Могут ли мошенники сделать электронную подпись: риски и защита

Представьте: вы получаете звонок от «сотрудника банка», который просит назвать код из SMS для «подтверждения операции». Это классическая схема мошенников, которые хотят получить доступ к вашей электронной подписи. По данным КонсультантПлюс, код из SMS приравнивается к вашей собственноручной подписи: назвав его, вы сами подтверждаете операцию, и банк вправе отказать в возмещении средств. В 2024 году такие атаки стали массовыми — злоумышленники выдают себя за сотрудников ЦБ или службы безопасности, чтобы выманить конфиденциальные данные. Но есть способы защититься: бесплатный самозапрет на кредиты через Госуслуги и простое правило — никогда не сообщать коды и данные карты незнакомцам. Разберём главные риски и эффективные меры предосторожности.

Что такое электронная подпись и почему мошенники охотятся за ней

Электронная подпись (ЭП, ЭЦП) — это цифровой аналог собственноручной подписи, который позволяет подписывать документы, договоры и заявки онлайн без личного присутствия. Она используется для получения государственных услуг, регистрации бизнеса, подачи налоговой отчётности, оформления кредитов и сделок с недвижимостью. Существует три основных вида: простая электронная подпись (ПЭП) — код из SMS или push-уведомления; усиленная неквалифицированная (НЭП) — создаётся с помощью криптографических средств, но не требует сертификата от аккредитованного удостоверяющего центра; усиленная квалифицированная (КЭП) — юридически приравнивается к собственноручной подписи, выпускается только аккредитованными центрами и записывается на токен или сертифицированный носитель.

Мошенники охотятся за электронной подписью, потому что она открывает доступ к финансовым и юридическим операциям без вашего ведома. С её помощью можно подписать кредитный договор, договор купли-продажи недвижимости, заявление на перевод крупной суммы или регистрацию фирмы на ваше имя. По данным Центрального банка, в 2023 году количество жалоб на мошенничество с использованием электронных подписей выросло на 40%: злоумышленники используют утечки персональных данных и социальную инженерию, чтобы получить доступ к вашим учётным записям на портале «Госуслуги» или в личном кабинете банка. Код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают.

Особенно уязвимы владельцы простой электронной подписи — она не защищена криптографией и часто привязана к номеру телефона, который может быть перевыпущен мошенниками по поддельной доверенности. Если злоумышленники получают доступ к вашему аккаунту на «Госуслугах», они могут выпустить квалифицированную электронную подпись удалённо — для этого достаточно ваших паспортных данных и СНИЛС, которые уже есть в открытых базах после массовых утечек. После этого подпись используется для оформления микрозаймов в МФО, где проверка личности минимальна. Максимальная процентная ставка по микрозайму ограничена законом: с 1 июля 2023 года — не более 0,8% в день (около 292% годовых). Это предельная ставка, которую МФО не вправе превышать. Однако даже при таких ограничениях мошенники успевают оформить несколько займов до того, как жертва обнаружит пропажу.

Как именно злоумышленники могут сделать вашу электронную подпись: цепочка действий

Процесс создания электронной подписи без вашего ведома состоит из нескольких этапов, каждый из которых требует доступа к определённым данным. Первый шаг — сбор персональной информации: паспортные данные, СНИЛС, ИНН, номер телефона и адрес электронной почты. Эти сведения мошенники получают из утечек баз данных (например, из интернет-магазинов, сервисов доставки или медицинских учреждений), через фишинговые сайты, которые копируют страницы банков или госорганов, или с помощью социальной инженерии — звонков от «сотрудников» банка, которые под предлогом проверки безопасности выспрашивают данные карты и коды из SMS.

Второй этап — получение доступа к вашему аккаунту на портале «Госуслуги» или в личном кабинете банка. Для этого злоумышленники используют либо украденные логины и пароли, либо восстанавливают доступ через номер телефона, который перевыпускают по поддельной доверенности или через SIM-свопинг (когда оператор связи по просьбе мошенника блокирует вашу SIM-карту и выпускает новую на его имя). После входа в аккаунт они могут заказать выпуск усиленной неквалифицированной или квалифицированной электронной подписи через аккредитованный удостоверяющий центр, который проводит идентификацию удалённо — по видеосвязи или через подтверждение на «Госуслугах». Если у центра нет строгих процедур проверки, подпись выпускается за несколько минут.

Третий шаг — использование подписи для подписания документов. Мошенники могут оформить на ваше имя кредитный договор в банке или договор микрозайма в МФО, перевести деньги на свой счёт, зарегистрировать фирму-однодневку или подать заявление на снятие обременения с недвижимости. Особенно опасны микрозаймы: МФО часто не проверяют личность заёмщика, а только сверяют данные с электронной подписью. Если подпись выпущена на ваше имя, то юридически вы подтвердили сделку, и оспорить её будет сложно. Сотрудники банка или ЦБ никогда не просят коды из SMS, CVV/CVC и данные карты и не предлагают перевести деньги на «безопасный счёт» — такого счёта не существует. Любой такой звонок — мошенничество: кладите трубку и звоните в банк сами.

