Банки, небанковские кредитные организации и финтех-компании обязаны защищать персональные данные клиентов. В банковском секторе недостатки информационной безопасности могут привести к санкциям еще до массовой утечки. Но когда сведения извлекают из государственных систем, гражданам рекомендуют проявлять бдительность, а ведомства сообщают о восстановлении сервисов. Будет ли государство столь же требовательно к собственным учреждениям и их руководителям, как к подконтрольному бизнесу?

Кибератака на государственные цифровые сервисы Молдовы сделала это сравнение вполне предметным. По предварительной оценке Агентства электронного управления, опубликованной 27 октября 2026 года, злоумышленники извлекли наборы данных, связанных примерно с 750 тыс. персональных идентификационных номеров. Это серьезный провал защиты информации, доверенной государству. Для понимания масштаба: это число сопоставимо примерно с двумя пятыми (40%) совершеннолетних жителей страны, учитываемых статистикой НБС.

Среди затронутых сведений могли быть имена, даты рождения, фотографии, информация о родственниках, пенсиях, пособиях, инвалидности, автомобилях, недвижимости, компаниях, номера банковских счетов IBAN, налоговые задолженности и история платежей через MPay. Даже отдельные сведения могут помочь мошенникам убедительнее выдавать себя за сотрудников учреждений или близких пострадавшего.

По официальному объяснению, атакующие воспользовались уязвимостями сервисов, доступных без аутентификации, а полученную информацию использовали для дальнейшего извлечения данных. Для проверки 23 октября превентивно отключили 82 цифровые услуги, более 30 информационных систем и административных панелей. Последующие попытки доступа, по сообщению агентства, были заблокированы. 

Остановка атаки ограничивает дальнейший ущерб, восстановление сервисов возвращает возможность ими пользоваться. Однако ни то ни другое не возвращает похищенные сведения под контроль государства. Пароль можно сменить. Дату рождения, семейные связи или историю получения выплат - нет. Техническое завершение инцидента и устранение его последствий для граждан – совершенно разные вещи.

Решения Нацбанка Молдовы за 2024-2026 годы показывают, что контроль информационной безопасности в банках имеет практические последствия. В июне 2024 года Moldindconbank получил письменное предупреждение за комплекс недостатков, включая управление технологическими рисками и информационную безопасность. Предупреждения ответственным руководителям касались, в частности, контроля доступа, управления уязвимостями и инцидентами, обеспечения непрерывности деятельности. В мае того же года нарушения управления технологическими рисками фигурировали среди оснований предупреждения EuroCreditBank, в октябре 2025 года - maib.

Применялись и денежные санкции. В декабре 2025 года Энергбанк оштрафовали на 3,13 млн леев, а в сентябре 2026 года Comerțbank - на 0,96 млн леев. В обоих случаях среди оснований были нарушения в сфере технологических рисков и информационной безопасности наряду с другими недостатками. Comerțbank оспорил размер штрафа. Таким образом, речь идет о практике надзора со стороны регулятора в отношении разных банков, а не об одном исключительном случае. 

Смысл такого контроля - выявлять недостатки защиты до того, как они приведут к ущербу. Проверяются организация доступа, работа внутренних систем, выполнение предписаний и действия ответственных лиц. Государственные платформы, объединяющие сведения о значительной части населения, нуждаются в не менее строгом подходе.

Сам факт успешной кибератаки еще не доказывает халатность конкретного руководителя. Но преступные действия злоумышленников не освобождают от проверки тех, кто отвечал за сохранность информации. Необходимо установить, когда проверялась защищенность сервисов, были ли известны уязвимости и выполнялись ли рекомендации по их устранению. Поиск атакующих и оценка работы государственных учреждений должны дополнять друг друга.

Законодательство о персональных данных распространяется и на бизнес, и на государственные органы. Согласие гражданина - лишь одно из оснований обработки: сведения могут использоваться также для исполнения договора, установленной законом обязанности или задачи в общественных интересах. Однако ни подпись под согласием, ни полномочия учреждения не отменяют обязанности защищать информацию. Правильно оформленная обработка не компенсирует недостатков безопасности. 

Положение гражданина здесь особенно уязвимо. Он обязан предоставлять государству сведения для получения документов, оформления выплат или исполнения налоговых обязательств. При этом выбрать другого держателя государственного реестра, как можно выбрать другой банк, невозможно. Государство получает информацию в силу своих полномочий, а значит, должно отвечать за ее сохранность с учетом этой зависимости.

У цифровой зависимости есть и экономическая сторона. После атаки временно оказались недоступны сервисы подачи заявлений и выдачи разрешительных документов для предпринимателей; 26 октября власти объявили об их восстановлении. То есть, как показал этот эпизод, безопасность государственных платформ влияет и на способность бизнеса своевременно проходить необходимые процедуры. 

Для пострадавших результат расследования должен иметь практический смысл. По мере установления обстоятельств людям необходимо объяснять, затронуты ли их данные, какие сведения раскрыты и куда обращаться при обнаружении неправомерного использования. Общий призыв "быть осторожнее" полезен, но оставляет человеку слишком мало информации для оценки собственного риска.

Ответственность нельзя подменить отчетом о восстановленных сервисах. Даже штраф государственному учреждению недостаточен, если его оплачивает бюджет: расходы вновь несут налогоплательщики. Нужны выводы о действиях конкретных должностных лиц и соразмерные установленным нарушениям решения, включая кадровые.

Этот случай проверяет не только защищенность государственных платформ, но и способность государства применять к себе требования, которые оно предъявляет к другим. Если все завершится всего лишь восстановлением доступа и предупреждениями о мошенниках, риски за последствия утечки останутся у граждан, а ответственность за защиту их данных - на бумаге. // 29.10.2026 - InfoMarket.