Сомнительный и опасный бизнес поисковой системы, торгующей украденными персональными данными

Найти личную, банковскую и другую информацию о человеке так же легко, как рецепт яблочного пирога? Это «обещание» одного сайта, который теперь коммерциализирует ваши личные и банковские данные, и его история заслуживает внимания. Правительство обратилось в суд.

На протяжении нескольких месяцев некая поисковая система активно стремилась к известности. Представляя себя как сервис, агрегирующий публичные данные и информацию из многочисленных утечек, произошедших в стране за многие годы, он позволяет очень просто искать информацию о любом человеке. Критика его законности и влияния на частную жизнь не заставила себя ждать.

Прежде всего, важный момент: мы не будем называть его URL-адрес или название, хотя их легко найти (и просим вас воздержаться от этого в комментариях), в первую очередь, чтобы не предоставлять им бесплатную рекламу.

Окно в мир утечек данных и их опасностей

Сайт выглядит просто: пользователь регистрируется с помощью своей электронной почты, затем запускает поиск по имени и фамилии, например. Результаты появляются в виде списка, данные человека собраны в отдельном блоке. Здесь можно найти имя, фамилию, адреса электронной почты, номера мобильных и стационарных телефонов, почтовый адрес и, в некоторых случаях, гораздо более конфиденциальную информацию, такую как номер социального страхования и даже IBAN.

Эти данные получены из массовых утечек, таких как те, что произошли у двух поставщиков услуг третьего плательщика (Viamedis и Almerys), утечки банковских счетов (IBAN) клиентов Bouygues Telecom и Free, спортивных ассоциаций и т. д. Некоторые утечки датированы давно, другие более свежие, но довольно легко найти людей, выбрав правильные ключевые слова. На Discord также перечислены собранные «утечки»; первая датируется октябрем 2015 года и содержит данные французских налоговых органов, затем следуют MYM, Carte Jeune Occitanie, CAF, France Travail и другие.

• Утечка IBAN: каковы риски, как защититься?
• Взломаны поставщики услуг третьего плательщика: затронута половина французов, CNIL начинает расследование.

К сожалению, почти ничего нового, хочется сказать. Утечки данных — обычное дело на протяжении многих лет, и данные легко доступны в интернете. Для экспертов по кибербезопасности это не стало сюрпризом. Подобные «сервисы» существуют давно, но они более подпольные, функционируют на специализированных форумах с разной степенью индексации, в дискуссионных группах, а также на более конфиденциальных сайтах.

«Новизна» здесь заключается в бесплатном доступе, с чистым и простым в использовании интерфейсом для любого человека, а также в определенной вирусности (хотя ее трудно измерить). Это открытое окно в мир, который обычно не находится в центре внимания.

Этот сайт, к слову, не нов, судя по его Discord в начале года: «Наш домен недавно был удален, что вынудило нас его изменить». На Discord также можно наблюдать междоусобные войны (или споры уровня детского сада, когда видишь уровень некоторых обменов) о том, у кого лучший сервис, кто кого копирует, кто был первым и т.д.

Первая доза бесплатно, теперь платите (или продвигайте)

Период «бесплатности» теперь завершен: доступ стал платным с этой пятницы. Минимальная стоимость — 10 евро в неделю, при этом сайт предупреждает, что «цены скоро вырастут». Оплата возможна через «криптовалюты, PayPal, PaySafeCard или банковский перевод». Разумеется, мы настоятельно не рекомендуем вам платить.

Этот переход должен был произойти 15 июня, но был сделан раньше срока: «Проект набрал слишком большой оборот, и некоторые завистники, которые интересовались тем, что их не касается, сделали все возможное, чтобы попытаться закрыть сайт и доставить нам проблемы», — говорится в «объявлениях».

