Оборотные штрафы загнали утечки в тень: базы продают без названий компаний
В России после введения оборотных штрафов за утечки персональных данных украденные базы перестали публиковать с названиями компаний, а инсайдеры требуют обезличивания данных для сокрытия источника. Число публичных утечек в 2025 году снизилось до 739 против 786 годом ранее, а в первом полугодии 2026 года — на 46% меньше, чем за аналогичный период 2025 года. Главными покупателями свежих баз стали Telegram-боты для «пробива», выкупающие данные до открытой продажи, а угроза разглашения используется как рычаг давления на бизнес.
После вступления в силу поправок об оборотных штрафах за утечки персональных данных (1–3% выручки, но не менее 20 млн и не более 500 млн руб.) изменилась модель поведения участников теневого рынка. По словам указывается трех источников РБК на рынке информационной безопасности, раскрытие информации об инцидентах стало невыгодным для всех сторон цепочки — от хакера до компании-жертвы и площадок публикации.
По данным экспертно-аналитического центра InfoWatch, в 2025 году в публичном поле зафиксировано 739 утечек персональных данных по России против 786 годом ранее. При этом в даркнете и других источниках исследователи продолжали находить публикации об украденных данных. В департаменте киберразведки F6 отметили, что в первом полугодии 2026 года зафиксировано 88 новых случаев публикации утечек — на 46% меньше, чем за аналогичный период 2025 года. Среди причин называется пауза в активности андеграундных Telegram-каналов из-за блокировок, закрытие хакерских форумов и введение запретов на публикацию данных по организациям из России и СНГ на уцелевших ресурсах.
На теневом рынке начала использоваться практика переименования и дробления украденных баз, сообщил один из собеседников РБК. Инсайдеры, продавшие данные, просят не указывать название организации-источника, выставляя базу под обезличенным описанием («клиенты фитнес-клуба» или «данные туроператора»), либо разбивают базу на части, чтобы скрыть источник утечки и затруднить вычисление сотрудника внутри компании. Примером приводится утечка данных клиентов сети DDX Fitness в середине августа: фотографии посетителей появились в ботах для «пробива» за две недели до публичного скандала, при этом компания не подтвердила факт инцидента. Также упоминается появление в теневых каналах данных о купленных туристических путевках и пользователях платных дорог.
Угроза огласки стала дополнительным рычагом давления: злоумышленники грозят не только продать данные, но и сообщить об утечке регулятору. Поскольку повторная раскрытая утечка может стоить компании до 500 млн руб. штрафа, а договоренность с вымогателем обходится дешевле, часть организаций выбирает сокрытие инцидента. При этом, как указал глава Privacy Advocates Алексей Мунтян, экономика замалчивания не сходится формально: оператор обязан уведомить РКН в течение 24 часов, а за неуведомление предусмотрен штраф от 1 до 3 млн руб. для юрлица. Однако на практике компании предпочитают не раскрывать инциденты, чтобы избежать скандала, риска оборотного штрафа и включения в план проверок по обработке персональных данных.
Отмечается, что главными покупателями свежих украденных баз стали Telegram-боты для «пробива». По данным DLBI, за девять месяцев 2025 года 20–25 утечек не дошли до открытой продажи — их выкупили владельцы таких сервисов. На смену закрытым ресурсам пришли новые игроки, в том числе сеть ботов «Шерлок Бот» с анонимным владельцем и сервис Himera из Киргизии (провел ребрендинг, сменив название на Nox.info с оператором Nox International в Ливане). В F6 добавили, что владельцы сервисов по пробиву взаимодействуют напрямую со злоумышленниками для получения уникальной информации раньше конкурентов, а их привлечение к ответственности осложняется тем, что многие из них физически находятся вне России и не подпадают под действие национальных законов о защите данных.
Ранее SecPost писал, о том, что за первое полугодие 2026 года сумма штрафов за утечки персональных данных в России достигла 2,2 млн рублей, что в полтора раза больше, чем за весь 2025 год. В этот период впервые были применены новые нормы КоАП с градацией наказания и выписан штраф иностранной компании.
Читайте также
