Если ключи ЭП попадут в чужие руки, безопасность электронной подписи будет нарушена. Злоумышленники знают, как скомпрометировать защиту и использовать подпись в мошеннических целях.
Разберем основные правила, которые нужно соблюдать при работе с ключами электронной подписи, чтобы обезопасить себя.
Основные схемы мошенничества с электронной подписью: как злоумышленники получают доступ к вашей ЭЦП
Для мошенников захват чужой ЭП — это ключ, открывающий доступ к управлению бизнесом, деньгам и имуществу. Способы хищения варьируются от банальной кражи токена до сложных многоходовых комбинаций.
Кража носителя и пароля
Это самый распространенный и технически простой способ. Чаще всего ключи хранятся на USB-токене, который выглядит как обычная флешка.
-
Халатность: сотрудники оставляют токен вставленным в компьютер, отлучаясь на обед или домой. Недобросовестному коллеге или постороннему достаточно пары секунд, чтобы использовать его, украсть или незаметно подменить.
-
Слабый PIN-код: пользователи не меняют заводские пароли, например, 12345678, или записывают их на стикерах, приклеенных к монитору. При физической краже носителя это дает преступнику полный контроль над подписью.
Социальная инженерия
В этом сценарии жертва сама предоставляет доступ мошенникам, будучи введенной в заблуждение.
-
Фишинг: бухгалтер получает по email уведомление якобы от налоговой, банка или сервиса с требованием «обновить сертификат» или «подписать документ». Ссылка в письме ведет на загрузку вируса удаленного доступа.
-
Удаленный доступ: под предлогом «настройки подписи» или «помощи с установкой драйверов» мошенники убеждают пользователя установить программу удаленного доступа (AnyDesk, RustDesk). Если в этот момент токен вставлен в компьютер, злоумышленники могут подписать любой документ прямо на глазах у жертвы.
Телефонное мошенничество
Отдельно можно выделить телефонное мошенничество. В этом сценарии злоумышленники комбинируют взлом аккаунта Госуслуг с психологическим давлением. Они не крадут носитель с ключом, ЭП здесь фигурирует как инструмент, которым мошенники заставляют воспользоваться. Обман происходит в несколько этапов.
Передача токена с ключами бухгалтеру
Передача токенов с электронной подписью бухгалтерам-аутсорсерам является серьезным фактором риска утечки данных в России. Предприниматели, которые доверяют свои носители с ЭП посторонним, рискуют повторить печальный опыт пострадавших коллег. Судебная практика показывает, что подобные споры возникают с пугающей регулярностью.
Что могут сделать мошенники с вашей электронной подписью
Последствия потери контроля над ЭП могут быть катастрофическими. В отличие от кражи банковской карты, которую можно заблокировать мгновенно, действия с подписью часто замечают слишком поздно.
Фальсификация внутренних документов компании
Если доступ получил нелояльный сотрудник, он может навредить работодателю изнутри:
-
Подписать приказы о необоснованных премиях.
-
Оформить акты списания ликвидного имущества.
-
Подделать кадровые документы: заявления на отпуск, увольнение задним числом, чтобы создать юридические основания для исков против компании.
Подписание договоров и изменение реквизитов
Завладев подписью руководителя, мошенники могут действовать от лица всей организации.
-
Заключение договоров, которые компания заведомо не сможет исполнить, что повлечет огромные штрафы и неустойки в пользу фирм-однодневок.
-
Рассылка контрагентам официальных писем о смене банковских реквизитов. Клиенты, видя подпись директора, без сомнений переводят деньги на счета мошенников.
Финансовые махинации и несанкционированные платежи
Это прямая кража денег.
-
Доступ к счету: ЭП часто служит ключом к банк-клиенту. Злоумышленники могут «обнулить» счета компании за несколько минут.
-
Кредиты и займы: на имя гражданина или юрлица оформляются микрозаймы и кредиты онлайн. Жертва узнает о долгах только после звонков коллекторов или блокировки счетов приставами.
Подача документов в госорганы
Один из самых опасных сценариев, используемый в рейдерстве и налоговых преступлениях:
-
Смена директора (рейдерский захват): мошенники подают в ФНС форму Р13014, подписанную украденной ЭП, меняя реального директора на подставное лицо. Получив контроль над ЕГРЮЛ, они получают полный контроль над активами.
-
«Бумажный НДС»: от имени компании подаются уточненные декларации с фиктивными сделками, втягивая бизнес в схемы по отмыванию денег и уходу от налогов.
Меры безопасности электронной подписи
Чтобы исключить риск несанкционированного использования вашей ЭП, следуйте этим правилам цифровой безопасности.