Три главных признака, что на вас пытаются оформить ЭЦП без вашего ведома

Первый признак — неожиданные SMS-сообщения или push-уведомления с кодами подтверждения от портала «Госуслуги», банка или удостоверяющего центра. Если вы не запрашивали вход в аккаунт или выпуск подписи, а код приходит — это сигнал, что кто-то пытается получить доступ к вашим данным. Не вводите код никуда, даже если сообщение выглядит как официальное уведомление. Немедленно смените пароль в личном кабинете и проверьте, не было ли несанкционированных входов.

Второй признак — уведомления от МФО или банков о выдаче займа или кредита, который вы не оформляли. Такие сообщения могут прийти по SMS, электронной почте или в push-уведомлениях мобильного банка. Если вы получили уведомление о новом кредитном договоре, не игнорируйте его — даже если сумма кажется небольшой, это может быть «пробный» займ, после которого мошенники оформят более крупный. Самозапрет на кредиты оформляется бесплатно через Госуслуги (и МФЦ): банки и МФО не смогут выдать кредит на ваше имя. Снятие запрета вступает в силу только через 2 дня — «период охлаждения» против мошенников.

Третий признак — изменение данных в вашем аккаунте на «Госуслугах» или в личном кабинете банка: привязан новый номер телефона, изменён адрес электронной почты или появились документы, которые вы не загружали. Проверяйте раздел «Действия в системе» или «История входов» — там отображаются все сеансы и изменения. Если вы заметили подозрительную активность, немедленно заблокируйте доступ через службу поддержки и подайте заявление в полицию. Помните: код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают.

Как проверить, не выпущена ли ваша электронная подпись мошенниками

Первый и самый надёжный способ — проверить реестр выданных сертификатов электронных подписей на сайте аккредитованного удостоверяющего центра. Крупные центры, такие как «Контур», «Такском» или УЦ ФНС, ведут открытые реестры, где можно найти информацию о всех выпущенных на ваше имя сертификатах. Для проверки потребуется ваш ИНН или СНИЛС. Если в реестре есть сертификат, который вы не заказывали, — это признак мошенничества. Немедленно обратитесь в удостоверяющий центр для аннулирования подписи.

Второй способ — проверить историю входов и действий в личном кабинете на портале «Госуслуги». Зайдите в раздел «Безопасность» или «Действия в системе» — там отображаются все сеансы, включая дату, время и устройство. Если вы видите входы из незнакомых городов или с необычных устройств (например, с эмуляторов Android), это повод насторожиться. Также проверьте раздел «Электронная подпись» — если там указан сертификат, который вы не выпускали, его можно отозвать прямо через портал. Дополнительно запросите в МФЦ выписку из Единого реестра сертификатов ключей проверки электронных подписей — эта услуга бесплатна.

Третий способ — проверить кредитную историю. Запросите отчёт в любом бюро кредитных историй (БКИ) — например, через «Госуслуги» или напрямую в Национальном бюро кредитных историй (НБКИ). Если в отчёте есть займы или кредиты, которые вы не оформляли, это прямое доказательство, что ваша подпись была использована мошенниками. Обратите внимание: по закону вы имеете право на два бесплатных отчёта в год в каждом БКИ. Если вы обнаружили подозрительные операции, немедленно подайте заявление в полицию и в банк или МФО, где был оформлен договор. ФЗ-353 «О потребительском кредите (займе)»: ПСК (полная стоимость кредита) указывается на первой странице договора в правом верхнем углу в квадратной рамке. Не может превышать рассчитанное ЦБ среднее ПСК более чем на 1/3. Это может помочь при оспаривании договора.

Если подпись уже использована для кредита или перевода: что делать в первую очередь

Первое и самое важное — не паниковать и действовать по алгоритму. Если вы обнаружили, что на ваше имя оформлен кредит или совершён перевод с использованием электронной подписи, которую вы не выпускали, немедленно заблокируйте доступ к своим аккаунтам. Смените пароль на «Госуслугах», в личном кабинете банка и на всех связанных сервисах. Если есть возможность, временно заблокируйте SIM-карту через оператора связи — это предотвратит доступ мошенников к кодам подтверждения. Затем позвоните в банк или МФО, где был оформлен договор, и сообщите о мошенничестве. Попросите заблокировать счёт и приостановить исполнение договора. Настоящие сотрудники банка никогда не попросят вас перевести деньги на «безопасный счёт» — такого счёта не существует.

Второй шаг — подать заявление в полицию. Обратитесь в ближайший отдел МВД с заявлением о мошенничестве (статья 159 УК РФ). Приложите все доказательства: скриншоты уведомлений, выписку из кредитной истории, данные о несанкционированных входах в аккаунты. Если ущерб превышает 2500 рублей, возбуждается уголовное дело. Параллельно подайте заявление в удостоверяющий центр, который выпустил подпись, с требованием аннулировать сертификат. Если центр отказывается, обратитесь в Минцифры или в суд. Важно: если вы не сообщили о краже данных в течение 24 часов, банк может отказать в возмещении, ссылаясь на то, что вы сами подтвердили операцию кодом из SMS. Код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное.

