«Пришло письмо об утечке»: слили персональные данные, что делать
✍️ Антон Таранов, помогаю тем, чьи персональные данные попали в сеть, — Pantera Digital.
Утром приходит письмо от сервиса доставки, клиники или банка: базу взломали. А к обеду уже звонят якобы из службы безопасности и называют вас по имени-отчеству. Кажется, что теперь о вас знают всё, а деньги вот-вот исчезнут.
Саму утечку назад не отмотать, но беззащитным это вас не делает. Последствия у неё разные, и почти каждое закрывается — только своим способом. Поэтому сначала разберитесь, с чем именно вы имеете дело.
Утечка — это не одна беда, а три: какая из них ваша
По сообщению ТАСС от 22.01.2026 со ссылкой на Роскомнадзор, за 2025 год зафиксировано 118 утечек, в сеть попали более 52 млн записей. Запись не равна человеку, но за этими цифрами стоят живые люди.
Когда говорят «мои данные слили в интернет», обычно имеют в виду одну из трёх ситуаций:
- Данные лежат в закрытых базах на продажу. Поиском их не найти, базы покупают на теневых ресурсах. Стереть копию у каждого неизвестного держателя законным путём вряд ли получится.
- Данные выложили в открытый доступ. Телефон, адрес или паспорт оказались на сайтах-справочниках и форумах и находятся поиском. Это единственный хвост, который реально убрать.
- Данными уже пользуются. Звонят «из банка» или «из ведомства», пытаются войти в ваши аккаунты. Удаление тут не поможет: нужно защищать доступы и деньги.
Как узнать, что именно утекло, и не попасть на вторую ловушку
Как проверить, утекли ли мои данные, и не отдать их второй раз? Первое желание — вбить себя на любом сайте «проверки утечек». Не стоит: Банк России предупреждает о поддельных сайтах, где человека просят проверить утечку банковских сведений, а введённые данные карты или счёта сразу уходят мошенникам. Отчёт Google о даркнете (Dark web report) тоже больше не помощник: сканирование остановлено 15.01.2026, с 16.02.2026 сервис не работает.
Опирайтесь на сообщение самой компании. Обычно утекает не всё: например, 01.03.2022 Яндекс сообщил об утечке телефонов и сведений о заказах в Яндекс Еде и отдельно подтвердил, что банковские и платёжные данные не затронуты. По чужой утечке о своей не судят, но такое сообщение показывает, что могло пострадать.
Ещё можно запросить у компании, какие ваши данные она обрабатывает и откуда их взяла, — это право по ч. 1 и ч. 7 ст. 14 закона № 152-ФЗ. Ответить должны в течение десяти рабочих дней, срок могут продлить ещё на пять. Так вы узнаете состав сведений, но не карту всех копий в сети.
Звонят «из банка»: что сделать с паролями, картой и номером
Что делать, если персональные данные попали в руки мошенников и они уже звонят? Банк России напоминает: обращение по имени и отчеству не доказывает, что на связи настоящий сотрудник. Положите трубку и сами наберите номер банка с оборотной стороны карты.
Если в утечку могли попасть логины и пароли:
- Смените раскрытый пароль — и везде, где он повторялся.
- Включите подтверждение входа — двухэтапная проверка не даст войти по одной связке логина и пароля.
- Удалите незнакомые устройства из списка активных сессий.
Если деньги уже списали, заблокируйте карту и в течение суток напишите в банке заявление о несогласии с операцией. Против кредитов на ваше имя есть самозапрет на потребительские кредиты и займы. Его граница: на выдачу денег по уже имеющимся кредитным картам он не распространяется.
С номером телефона так: по нашей практике, новая сим-карта сама по себе от поиска не спасает — человека находят по цифровому следу. Но если на старый номер идут звонок за звонком, сменить его ради спокойствия имеет смысл.
Данные продают в закрытых базах: почему не платить за «удаление из базы»
Если данные из утечки продают, что делать? Первая мысль — найти продавца и заплатить за «удаление строчки». Не нужно: вы платите тому, кто торгует вашими данными, а проверить, что запись стёрта, не можете. Копия базы к тому же может быть ещё у десятка покупателей.
