Кража данных CSDD: могут ли мошенники получить доступ к деньгам и взять кредит от вашего имени?

Кибератака на CSDD произошла в период с 8 по 10 августа 2026 года. Злоумышленнику удалось получить данные исторических квитанций об оплате услуг CSDD, начиная с 2008 года. После анализа инцидента CSDD сообщила, что пострадали данные примерно 1,2 миллиона физических лиц и 200 тысяч юридических лиц.

В случае с физическими лицами в распоряжении злоумышленников могли оказаться имя и фамилия, персональный код, сумма платежа и дата его совершения, государственный регистрационный номер транспортного средства, а также адрес, который был зарегистрирован на день получения конкретной услуги CSDD. Например, это мог быть адрес, указанный в свидетельстве о регистрации транспортного средства.

Это означает, что инцидент может затронуть и тех людей, которые пользовались услугами CSDD много лет назад. Государственная инспекция данных указывает: если лицо с 2008 года совершало перевод за услугу CSDD, существует вероятность того, что данные, содержащиеся в соответствующей квитанции об оплате, попали в распоряжение неуполномоченных лиц.

В то же время важно понимать, какие данные не были украдены. CSDD указала, что имена пользователей и пароли клиентов в ходе инцидента не пострадали. Общедоступная информация также свидетельствует о том, что не произошла утечка номеров телефонов и адресов электронной почты клиентов.

Тем не менее, комбинация украденных данных может быть ценной для мошенников. Персональный код сам по себе не дает возможности получить доступ, например, к услугам eParaksts или подтвердить личность другого человека, однако в сочетании с именем, адресом и номером автомобиля его можно использовать в гораздо более убедительных и адаптированных под конкретного человека попытках мошенничества.

Можно ли с помощью украденных данных CSDD получить доступ к банковскому счету или взять кредит?

Попадание персонального кода, имени, адреса и номера автомобиля в руки мошенников само по себе не означает, что они могут получить доступ к банковскому счету человека. Чтобы авторизоваться в интернет-банке или подтвердить платеж, необходимо средство аутентификации, например, Smart-ID. В случае со Smart-ID PIN1 используется для доступа к интернет-банку и другим электронным услугам, в свою очередь PIN2 необходим для подтверждения сделок, в том числе банковских платежей.

Оформление кредита только с помощью утекших данных CSDD также не так просто. Кредитор перед заключением договора обязан оценить платежеспособность клиента. PTAC указывает, что оцениваются доходы, расходы и существующие обязательства, а информация также проверяется в базах данных, в том числе в бюро кредитной информации.

Больший риск возникает тогда, когда украденные данные используются в социальной инженерии. Зная имя человека, персональный код, адрес и номер автомобиля, мошенник может создать гораздо более правдоподобное впечатление, что звонит из банка, CSDD или другого учреждения. Целью может быть выманивание дополнительной информации или побуждение человека самого подтвердить инициированное мошенником действие.

Особенно опасны неожиданные запросы Smart-ID. В рекомендациях по безопасности Smart-ID указано, что пользователю не следует подтверждать действие, которое он сам не инициировал. Также никому нельзя раскрывать свои PIN-коды.

Поэтому существенный финансовый риск утечки данных CSDD заключается не в возможности с помощью одного лишь персонального кода «опустошить» банковский счет, а в возможности использовать украденную информацию как первый этап в гораздо более сложной мошеннической схеме.

Как защитить свои деньги и что делать, если данные уже использованы в мошенничестве?

После утечки данных CSDD жителям следует уделять особое внимание звонкам, SMS и электронным письмам, в которых отправитель выдает себя за представителя CSDD, банка, полиции или другого учреждения. Тот факт, что звонящий знает ваше имя, персональный код, адрес или номер автомобиля, больше не является достаточным доказательством его личности.

Государственная полиция рекомендует прерывать подозрительные телефонные разговоры и самостоятельно связываться с соответствующим учреждением, используя его официальный номер телефона. Сотрудники банков и полиции по телефону не будут просить раскрыть PIN-коды Smart-ID или другие данные доступа к интернет-банку. Также не следует по указанию незнакомца переводить деньги на так называемый «безопасный счет».

Следует остерегаться и неожиданных запросов Smart-ID. CERT.LV подчеркивает, что с помощью Smart-ID или кодового калькулятора нужно подтверждать только те действия, которые человек инициировал сам. Если на телефоне появляется подтверждение аутентификации или платежа, которое вы не инициировали, его нужно отклонить.

Этот риск не является только теоретическим. Государственная полиция в январе 2026 года сообщила о случае, в котором мошенники добились того, что пострадавший подтвердил действия с помощью Smart-ID. В результате на него был оформлен быстрый кредит на 8800 евро.

Если деньги уже выманены или мошенникам переданы данные доступа к банку, нужно действовать незамедлительно. Сначала нужно связаться со своим банком, чтобы ограничить дальнейшие сделки и выяснить возможности остановить платеж. После этого о случившемся нужно проинформировать Государственную полицию.

Могут ли пострадавшие в утечке данных CSDD требовать компенсацию?

Если из-за утечки персональных данных у жителя возникли реальные убытки, может возникнуть вопрос о компенсации. Общий регламент по защите данных предусматривает право требовать возмещение за материальный или нематериальный ущерб, возникший в результате нарушения регламента. Государственная инспекция данных поясняет, что требование о компенсации должно быть обосновано, с указанием конкретного ущерба и предоставлением подтверждающих его доказательств.

Материальным ущербом могут быть, например, доказуемые финансовые убытки, возникшие из-за противоправного использования данных. В свою очередь, требование может относиться и к нематериальному ущербу. Однако сам факт того, что персональные данные были вовлечены в инцидент безопасности, автоматически не означает, что человеку будет выплачена определенная денежная сумма.

Важно также разграничивать компетенцию Государственной инспекции данных и суда. Инспекция указывает, что она не присуждает компенсацию лицам, чьи данные утекли. Если вопрос о возмещении не удается решить с организацией, ответственной за обработку данных, требование о возмещении ущерба решается в гражданско-процессуальном порядке в суде.

В случае с CSDD в настоящее время еще нельзя сделать вывод, что каждому из примерно 1,2 миллиона пострадавших жителей полагалась бы компенсация. Государственная инспекция данных начала проверку, в которой оценивает обстоятельства инцидента, объем затронутых данных и то, внедрила ли CSDD соответствующие технические и организационные меры защиты персональных данных.

Поэтому людям, у которых из-за инцидента возникают финансовые убытки, особенно важно сохранять доказательства - банковские выписки, переписку, мошеннические SMS и другую информацию, которая может помочь доказать причиненный ущерб и его связь с нарушением данных.