Какие банковские данные чаще попадают в утечки и чем это опасно для клиентов и бизнеса

В утечках из финансовой отрасли платежные данные оказываются далеко не единственной и даже не самой частой проблемой. По данным InfoWatch, в 2025 году персональные данные фигурировали в 82,6% инцидентов, коммерческая и банковская тайна — в 9,3%, платежные сведения — в 3,5%. Еще в 15,1% случаев категорию скомпрометированной информации определить не удалось.

Для мошенников ценность представляет не только номер карты. ФИО, телефон, паспортные сведения, данные о счетах и аутентификационная информация могут использоваться по-разному — от убедительного фишинга до получения доступа к банковскому аккаунту. Для бизнеса это означает, что оценивать последствия утечки нужно не только по тому, «утекли» ли карты, а по всему набору данных и возможным сценариям их использования.

Финансовый сектор: утечек стало меньше, но проблема никуда не исчезла

InfoWatch 19 февраля 2026 года опубликовала аналитику по утечкам данных в финансовой отрасли за период 2023–2026 годов.

В 2023 году в России было зафиксировано 86 утечек. В 2024-м — 29. В 2025 году число инцидентов выросло до 44, что на 51% больше предыдущего года, хотя показатель все еще оставался ниже уровня 2023-го.

При этом основным содержимым утечек остаются персональные данные: ФИО, адреса, даты рождения и другая информация, позволяющая определить человека.

Отдельный риск представляет аутентификационная информация — пароли, коды, ключевые слова, биометрические сведения. Такие данные уже могут использоваться не только для идентификации человека, но и для развития атаки.

Почему утечка телефона и утечка пароля от онлайн-банка — разные по последствиям события

Сам факт компрометации персональных данных уже создает риск. Но его масштаб сильно зависит от того, какая именно информация оказалась у злоумышленника.

Номер телефона чаще становится началом атаки

Одного телефона обычно недостаточно для прямого доступа к деньгам. Зато он дает удобную точку входа для звонков и SMS-фишинга.

Самый очевидный сценарий — звонок «из банка».

Опасность возрастает, если телефон утек не один, а вместе с другими сведениями. Мошенник может назвать ФИО клиента, часть номера карты, информацию о счете или последних операциях. Чем больше реальные детали совпадают, тем убедительнее легенда.

В одном из кейсов, приведенных InfoWatch, сотрудник банка передавал третьим лицам сведения о счетах и состоянии клиентов. В другом примере, связанном с Coinbase, похищенные данные использовались не для прямого взлома счетов: злоумышленники убеждали самих клиентов переводить средства.

Именно поэтому социальная инженерия остается опасным сценарием даже при наличии технической защиты. Двухфакторная аутентификация или банковский антифрод могут не остановить перевод, если клиент сам подтверждает операцию, будучи введенным в заблуждение.

Паспортные данные создают другой класс риска

При компрометации паспортных данных основной риск связан уже не с фишинговым звонком, а с попытками использовать чужую личность.

Один из сценариев — подача заявки на кредит или микрозайм с реальными данными человека. Государственные механизмы вроде самозапрета на кредиты позволяют снижать этот риск, но полностью возможность злоупотребления не исключают.

Возможен и более сложный сценарий — так называемая synthetic identity fraud. В нем часть настоящих данных человека комбинируется с вымышленными сведениями для создания фиктивной личности.

Такая схема может развиваться долго: сначала создается кредитная история, затем используются доступные лимиты. Для самого человека проблема может оставаться незаметной до тех пор, пока использование части его данных не проявится через кредитную историю или другие последствия.

С реквизитами карты риск становится прямее

Если злоумышленник получает номер карты, срок действия и CVC, появляется риск покупок на площадках, где операция проходит без 3-D Secure.

В таком случае дополнительного одноразового подтверждения от банка может не быть, поэтому операция способна пройти без отдельного действия владельца карты.

Именно поэтому при компрометации полных реквизитов карты практическая реакция отличается от ситуации, когда утек только номер телефона или email: карту имеет смысл перевыпустить с новыми реквизитами.

