Последствия утечки персональных данных: чем грозит

Обновлено: октябрь 2026

Поэтому ниже разбор по веткам: телефон, адрес, паспорт, пароль. В каждой — чем это грозит и что закрыть. Ждать, пока «само забудется», не стоит: утёкшая база из оборота не исчезает.

Чем грозит утечка персональных данных на самом деле

Одна утечка обычно раскрывает часть сведений: служба доставки теряет телефон с именем и адресом, старый форум — логин с паролем. Уже это риск, а на стыке нескольких утечек он становится намного больше. Когда разрозненные строки нескольких баз данных склеивают по общему признаку (чаще всего по номеру телефона или адресу электронной почты), получается подробное досье на человека: где он живет, какими сервисами пользуется и кто входит в круг его общения.

Откуда берут эти сведения боты пробива и телефонные аферисты? По нашим обращениям, человека обычно никто не взламывал: адреса, телефоны и места работы собираются автоматическими программами-сборщиками (парсерами) из открытых страниц и старых утечек.

Таких баз много. За 2025 год Роскомнадзор зафиксировал 118 случаев компрометации баз персональных данных, из-за которых в открытом доступе оказалось свыше 52 миллионов записей. Годом ранее, в 2024-м, ведомство выявило 135 утечек более чем на 710 миллионов записей о гражданах России. При этом массивы прошлых лет никуда из сети не исчезают. Каждая новая утечка данных просто накладывается на предыдущие архивы.

Когда мошенники получают доступ к объединенным данным пользователей, их звонки становятся значительно опаснее. Собеседник, который сразу называет ваше имя, домашний адрес и место работы, звучит гораздо убедительнее обычного спамера. Подробнее о том, как разрозненная информация в сети начинает работать против владельца, читайте в материале о рисках цифрового следа.

Что именно утекло: четыре случая и что закрыть в каждом

Если компания прислала уведомление или в новостях сообщили, что произошла утечка, сначала выясните, что именно было в базе. От этого зависит, что закрывать.

Если утёк номер телефона

Чем грозит: резким ростом спама и попытками обмана через звонки. Номер мобильного служит главным ключом, по которому к человеку привязывают сведения из других архивов и находят его профили в мессенджерах.

Что закрыть:

• В настройках приватности мессенджеров ограничьте круг лиц, которые видят ваш номер и могут найти вас по нему через поиск.
• Никому и ни при каких обстоятельствах не диктуйте одноразовые коды из СМС.
• Проверьте популярные приложения-определители номеров и удалите оттуда нежелательные теги, которыми вас подписали другие абоненты.
• Менять сим-карту только ради защиты бессмысленно: по нашей практике, человека находят по оставленному им цифровому следу, а не по симке. Новый номер защитит лишь в том случае, если вы не станете привязывать его к старым профилям.

Если утёк адрес

Чем грозит: сам по себе адрес мало что дает злоумышленникам. Однако в связке с номером телефона и полным именем он делает любой звонок опасным: звонящий может представиться сотрудником управляющей компании, соседом или курьером, и разговор покажется абсолютно правдоподобным.

Что закрыть:

• Проверьте свои старые объявления на сайтах купли-продажи, профили в социальных сетях и публичные отзывы, удалив оттуда любые прямые упоминания точного адреса проживания.
• В сервисах доставки переключите получение заказов на пункты выдачи или постаматы.

Если утекли паспортные данные

Чем грозит: главный риск — незаконное использование ваших документов: попытка оформить на ваше имя заём или кредит через интернет.

Что закрыть:

• Установите официальный самозапрет на кредиты. Эта возможность действует с 1 марта 2025 года: подать заявление можно бесплатно через Госуслуги или в МФЦ, для этого понадобится ИНН. Ограничение вступает в силу на следующий день после внесения записи в кредитную историю. Запрет распространяется на потребительские кредиты и займы в микрофинансовых организациях, но не действует на ипотеку, автокредиты с залогом автомобиля и образовательные кредиты с господдержкой.
• Не пересылайте фотографии и сканы страниц паспорта непроверенным сервисам, предлагающим «проверить утечку документа».

Если утёк пароль

Чем грозит: посторонние лица получают доступ ко всем аккаунтам, где вы использовали аналогичную комбинацию символов. Опаснее всего компрометация электронной почты: получив к ней доступ, злоумышленники могут сбросить пароли на любых остальных ресурсах.

Что закрыть:

• Смените пароль на скомпрометированном сайте и на всех сервисах, где стоял такой же или похожий пароль, начав с основной почты.
• Включите двухэтапную проверку (подтверждение входа дополнительным кодом из приложения или СМС).
• В настройках безопасности завершите все активные сеансы на сторонних устройствах.
• Если сервис хранил данные карты, сразу обратитесь в банк и перевыпустите скомпрометированную банковскую карту.
• Остерегайтесь фишинга: письмо с текстом «ваши данные утекли, перейдите по ссылке для защиты» может вести на поддельный сайт. Переходите в настройки безопасности сервисов только вручную через официальные адреса.

Что делать, если произошла утечка персональных данных: первый час

Если стало известно, что база конкретного сервиса скомпрометирована, действуйте по порядку:

Куда обращаться при утечке персональных данных

Адресов три, и у каждого своя задача (первые два называет и портал «Объясняем.рф»):

• Роскомнадзор — через электронную приемную на официальном сайте ведомства. Ведомство контролирует, как компании обращаются с персональными данными, и проверяет ту, что допустила нарушение.
• Подразделения МВД по преступлениям в сфере информационных технологий — через форму обращения на сайте мвд.рф. Туда обращаются, если чужие люди уже воспользовались вашими сведениями в корыстных целях.
• Сама организация — направьте оператору официальный запрос с требованием пояснить, какие именно категории ваших сведений были затронуты инцидентом.

