Кибератака и данные, связанные с 750 000 IDNP: можно ли оформить кредиты на имя пострадавших?

Юридический анализ | 30 октября 2026

Несанкционированное извлечение персональной информации из государственных систем ставит вопросы, выходящие за рамки информационной безопасности: как предотвратить мошенничество с использованием чужих личных данных, что происходит, если кто-то пытается заключить договор от имени другого лица, и при каких условиях граждане должны быть проинформированы?

Что подтвердили власти

Согласно сообщению Агентства электронного управления (AGE) от 27 октября 2026 года ^[1], в период с 19 по 23 октября были выполнены запросы примерно по одному миллиону IDNP, и, по предварительным оценкам, были несанкционированно извлечены наборы данных, связанные примерно с 750 000 IDNP. Это не означает, что по каждому IDNP была раскрыта вся возможная информация. Среди категорий, упомянутых AGE, — идентификационные данные, сведения о семье, медицинское страхование, пенсии и социальные пособия, фотография, имущество и коммерческие общества, коды IBAN, налоговые задолженности и история платежей в MPay.

Агентство сообщило о прекращении извлечения данных 23 октября, о проверке 82 цифровых сервисов и о мерах превентивного отключения. AGE также уточнило, что данные банковских карт затронуты не были, что само по себе знание IBAN не позволяет осуществлять переводы со счёта, а в ходе расследования не выявлено несанкционированных изменений в государственных регистрах. Эти разъяснения важны, но они не устраняют риски мошеннического использования идентификационных данных.

30 октября СМИ Республики Молдова сообщили, что Прокуратура муниципия Кишинэу начала уголовное преследование в связи с инцидентом. Расследование и оценка размера ущерба продолжаются.

Подтверждение надзорного органа: Национальный центр по защите персональных данных сообщил, что AGE уведомило его об инциденте. Центр уточняет, что оценки являются предварительными, что раскрытая информация может создавать риски мошенничества и что лица, считающие себя затронутыми, могут запросить разъяснения у соответствующего оператора. ^[2]

Ключевой вопрос: можно ли воспользоваться электронными подписями других лиц?

На дату настоящего анализа в изученных открытых источниках нет подтверждения того, что злоумышленники получили закрытые ключи, PIN-коды или контроль над устройствами и механизмами, необходимыми для применения электронной подписи. Следовательно, извлечение имени, IDNP или даже фотографии не доказывает, что подписать документ электронной подписью вместо её владельца возможно. ^[4]

Необходимо разграничивать идентификационные данные и средства подписания. В Республике Молдова квалифицированная электронная подпись может использоваться с помощью удостоверения личности с электронной функцией, криптографического устройства типа USB-токена или услуг мобильной подписи — на условиях соответствующего механизма. Законное использование предполагает технический контроль и аутентификацию; знание IDNP не заменяет закрытый ключ или необходимую авторизацию.

Согласно ч. (2) ст. 21 Закона № 124/2022 ^[8], квалифицированная электронная подпись имеет ту же юридическую силу, что и собственноручная подпись. Именно поэтому при конкретном подозрении в несанкционированном использовании значение имеют проверка сертификата, история аутентификаций, установление использованного устройства или способа, дата операции и проверка фактического согласия лица.

28 октября 2026 года AGE сообщило, что в качестве превентивной меры временно отключило двухэтапную аутентификацию и аутентификацию через EVOSign в MPass ^[3]. Это решение не следует путать с доказательством того, что квалифицированные электронные подписи были скомпрометированы.

Риск мошеннического оформления кредитов и займов

Даже без доступа к квалифицированной электронной подписи незаконно полученные персональные данные могут использоваться для попыток кражи личности, подачи заявок на кредит под чужим именем, телефонного мошенничества или компрометации этапов дистанционной проверки. Национальная комиссия по финансовому рынку прямо предупреждает, что персональные данные и документы, оказавшиеся в открытом доступе в интернете, могут использоваться в кредитном мошенничестве. ^[5]

Этот риск не означает, что на имя лица, чей IDNP оказался среди затронутых, уже оформлен кредит, или что любой кредитор принял бы заявку только на основании IDNP. Фактическое заключение договора зависит от процедур идентификации, аутентификации и проверки согласия, которые применяет кредитор; наличие мошенничества должно доказываться в каждом конкретном случае.

Если на имя лица, которое не обращалось за кредитом, появляется кредитный договор, возникают правовые вопросы о наличии и выражении согласия, подлинности подписи, соблюдении кредитором обязанностей по идентификации, бремени доказывания и возможном ущербе. Само по себе указание имени или IDNP в документе не может заменить анализ этих элементов.

Кто должен информировать пострадавших?

Закон № 195/2024 о защите персональных данных ^[7], действующий с 23 августа 2026 года, устанавливает в ч. (1) ст. 34, что оператор без неоправданной задержки информирует субъекта данных, если нарушение безопасности данных может повлечь высокий риск для его прав и свобод. Информация должна быть изложена ясно и разъяснять характер инцидента, вероятные последствия, соответствующие контактные данные, а также принятые или рекомендуемые меры.