Как узнать, изготавливался ли на вас сертификат ключа проверки электронной подписи
«Госуслуги» получают информацию о выданных сертификатах ключей проверки электронной подписи согласно п.5 ст. 18 N 63-ФЗ.
Для получения информации нужно:
- Нажать на ФИО аккаунта.
- Нажать «Профиль».
- Выбрать «Электронная подпись».
Раздел содержит данные о зарегистрированных сертификатах ключей проверки электронной подписи: уникальный номер квалифицированного сертификата, даты начала и окончания его действия, наименование выдавшего его аккредитованного удостоверяющего центра.
Если в разделе окажется сертификат, который вы не получали, то необходимо немедленно обратиться в УЦ с заявлением о прекращении действия сертификата ЭП.
Популярные вопросы
Что делать, если на ваше имя зарегистрировано ООО?
Если вы обнаружили, что стали номинальным директором «фирмы-однодневки» без вашего ведома:
- Подайте заявление в полицию о мошенничестве и незаконном использовании ваших персональных данных.
- Срочно обратитесь в налоговую инспекцию (ФНС). Подайте заявление по форме Р34001 («Заявление физического лица о недостоверности сведений о нем в ЕГРЮЛ»). Это сигнал для налоговой и контрагентов, что вы не имеете отношения к этой фирме.
- Запросите в ФНС сведения, на основании каких документов была открыта фирма и какой Удостоверяющий центр выдал ЭП. Это поможет в дальнейшем расследовании.
Могут ли подделать ключи электронной подписи?
С технической точки зрения — нет. Квалифицированная ЭП (КЭП) создается с использованием сложнейших криптографических алгоритмов (ГОСТ). Подобрать или «нарисовать» такую подпись на компьютере невозможно. Мошенничество происходит не через подделку самой криптографии, а через кражу вашего реального ключа или незаконный выпуск нового сертификата на ваше имя.
Могут ли взломать электронную подпись?
Взломать сам файл подписи нельзя, но можно взломать компьютер, на котором она используется. Если на вашем ПК есть вирусы или программы удаленного доступа, хакеры могут перехватить управление в момент, когда вы вставили токен и ввели пин-код. В этом случае они подписывают документы вашей легальной подписью дистанционно. Поэтому защита компьютера антивирусом так же важна, как и защита самого токена.
Что делать, если подпись украдена?
Действовать нужно мгновенно:
- Позвоните в Удостоверяющий центр и отзовите сертификат.
- Заблокируйте банковские счета компани
- Смените пароли от Госуслуг, электронной почты и систем ЭДО.
- Подайте заявление в полицию, чтобы зафиксировать факт хищения.
Могут ли мошенники скопировать или клонировать ключ ЭП с токена, если украдут его на несколько минут?
Это зависит от типа вашего носителя и настроек при выпуске.
- Если ключ «неизвлекаемый» (сгенерирован внутри защищенного носителя, например, Рутокен ЭЦП 2.0/3.0 или JaCarta-2 GOST): Нет, скопировать его невозможно, даже имея физический доступ и зная пин-код. Можно только воспользоваться им, пока он в руках мошенника.
- Если ключ «копируемый» (записан как обычный файл на флешку или пассивный токен): Да, его можно скопировать за несколько секунд и вернуть носитель на место. Рекомендация: При выпуске подписи всегда просите делать ключ неизвлекаемым.
Опасны ли публичные Wi-Fi сети для работы с электронной подписью?
Да, риски существуют. В открытых сетях (кафе, метро, отели) злоумышленники могут перехватывать передаваемые данные. Хотя сама подпись формируется внутри вашего устройства (или токена), хакеры могут перехватить доступ к вашему личному кабинету (логин/пароль) или подменить документ в процессе его загрузки на сервер. Для работы с юридически значимыми документами используйте только защищенные корпоративные сети или мобильный интернет.
Сергей Феоктистов
Сергей Феоктистов
Сергей Феоктистов
Сергей Феоктистов
Виталий Михейкин
Сергей Феоктистов
Сергей Феоктистов
Дарья Алексеева
Новость
Астрал Отчет 5.0
1С-Отчетность
1С-УП
Астрал Доверенность
МЧД
Астрал.Маркировка
Продукты 1С
Астрал.Платформа
Внесение изменений
Астрал.Торги
Регистрация бизнеса
1С-ЭТП
Подпись ФНС
Корпоративный УЦ
JaCarta LT
JaCarta-2 SE
Рутокен Lite
Рутокен ЭЦП 3.0
Доки
1С-ЭПД
1С-ЭДО
Астрал.ЭДО
Астрал iКЭДО
Роуминг
Астрал.СКРИН
Астрал.ОФД
Онлайн-кассы
Астрал.Безопасность
152DOC