Ни надзорные органы, ни полиция не занимаются удалением копий базы с теневых ресурсов и не выплачивают пострадавшим денежные компенсации.

Компенсация за утечку персональных данных: сколько присуждают суды

Закон дает гражданам право на возмещение: в части 2 статьи 24 закона № 152-ФЗ прямо указано, что моральный вред за нарушение правил обработки и защиты данных подлежит возмещению независимо от имущественного вреда и понесенных убытков. Размер закон не называет: его определяет суд, и взыскать эти деньги можно только через него.

Суммы в известных делах небольшие. В ноябре 2022 года московский суд рассмотрел иски пользователей сервиса доставки «Яндекс Еда»: в открытый доступ попали их имена, телефоны, адреса доставки и комментарии к заказам. Истцы требовали выплатить по 100 000 рублей каждому. В итоге суд постановил выплатить 13 заявителям по 5 000 рублей, а еще 7 исков из 20 полностью отклонил.

Похожий уровень выплат встречается и в других спорах: так, в октябре 2024 года Брянский областной суд оставил в силе решение о взыскании 3 000 рублей морального вреда за нарушение правил обработки данных, хотя истица требовала 50 000 рублей.

Суд официально фиксирует, что ваши права нарушены, но утёкшие сведения из сети не убирает. Поэтому закрывать то, что утекло, стоит параллельно с иском, а не после него.

Чем отвечает компания, допустившая утечку

В российском праве разграничена ответственность бизнеса, не уберегшего базу, и киберпреступников, которые ее похитили:

Организации — операторы данных (компании, которым вы доверили обработку сведений) несут административную ответственность по статье 13.11 КоАП РФ. Нормы об утечках действуют с 30 мая 2025 года, и штраф для компании зависит от того, данные скольких людей ушли:

• от одной тысячи до десяти тысяч человек — от 3 до 5 миллионов рублей;
• от десяти тысяч до ста тысяч человек — от 5 до 10 миллионов рублей;
• более ста тысяч человек — от 10 до 15 миллионов рублей.

За повторную утечку компании грозит оборотный штраф от 1 до 3 % выручки за год, но не менее 20 миллионов и не более 500 миллионов рублей. Если компания не сообщила об утечке в Роскомнадзор или сообщила с опозданием — от 1 до 3 миллионов рублей. Это штрафы в пользу государства: пострадавшим из них ничего не выплачивают.

Уголовная ответственность — другое дело и другой кодекс. Статья 272.1 УК РФ касается тех, кто незаконно использует, передаёт, собирает или хранит персональные данные, полученные путём неправомерного доступа или иным незаконным путём. Проще говоря, это статья для тех, кто украл базу или торгует краденым, а не для компании, у которой утекло. Наказание — до четырёх лет лишения свободы, а при тяжких последствиях или в составе организованной группы — до десяти.

Ни штраф компании за утечку ПДн (персональных данных), ни приговор тем, кто украл базу, сами данные из сети не убирают.

Что из утёкшего можно убрать из сети, а что останется

Главная граница, о которой важно знать: саму утекшую базу данных физически невозможно удалить из закрытого оборота. Как только файл скомпрометирован, его многократно копируют на теневые ресурсы, а на смену одному заблокированному боту пробива завтра приходит другой с той же базой. Платить администраторам таких ботов за «скрытие» или «удаление» сведений бессмысленно — это пустая трата денег.

Но убрать можно то, что делает запись в базе полезной для чужого человека: открытые веб-страницы с вашим телефоном, старые профили в соцсетях, телефонные справочники, публичные объявления и результаты поисковой выдачи.

Сам человек видит только то, что находится прямым поиском по фамилии. В какой связке и на каких ресурсах его телефон и адрес уже фигурируют в теневом секторе, обычный пользователь определить не может. Пытаться писать владельцам сомнительных агрегаторов опасно: такие обращения лишь подтверждают, что номер активен, а его владелец испытывает тревогу.

Типичный случай. Человеку пришло письмо об утечке из интернет-магазина. Он сменил пароль от учетной записи, и успокоился, но через две недели ему позвонили мошенники и назвали его имя и точный домашний адрес. Анализ цифрового следа показал три открытые двери: тот же номер телефона присутствовал в двух старых базах доставок с адресом квартиры, в открытом доступе находился заброшенный форумный профиль со старым псевдонимом, а на сервисе объявлений висела публикация пятилетней давности с прямым указанием адреса. Мы добились удаления старых объявлений и ссылок из поисковой выдачи, закрыли доступ к профилю и очистили теги в телефонных определителях, а клиент оформил самозапрет на займы.

После этого адрес и старые профили перестали находиться в поиске и на открытых страницах. Записи в двух старых базах остались: их не уберёт никто. Но без открытых страниц, которые подтверждали и дополняли эти записи, собрать по номеру полную карточку стало заметно труднее.

Начать стоит с того, чтобы узнать, что о вас уже лежит в открытом доступе и в базах утечек. По нашему опыту, такой анализ занимает от 2 до 4 часов. После него видно, в каких связках лежат ваши данные, что из этого мы уберём и какие двери нужно закрыть. Что вообще входит в такой след, мы разобрали в статье про цифровой след и то, что о вас есть в сети.

Коротко об утечке: пять частых вопросов