Третий шаг — оспорить договор. Если кредит уже выдан, вы имеете право обратиться в суд с иском о признании договора недействительным, так как он был подписан без вашего ведома. В суде потребуется доказать, что вы не выпускали электронную подпись и не давали согласия на сделку. Помогут: заявление в полицию, заключение удостоверяющего центра об аннулировании сертификата, выписка из кредитной истории. Параллельно подайте жалобу в Центральный банк РФ — он может провести проверку и оштрафовать банк или МФО за недостаточную проверку личности. Самозапрет на кредиты оформляется бесплатно через Госуслуги (и МФЦ): банки и МФО не смогут выдать кредит на ваше имя. Снятие запрета вступает в силу только через 2 дня — «период охлаждения» против мошенников. Установите его сразу после инцидента, чтобы обезопасить себя от повторных попыток.

Как настроить защиту и запретить выпуск ЭЦП на своё имя без личного присутствия

Первый и самый эффективный способ — установить самозапрет на выпуск электронной подписи без личного присутствия. Для этого обратитесь в аккредитованный удостоверяющий центр (например, «Контур», «Такском» или УЦ ФНС) и подайте заявление о том, что вы запрещаете удалённый выпуск сертификатов на ваше имя. Некоторые центры позволяют сделать это через личный кабинет на портале «Госуслуги». После установки запрета любая попытка выпустить подпись будет требовать вашего личного визита с паспортом. Это не остановит мошенников полностью, но значительно усложнит их задачу.

Второй шаг — усилить защиту учётной записи на «Госуслугах». Установите двухфакторную аутентификацию (2FA) через приложение-аутентификатор (например, Google Authenticator или Яндекс.Ключ) — это надёжнее, чем SMS, так как код генерируется на вашем устройстве и не может быть перехвачен при SIM-свопинге. Регулярно меняйте пароль (не реже одного раза в три месяца) и не используйте одинаковые пароли для разных сервисов. Проверьте, какие устройства имеют доступ к вашему аккаунту, и отключите незнакомые. Также установите уведомления о всех входах в аккаунт — вы будете получать push-уведомления при каждом новом сеансе.

Третий шаг — оформить самозапрет на кредиты. Это бесплатная услуга, доступная через портал «Госуслуги» или в МФЦ. После его установки банки и МФО не смогут выдать кредит на ваше имя, даже если мошенники получат доступ к вашей электронной подписи. Снятие запрета вступает в силу только через 2 дня — «период охлаждения» против мошенников. Это даёт вам время заметить попытку и заблокировать её. Дополнительно настройте уведомления от всех банков и МФО, где у вас есть счета, о любых изменениях в договорах или новых заявках. Сотрудники банка или ЦБ никогда не просят коды из SMS, CVV/CVC и данные карты и не предлагают перевести деньги на «безопасный счёт» — такого счёта не существует. Любой такой звонок — мошенничество: кладите трубку и звоните в банк сами.

Краткий итог и план действий для цифровой безопасности

Электронная подпись — мощный инструмент, который может быть использован как во благо, так и во вред. Мошенники могут выпустить её на ваше имя без ведома, если получат доступ к персональным данным и аккаунтам. Чтобы этого не допустить, следуйте простому плану действий. Во-первых, немедленно установите самозапрет на выпуск электронной подписи без личного присутствия через удостоверяющий центр. Во-вторых, усильте защиту аккаунта на «Госуслугах»: включите двухфакторную аутентификацию, регулярно меняйте пароль и проверяйте историю входов. В-третьих, оформите самозапрет на кредиты — это бесплатно и надёжно блокирует возможность оформления займов на ваше имя.

Если вы уже стали жертвой мошенников, не отчаивайтесь. Действуйте по алгоритму: заблокируйте доступ к аккаунтам, подайте заявление в полицию, обратитесь в банк или МФО для оспаривания договора и аннулируйте подпись через удостоверяющий центр. Помните: код из SMS — аналог вашей подписи: назвав его постороннему, вы сами подтверждаете операцию, и банк вправе не возмещать похищенное. Настоящие сотрудники банка коды никогда не спрашивают. Никогда не сообщайте коды из SMS, CVV/CVC и данные карты, даже если звонящий представляется сотрудником банка или ЦБ. Любой такой звонок — мошенничество: кладите трубку и звоните в банк сами по номеру с обратной стороны карты.

Регулярно проверяйте свою кредитную историю — это поможет вовремя заметить подозрительные операции. Используйте только аккредитованные удостоверяющие центры для выпуска подписи и храните сертификат на защищённом носителе (токене). Не храните пароли и коды в заметках на телефоне или в облачных сервисах. Помните, что цифровая безопасность — это не разовое действие, а постоянная привычка. Следуя этим правилам, вы сведёте к минимуму риск того, что мошенники смогут сделать электронную подпись на ваше имя и использовать её для кражи денег или оформления кредитов.

Информационный сервис. Не является финансовой рекомендацией. Окончательные условия уточняйте на сайте банка.