Об утечке персональных данных граждан Казахстана в МФО «zaimerkz»

5 марта 2024 года АО «Государственная техническая служба» обнаружила утечку более 2 млн. персональных данных казахстанцев, являющихся клиентами микрофинансовой организации zaimer kz (ТОО «МФО «Робокэш кз»).

В целом обнаружены более 36 млн. данных клиентов микрофинансовых организаций, функционирующих на платформе Robo.finance:

• РФ – 23,6 млн. (zaimer.ru – 16.8 млн., adengi.ru – 6.8 млн.);
• Филиппины – 5 млн. (digido.ph);
• Вьетнам – 2 млн. (vietloan.vn).

АО «Государственная техническая служба» проводит анализ утекших данных. По результатам установления личностей клиентов МЦРИАП будут направлены соответствующие уведомления гражданам посредством мобильного приложения EgovMobile.

Следует отметить, что за нарушение требований законодательства Республики Казахстан о персональных данных и их защите предусмотрены административная ответственность в соответствии со статьей 79 и подпункта 1) части первой статьи 641 Кодекса Республики Казахстан «Об административных правонарушениях», а также уголовная ответственность в соответствии со статьей 147 Уголовного кодекса Республики Казахстан.

Непосредственно по данному факту планируется провести внеплановые проверки в отношении операторов баз данных, в которых произошла утечка персональных данных казахстанцев.

По результатам проверок при обнаружении нарушений требований законодательства в отношении операторов баз данных будут выданы предписания об устранении выявленных нарушении, а также выписаны административные штрафы в размере от 100 до 1000 МРП в зависимости от категории субъекта и состава правонарушения.

Со своей стороны МЦРИАП принимает меры по ужесточению ответственности за утечку персональных данных.

Так, 11 декабря 2023 года подписан Закон Республики Казахстан «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам информационной безопасности, информатизации и цифровых активов», который направлен на усиление защиты персональных данных и определение новых механизмов взаимодействия при обеспечении информационной безопасности объектов информатизации.

Закон предусматривает следующие нововведения в части:

• наделения уполномоченного органа в сфере защиты персональных данных (МЦРИАП) функцией государственного контроля за соблюдением законодательства Республики Казахстан о персональных данных и их защите;
• установления запрета на сбор, обработку копий документов, удостоверяющих личность, содержащих персональные данные, за исключением случаев отсутствия интеграции с объектами информатизации государственных органов и (или) государственных юридических лиц, невозможности идентификации субъекта с использованием технологических средств, а также в иных случаях, предусмотренных законами Республики Казахстан;
• информирования граждан о фактах утечки персональных данных;
• создания программы взаимодействия с исследователями информационной безопасности(BugBounty), регулирующей институт «белых хакеров»;
• установления добровольного отказа от получения банковских займов;

Кроме того, депутатами Мажилиса Республики Казахстан инициированы поправки в Кодекс Республики Казахстан «Об административных правонарушениях», которыми предусматривается:

1. увеличение срока давности привлечения к административной ответственности за совершение административного правонарушения в сфере защиты персональных данных и электронной цифровой подписи для физических лиц и юридических лиц до одного года со дня совершения;
2. увеличение до 3-х раза размеров административных штрафов за нарушения требований по защите персональных данных и обеспечения информационной безопасности.

Вместе с тем, в настоящее время рассматривается вопрос увеличения штатной численности подразделений, осуществляющих государственный контроль в сферах информационной безопасности и защиты персональных данных, до 5 человек.

Со своей стороны, МЦРИАП рекомендует:

• посредством веб-портала «электронного правительства» или мобильного приложения EgovMobile установить добровольный отказ от получения займа;
• если поступил звонок якобы от сотрудников банка, то сразу прервите разговор и можете позвонить в банк напрямую по официальным контактным данным;
• не сообщайте SMS-код для подтверждения совершаемой операции (платежи, перевод и т.д.);
• не сообщайте пароли от своего личного кабинета в интернет-банкинге;
• не сообщайте CVV/CVC код на обратной стороне вашей банковской карты;
• не устанавливайте сторонние мобильные приложения, в том числе приложения удаленного доступа к устройствам;
• используйте уникальные и сложные пароли для финансовых аккаунтов;
• включите двухфакторную аутентификацию для дополнительной защиты;
• будьте осторожны при открывании вложений в электронной почте, особенно если они приходят от незнакомых отправителей;
• избегайте посещения подозрительных интернет-ресурсов (сайтов);
• не предоставляйте личную информацию на ненадежных ресурсах;
• осуществляйте мониторинг финансовых операций.