Черный список увидел белый свет.

Данные клиентов банков из черного списка ЦБ отказников по антиотмывочному законодательству оказались в интернете. Речь идет примерно о 120 тыс. граждан и компаний. По оценке экспертов, это первый случай появления в открытом доступе информации, которая так или иначе связана с Банком России. Юристы отмечают, что многие клиенты попадают в черный список случайно, но помимо проблем с банками у них теперь могут возникнуть дополнительные сложности, например, при устройстве на работу.

В самом ЦБ и Росфинмониторинге настаивают на невозможности утечек. Но IT-эксперты считают, что вина лежит именно на Банке России из-за ошибки в проектировании системы безопасности передачи данных.

База данных отказников банков появилась в интернете на специализированных форумах. Речь идет об информации о примерно 120 тыс. клиентов (такая цифра заявлена в описании базы), которым отказали в обслуживании финансовые организации по закону о противодействии отмыванию доходов, полученных преступным путем, и финансированию терроризма (115-ФЗ).

Большую часть базы составляют физлица и индивидуальные предприниматели (ИП), часть — юридические лица. Про физических лиц в базе содержится информация об их ФИО, дате рождения, серии и номере паспорта. Про ИП — ФИО и ИНН, про компании — наименование, ИНН, ОГРН. В одном из банков неофициально подтвердили, что в списке реальные клиенты-отказники.

Эксперты в области информационной безопасности не смогли вспомнить другого случая, когда утечка данных о клиентах банков имела отношение к ЦБ.

Записи датируются периодом с 26 июня 2017 года по 6 декабря 2017 года. Именно с первой даты Банк России начал рассылать черный список клиентов в соответствии с положением 550-П. Механизм рассылки выглядит примерно так: банки выявляют клиентов, которым они отказывают в обслуживании из-за подозрений в нарушении 115-ФЗ, направляют информацию об этих клиентах в ЦБ, а тот, в свою очередь, — Росфинмониторингу. Последний обрабатывает полученные от банков данные, передает их обратно в ЦБ, а ЦБ в агрегированном виде — банкам. Таким образом, все банки получают обновляемый список подозрительных клиентов, сформированный усилиями всего сектора. Утекшая база начала распространяться несколько месяцев назад, но, об утечке до вчерашнего дня не знали ни в ЦБ, ни в Росфинмониторинге.

В Росфинмониторинге заявили, что исключают возможность утечки информации от них. В пресс-службе Банка России заявили, что регулятор доводит информацию об отказниках до участников рынка в зашифрованном виде по защищенным каналам связи с использованием сертифицированных средств криптографической защиты информации. «Ответственность за сохранность информации и непередачу ее третьим лицам несет финансовая организация, которая ее получила», — считают в ЦБ. Там не уточнили, планирует ли регулятор предпринять действия, исключающие подобные утечки в будущем.

Утечка могла произойти множеством способов, указывают эксперты. «Из ЦБ, Росфинмониторинга, любого банка», — поясняет гендиректор разработчика систем защиты информации Zecurion Алексей Раевский. По его мнению, база должна была быть только у ЦБ, а банки — направлять ему запросы для проверки клиентов. «В таком варианте, по крайней мере, было бы проще локализовать утечку, понять, где она произошла. Сейчас это, вероятно, невозможно сделать», — добавляет эксперт.

Таким образом, по мнению эксперта, ошибка с точки зрения информационной безопасности была допущена при проектировании системы.

Для клиентов утечка опасна не только из-за раскрытия данных, но самим фактом присутствия в базе. Попасть в черный список банков клиенты могут случайно, отмечают юристы.

Часто банки вносят добросовестных клиентов в черные списки по халатности или в связи с технической ошибкой.

По словам Амины Аппаевой, юриста FMG Group, распространение этих сведений для лиц из списка помимо сложностей с банковским обслуживанием может обернуться проблемами со службами безопасности при устройстве на работу, отказами контрагентов от заключения договоров и иными рисками. Алексей Раевский добавляет, что подобные утечки могут приводить к самым неожиданным негативным последствиям вплоть до разоблачения гостайн. В качестве примера он привел случай с «Петровым и Бошировым», настоящие имена которых были скомпрометированы с помощью утекших баз, в том числе ГИБДД.

Распространение подобных баз данных в первую очередь посягает на неприкосновенность личной жизни, указывает партнер BMS Law Firm Алексей Гавришев. По его словам, Уголовный кодекс предусматривает за это наказание до пяти лет лишения свободы в случае использования служебного положения и распространения данных через интернет. Такие действия также могут быть квалифицированы как неправомерный доступ к компьютерной информации (лишение свободы до семи лет), добавляет юрист.

Амина Аппаева считает, что преступление также подпадает под статью о незаконном получении и разглашении сведений, составляющих банковскую тайну (до пяти лет лишения свободы, а если деяние повлечет тяжкие последствия — до семи лет). По ее словам, оно носит публичный характер, поэтому правоохранительные органы должны в обязательном порядке начать проверку. Распространение подобных баз данных относится к подследственности Следственного комитета России. Вчера в центральном аппарате комитета не смогли оперативно сообщить, поступали ли к ним заявления по этому поводу, отметив, что в случае их получения будут разбираться.