Логин и пароль от онлайн-банка — один из наиболее критичных сценариев

Компрометация учетных данных уже создает возможность получить непосредственный доступ к банковскому аккаунту.

Причем пароль могут украсть не только из базы самого банка.

В материале рассматривается сценарий с вредоносным ПО: злоумышленник представляется сотрудником поддержки и предлагает переустановить банковское приложение, отправляя пользователю программу с бэкдором.

Риск усиливается в ситуации, когда официальные банковские приложения недоступны в зарубежных магазинах приложений: пользователям сложнее отличать легитимный способ установки от подделки.

Для бизнеса из этого следует простой вывод: последствия утечки определяются не только категорией информации, но и тем, с какими другими данными ее можно объединить и какой сценарий атаки становится возможен после этого.

Проверьте, какие данные и системы создают наибольший риск

Если компания хранит большие массивы клиентских ПДн, платежные сведения или учетные данные, имеет смысл проверять не только документы, но и фактическую инфраструктуру. Технический аудит информационных систем персональных данных помогает определить периметр систем, доступы и реальные меры защиты.

Какие признаки могут говорить о компрометации данных

Для пользователя одним из первых сигналов становятся необычные уведомления банковского приложения.

Насторожить должны сообщения о входе с незнакомого устройства, IP-адреса или из другой страны, уведомления о смене пароля, email или номера телефона, которые пользователь не инициировал, а также неожиданные запросы на подтверждение операции.

Еще более очевидный сигнал — внезапная потеря доступа к аккаунту, когда прежний пароль перестает работать без каких-либо действий владельца.

По транзакциям стоит обращать внимание на мелкие незнакомые списания. Такие операции могут использоваться для проверки активности карты перед более крупной попыткой.

Подозрение должны вызвать и покупки у неизвестных продавцов, особенно зарубежных, а также повторяющиеся отклоненные операции, которые могут указывать на попытки подобрать платежные данные.

Есть и менее прямые признаки: звонки от «службы безопасности», сотрудники которой неожиданно знают реальные сведения о клиенте, неизвестные заявки на кредиты и займы, регистрации на сервисах с использованием вашего телефона или электронной почты.

Можно ли самостоятельно проверить свои данные в утечках

Частично — да.

В материале приводятся несколько сервисов, которые позволяют проверить электронную почту или другие идентификаторы по известным утечкам.

Have I Been Pwned — один из наиболее известных сервисов такого типа. Он появился после крупной утечки Adobe.

Firefox Monitor также отслеживает известные компрометации и дает рекомендации по дальнейшим действиям.

XposedOrNot дополнительно работает со стилер-логами — данными, которые вредоносное ПО может похищать из браузера, включая пароли, cookie и сведения автозаполнения.

Также упоминается отечественный сервис НКЦКИ для отслеживания информации об утечках.

Но «проверка данных» сама по себе может стать фишинговой ловушкой.

Надежному сервису для поиска утечки не нужны полный номер карты, CVC, пароль от интернет-банка или паспортные данные. Если сайт предлагает ввести такую информацию, это уже серьезный повод прекратить взаимодействие.

Повод насторожиться и агрессивные предложения немедленно купить «удаление данных» или «защиту» после пугающего сообщения о десятках найденных баз.

Безопаснее использовать встроенные инструменты самого банка, если он предоставляет мониторинг компрометации телефона или электронной почты.

Должен ли банк вернуть деньги после утечки

Здесь нельзя делать вывод только по факту того, что персональные данные когда-то были скомпрометированы.

Значение имеет то, как именно прошла операция.

Шансы на возврат выше, когда деньги списаны без участия владельца счета и без его подтверждения. В материале в качестве правового ориентира приводится статья 9 Федерального закона № 161-ФЗ «О национальной платежной системе» и необходимость оперативно уведомить банк — не позднее следующего дня после получения уведомления об операции.