Вместе с тем ч. (3) ст. 34 предусматривает исключения: например, если данные были защищены мерами, сделавшими их непонятными, если высокий риск более не может реализоваться или если индивидуальное информирование потребовало бы несоразмерных усилий. В последнем случае закон допускает публичное информирование или аналогичную, столь же эффективную меру. Следовательно, не любое пресс-сообщение является достаточным ^[6], но и без оценки конкретных условий нельзя утверждать, что индивидуальное уведомление абсолютно обязательно для каждого из 750 000 IDNP.

Эта обязанность возлагается на соответствующего оператора или операторов данных, которых необходимо определить в зависимости от затронутых систем и операций по обработке. AGE объявило, что пострадавшие будут проинформированы. Важно, чтобы граждане могли безопасным способом узнать, были ли раскрыты их данные и какие именно категории, а также какие меры защиты рекомендуются.

Что может сделать каждый гражданин

• Не сообщайте PIN-коды, пароли, одноразовые коды и коды электронной подписи и не подтверждайте операции, о которых вас просят в неожиданных звонках или сообщениях.
• Проверяйте любое подозрительное уведомление напрямую в банке или в учреждении, на которое ссылается сообщение, используя исключительно официальные контактные данные. ^[9]
• Регулярно проверяйте свою кредитную историю в бюро кредитных историй и немедленно оспаривайте записи, которые вам незнакомы. Закон позволяет раз в год бесплатно запросить отчёт в каждом бюро, где хранится ваша кредитная история.
• Если вы подозреваете компрометацию устройства, закрытого ключа или кодов подписи, немедленно обратитесь к поставщику услуг электронной подписи для приостановления или отзыва сертификата, в зависимости от ситуации. Само по себе появление вашего IDNP в инциденте не является доказательством компрометации сертификата.
• Если появился неизвестный вам кредит или договор, без промедления оспорьте его у кредитора в письменной форме, запросите копию договора и доказательства идентификации и подписания, сохраните все доказательства, обратитесь в полицию и при юридической поддержке оцените средства гражданско-правовой защиты и защиты персональных данных.

Заключение

Нарушение безопасности не следует оценивать только по количеству извлечённых записей. Юридически важно другое: можно ли использовать эту информацию, чтобы создать видимость согласия, которого на самом деле не было, — ошибочно приписанную электронную подпись, заявку на заём, финансовое обязательство или иной акт, совершённый от имени лица без его ведома.

Пока нет оснований утверждать, что злоумышленники могут использовать электронные подписи владельцев; однако есть серьёзные причины требовать прозрачной проверки этой возможности и мер по предотвращению мошенничества с использованием чужих личных данных. Защита граждан предполагает не только безопасность систем, но и эффективное информирование, надёжные процедуры аутентификации и доступные средства правовой защиты.

Информационно-аналитический юридический материал, подготовленный на основе общедоступной информации по состоянию на 30 октября 2026 года. Он не возлагает на какое-либо лицо или учреждение окончательно установленную юридическую ответственность и не заменяет оценку каждого конкретного случая.

Адвокатский кабинет «MARCO DUMITRU» — юридическая помощь и медиация в Республике Молдова. По конкретной ситуации вы можете воспользоваться страницей Контакты на сайте.

См. также: Адвокат по банковским и финансовым спорам в Кишинёве · Адвокат по гражданским делам и договорам в Кишинёве

Официальные источники и правовые основания

Приведённые ниже источники опубликованы государственными учреждениями Республики Молдова или в официальной базе нормативных актов. Они указаны отдельно от юридических интерпретаций автора. Дата обращения: 30 октября 2026 года.

1. Агентство электронного управления (AGE), 27.10.2026 — Сообщение об инциденте: около 750 000 IDNP, категории данных и меры (на румынском языке).
2. Национальный центр по защите персональных данных — Предварительная информация и рекомендации для граждан в связи с инцидентом (на румынском языке).
3. Агентство электронного управления (AGE), 28.10.2026 — Временное отключение двухэтапной аутентификации и EVOSign в MPass (на румынском языке).
4. Агентство государственных услуг (АГУ) — Удостоверение личности: квалифицированный сертификат, электронные функции и условия выдачи (на румынском языке).
5. Национальная комиссия по финансовому рынку (НКФР) — Предупреждения: «Мошенничество с кредитами – кто использует вашу личность?» (на румынском языке).
6. Национальный центр по защите персональных данных — Безопасность данных: обязанности по уведомлению и информированию (на румынском языке).
7. Закон № 195 от 25.07.2024 о защите персональных данных, ст. 33–34 — официальный текст, legis.md (PDF, на румынском языке).
8. Закон № 124 от 19.05.2022 об электронной идентификации и доверительных услугах, ч. (2) ст. 21 — официальный текст, legis.md (PDF, на румынском языке).
9. Национальный банк Молдовы, 14.05.2026 — Предупреждение о попытках мошенничества с неправомерным использованием имени учреждения (на румынском языке).

Сообщение СМИ, использованное только для информации о начале уголовного преследования: MOLDPRES, 30 октября 2026 года (на румынском языке). Это не официальное сообщение Прокуратуры.

Примечание: цифры и технические выводы являются предварительными. Цитируемые открытые источники не подтверждают ни компрометацию закрытых ключей, PIN-кодов или устройств электронной подписи, ни наличие кредитов, оформленных мошенническим путём в результате этого инцидента.