Требовать по закону можно от компании, которая обрабатывала ваши данные. По ч. 1 ст. 14 закона № 152-ФЗ вы вправе требовать уточнения, блокирования или уничтожения данных, полученных незаконно или не нужных для цели обработки. Если нарушение выявлено, оператор прекращает неправомерную обработку в течение трёх рабочих дней с даты выявления, а если исправить нарушение нельзя, уничтожает сведения в течение десяти рабочих дней.
Граница одна: это работает против конкретной компании. Копии, которые уже разошлись по чужим рукам, так не исчезнут. Поэтому смотреть стоит на то, что из базы выходит наружу.
Что из утечки выходит в открытый доступ — и что из этого можно убрать
Настоящая беда начинается, когда базы распаковывают и выкладывают на открытые сайты: адреса, связки ФИО с телефоном, паспортные данные, почта. Всё это находит поиском любой желающий.
Такие сведения можно попросить убрать из поисковой выдачи. В Google можно попросить убрать страницы с вашим адресом, телефоном, почтой, номером паспорта, банковского счёта или карты. Но поисковик убирает ссылку из своей выдачи, а саму страницу на чужом сайте не удаляет.
Люди часто спрашивают одно и то же: «Удалится полностью или только из Яндекса?», «Хватит ли убрать с одного сайта?». Как правило, одного сайта мало: приходится находить первоисточники, добиваться их закрытия, убирать копии и чистить выдачу.
Типичный случай: после утечки из службы доставки мужчина нашёл свой адрес с номером квартиры и телефон на двух сайтах-справочниках и в выдаче по фамилии. Сам написал владельцу одного сайта — ответа не было. Мы собрали все открытые страницы с его данными, добились удаления первоисточников, убрали остальные адреса из выдачи и поставили имя на наблюдение.
Если ваши сведения уже стали публичными, можно убрать свой телефон и адрес из открытого доступа и разорвать связь между вашим именем и контактами в поиске.
Компания допустила утечку: что ей грозит и куда пожаловаться
«Компания допустила утечку моих данных — ей что-нибудь будет?» Будет. По пп. 1–2 ч. 3.1 ст. 21 закона № 152-ФЗ она обязана сообщить в Роскомнадзор об инциденте в течение 24 часов, а о результатах расследования — в течение 72 часов. Эти сроки касаются уведомления ведомства, а не письма каждому клиенту.
Ответственность — административная, по ст. 13.11 КоАП РФ. За первую утечку крупной базы компании грозит штраф от 3 до 15 млн рублей в зависимости от её масштаба. За повторную — оборотный штраф: 1–3 % выручки, но не меньше 20 млн и не больше 500 млн рублей; для специальных и биометрических данных нижний порог — 25 млн. Повышенные штрафы действуют с 30 мая 2025 года.
Если утекли мои персональные данные, куда обращаться? Жаловаться можно в Роскомнадзор. Но жалоба сама по себе данные не удаляет и денег не приносит: возмещение ущерба и морального вреда — только через суд. Пошагово — в разборе о том, что делать, если компания отказалась удалить ваши данные.
Как следить, не всплыли ли данные снова
Слитые базы перепродают, склеивают в новые списки и выкладывают заново, поэтому одной проверки мало. Периодически ищите себя в поиске: справка Google советует добавлять к имени и фамилии город или адрес. Так видно то, что нашёл поисковик, но не закрытые базы.
Если думаете: «Мои данные гуляют по сети, и я даже не знаю где», в одиночку это охватить тяжело. В нашей практике первичный анализ цифрового следа занимает 2–4 часа — за это время видно, на каких открытых площадках ваши сведения уже закрепились. Дальше можно найти и убрать свои данные из открытого доступа и поставить имя на наблюдение, чтобы заметить новые всплытия.
Коротко о главном после утечки
Что делать в первый час после письма об утечке?
Не переходить по ссылкам «проверить аккаунт», сменить пароль в пострадавшем сервисе и там, где он повторялся, включить подтверждение входа и настороженно относиться к звонкам.
Можно ли удалить свои данные после утечки?
Из открытого доступа — да: страницы можно снять с сайтов и убрать из выдачи. Копии в закрытых базах у третьих лиц, скорее всего, уже не стереть — там защищают пароли, бдительность и самозапрет.
Чем опасна утечка телефона и адреса?
Контакты становятся доступны посторонним, и мошенники, зная имя, легче входят в доверие по телефону. Поэтому коды и пароли не называйте никому, даже если собеседник знает о вас многое.