Если утечка произошла в инфраструктуре самого банка или в результате действий его сотрудника, отдельно возникает вопрос ответственности банка как оператора персональных данных.

Ситуация становится сложнее, когда клиент сам передал мошеннику SMS-код, пароль или подтвердил перевод. Такие случаи связаны с социальной инженерией, и перспектива возврата средств обычно ниже.

Также значение имеет скорость обращения в банк и источник компрометации. Если данные попали к злоумышленнику через другой сервис, например электронную почту или сайт, где пользователь повторно использовал тот же пароль, это уже другой набор обстоятельств.

Что делать в первые часы после сообщения об утечке

Здесь последовательность действительно удобнее сохранить по шагам.

1. Связаться с банком по официальному номеру. Сообщить о возможной компрометации и попросить зарегистрировать обращение.
2. Проверить операции за последние недели. Отдельно посмотреть мелкие списания и покупки у неизвестных продавцов. О каждой подозрительной операции сообщить банку.
3. Сменить пароли. Начать с электронной почты, связанной с банком, поскольку через нее может восстанавливаться доступ, затем поменять пароль банковского аккаунта.
4. Включить двухфакторную аутентификацию, если она еще не использовалась.
5. При утечке номера, срока действия и CVC перевыпустить карту. Если скомпрометированы только персональные данные без реквизитов, перевыпуск не обязательно решает проблему, но стоит включить уведомления обо всех операциях.
6. Проверить кредитную историю. В России получить информацию о бюро кредитных историй можно через Госуслуги, а затем убедиться, что неизвестные кредиты и займы не оформлялись.
7. При подтвержденном мошенничестве обратиться в полицию.

Для бизнеса главный вопрос — сможет ли компания понять масштаб утечки

Для оператора персональных данных последствия начинаются задолго до момента, когда клиент увидит неизвестное списание.

Компания должна понимать, в каких системах находятся ПДн, какие категории сведений там хранятся, кто имеет доступ и какие меры защиты реально работают.

Внутри организации должны быть определены ответственные за обработку и безопасность данных, утверждены актуальные документы и процедуры выявления и расследования нарушений, проводиться внутренний контроль, оценка возможного вреда субъектам и обучение работников.

Отдельное значение имеет готовность к первым часам после инцидента. Персонал должен понимать, кому сообщать о подозрительном событии и какие действия нельзя откладывать.

Сможет ли компания обнаружить утечку до появления данных в открытом доступе?

Для этого важно заранее проверить, какие события безопасности фиксируются, насколько быстро выявляется подозрительная активность и есть ли у сотрудников понятный порядок реагирования.

Если компания не уверена в готовности к таким ситуациям, специалисты Б-152 помогут определить задачи по проверке существующих мер защиты и организации реагирования на инциденты.

Одних документов недостаточно

Политика обработки персональных данных, приказ или регламент не предотвращают утечку сами по себе.

Нужны и технические меры: разграничение доступа, защита информационных систем и другие средства, соответствующие конкретным рискам и инфраструктуре.

Для задач, где недостаточно локальных документов и требуется пересмотреть саму систему защиты, Б-152 работает в направлении информационной безопасности и ИБ-комплаенса.

Главное

Главная ценность утечки для мошенника не всегда находится в платежных реквизитах.

Телефон помогает запустить социальную инженерию. Паспортные сведения создают риск злоупотребления личностью. Реквизиты карты позволяют пытаться проводить платежи. Учетные данные от онлайн-банка дают возможность атаковать уже сам банковский аккаунт.

Но особенно опасны комбинации: когда вместе оказываются ФИО, телефон, сведения о счете, платежные данные и информация об операциях. Именно такой набор позволяет выстроить убедительный сценарий атаки и использовать человека для обхода технических механизмов защиты.

Для компаний поэтому недостаточно считать только число утекших записей. Нужно понимать, какие данные скомпрометированы, как они связаны между собой и что злоумышленник способен сделать с этим набором.

Если требуется проверить, насколько процессы и инфраструктура готовы к такому инциденту, можно обсудить задачу со специалистами Б-152.