данных, вступивший в силу в августе 2026 года, обязывает операторов персональных данных уведомлять граждан об утечке, если она создает высокий риск для их прав и свобод. Сделать это необходимо без неоправданной задержки, хотя конкретного срока закон не устанавливает.
«Чем выше и непосредственнее опасность, тем быстрее должно последовать уведомление. Когда риск, о котором предупреждают сами власти, — это мошенничество, а данные уже находятся у злоумышленников, речь должна идти о днях, а не о неделях», — считает адвокат.
По мнению Вадима Виеру, в данном случае риск является высоким, поскольку раскрытая информация может включать фотографии, сведения о здоровье, финансовом положении и родственниках. При этом адвокат подчеркивает, что опубликованного властями пресс-релиза недостаточно. Закон допускает публичное уведомление вместо индивидуального, если информирование каждого пострадавшего потребовало бы несоразмерных усилий, однако, по мнению Виеру, у государства есть возможности связаться с гражданами напрямую.
«У государства есть прямые каналы связи с гражданами: MCabinet, EVO, адреса электронной почты и номера телефонов, привязанные к государственным учетным записям, а также адреса проживания из Государственного регистра населения. Когда списки готовы, а инфраструктура уведомлений уже работает, усилия нельзя считать несоразмерными», — объяснил адвокат.
Вадим Виеру подчеркнул, что каждого пострадавшего должны проинформировать о том, что произошло с его персональными данными, каковы возможные последствия и какие меры предприняли власти. По его мнению, отсутствие надлежащего уведомления может стать самостоятельным нарушением закона.
Как узнать, утекли ли ваши данные, и можно ли получить компенсацию?
По словам адвоката, гражданам необязательно ждать уведомления от властей. Закон предоставляет им право самостоятельно обратиться к оператору персональных данных, и узнать, был ли их IDNP среди тех, по которым злоумышленники делали запросы с 19 по 23 октября. Ответ должны предоставить бесплатно, как правило, в течение месяца, хотя при наличии обоснованных причин срок могут продлить. Если учреждение не отвечает или отказывает в предоставлении информации, гражданин может пожаловаться в Национальный центр защиты персональных данных либо обратиться в суд.
Адвокат также объяснил, что пострадавшие вправе потребовать компенсацию материального или морального вреда, даже если не потеряли деньги и не стали жертвами мошенничества. Однако необходимо доказать наличие ущерба и его связь с нарушением закона. По мнению Виеру, моральный вред может выражаться в потере контроля над своими данными, обоснованном страхе их дальнейшего использования преступниками, время, потраченное на проверки, и расходы на защитные меры.
В качестве примера он привел кибератаку 2019 года на налоговое ведомство Болгарии, в результате которой данные миллионов граждан оказались в интернете. В декабре 2023 года Суд Европейского союза признал, что обоснованный страх возможного использования похищенных данных сам по себе может представлять моральный вред, дающий право на компенсацию. По словам Виеру, молдавские суды формально не связаны этой судебной практикой, однако законодательство Молдовы воспроизводит нормы европейского регламента и, как считает адвокат, будет толковаться с их учетом, особенно в контексте вступления страны в Евросоюз.
При этом адвокат подчеркнул, что государственное учреждение не может автоматически избежать ответственности, сославшись на действия хакеров. Однако и успешная кибератака сама по себе не доказывает недостаточность защиты.
«Вопросы, которые поставит суд, вполне предсказуемы: почему массовые запросы по миллиону IDNP могли продолжаться четыре дня, существовали ли механизмы мониторинга и оповещения, проводилась ли оценка воздействия на защиту персональных данных и проверялась ли регулярно эффективность мер безопасности. Именно ответы на эти вопросы будут определять исход судебных разбирательств, а не сам факт наличия злоумышленников», — считает Вадим Виеру.
Адвокат советует гражданам сохранять обращения в государственные учреждения, полученные ответы и доказательства возможных попыток мошенничества. Также он рекомендует проверять историю доступа к персональным данным в EVO, отмечая, что подозрительные обращения, полученные в этот период, сами по себе еще не доказывают утечку. Кроме того, адвокат предлагает запросить отчет в бюро кредитных историй, чтобы проверить, не оформляли ли посторонние кредиты на имя человека.
NM направил запросы Агентству электронного управления и Агентству государственных услуг, чтобы выяснить, когда впервые обнаружили атаку, какие системы она затронула, проверяли ли их безопасность ранее и как власти намерены уведомлять пострадавших. К моменту публикации ответы не поступили.
Подписывайтесь на наш Telegram-канал @newsmakerlive. Там оперативно появляется все, что важно знать прямо сейчас о Молдове и регионе.
Хотите поддержать то, что мы делаем?
Вы можете внести вклад в качественную журналистику, поддержав нас единоразово через систему E-commerce от банка maib или оформить ежемесячную подписку на Patreon! Так вы станете частью изменения Молдовы к лучшему. Благодаря вашей поддержке мы сможем реализовывать еще больше новых и важных проектов и оставаться независимыми. Независимо от того, как вы нас поддержите, вы получите небольшой подарок. Переходите по ссылке, чтобы стать нашим соучастником. Это не сложно и даже приятно.
Поддержи NewsMaker!