Потребность в вирусном распространении открыто признается и даже монетизируется, о чем свидетельствует сообщение в Discord буквально на этой неделе: «Мы ищем мотивированных людей, которые помогут нам продвигать [название сайта] в социальных сетях и онлайн-сообществах. Если вы активны в TikTok, Snapchat, Instagram, Discord или на любой другой платформе и хотите принять участие в продвижении проекта, не стесняйтесь обращаться к нам. В обмен на регулярную и серьезную помощь мы сможем предложить подписку на один из наших платных тарифов».

Поиск близких? Ложное оправдание

Мы связались с администраторами сайта через Discord. Несколько человек ответили вежливо. Мы смогли поговорить устно с одним из них, который называет себя Залко, и задали ему несколько вопросов.

На вопрос о мотивах создания сайта он ответил, что вместе с несколькими друзьями они хотели создать базу, объединяющую «все, что можно найти в открытом доступе и в утечках данных». Он добавил: «Мы просто хотели, чтобы все было в одном месте, чтобы упростить жизнь людям, которые хотят найти родственника или друга».

Столкнувшись с неизбежными вопросами о конфиденциальности, злоупотреблениях, таких как доксинг, и законности сервиса, Залко был уверен: «Я не думаю, что это незаконно, потому что эти данные можно найти где угодно. Мы просто собрали все в одном месте. Мы много изучали законодательство».

А что насчет злонамеренного использования такой массы данных? «Мы четко заявляем, что доксинг и другие подобные практики запрещены. И мы внедрили защиту для ограничения и блокировки скрапинга».

Мы не узнали намного больше, но вскоре ситуация приняла странный оборот. Другой человек, представившийся руководителем сайта, порекомендовал мне не верить некоему Залко, хотя тот и числился в категории «Менеджеры» на Discord.

Последующие вопросы, особенно о законности сервиса и его коммерческой эксплуатации, остались без ответа. «Мне приказали больше с вами не разговаривать», — ответил другой человек. Когда речь заходит о детских играх...

«По форме это явно незаконно»

В длинном сообщении, подписанном «командой [название сайта]», администраторы утверждают, что этот сервис «является и всегда был законным и соответствующим требованиям. Наш инструмент агрегирует исключительно общедоступные данные. Мы ничего не взламываем. Мы ничего не крадем. Мы никого не доксим. Мы не сливаем конфиденциальные электронные письма. Мы никого не запугиваем. Мы никого не перенаправляем на вредоносные сайты. У нас нет уязвимостей безопасности, раскрывающих данные наших пользователей. [Название сайта] соответствует действующему законодательству, включая GDPR. Данные, доступные через нашу платформу, уже являются публичными». Возможно, они просто ошибаются?

Что касается законности такого сайта, Александр Аршамбо, юрист, специализирующийся на цифровом праве, не категоричен, но указывает на значительные пробелы и серые зоны. «По форме это явно незаконно из-за отсутствия юридических данных, соответствующих закону, если речь идет о сайте, ориентированном на французский рынок», — сообщил адвокат.

«Эксплуатация интернет-сайта без юридических данных, соответствующих закону, является правонарушением», — добавляет он. Наказания могут достигать 75 000 евро штрафа и одного года тюремного заключения. Если речь идет о компании, штраф может вырасти до 375 000 евро.

Он подчеркивает, что такая ситуация может подпадать под положения статьи 323-3-2 Уголовного кодекса, с повышенным риском после закона 2025-532 от 13 июня 2025 года. Если речь идет о предположительно коммерческой структуре, может быть применена статья об организованной группе. Наказания действительно меняют масштаб, поскольку они могут достигать 10 лет лишения свободы и 1 миллиона евро штрафа.

Реальные риски

Проект «Аркадия» более прямолинеен: «Технически это сокрытие (получение) похищенного, и это было подтверждено Кассационным судом в постановлении от 18 февраля 2026 года». Трис Акатрин вторит Амели Бонфанти (юридическая фирма Deshoulières Avocats): «Факт получения информации, полученной в результате правонарушения, с полным знанием дела, может представлять собой сокрытие по смыслу статьи 321-1, абзац 2 Уголовного кодекса».

«Другая реальная опасность заключается в возможности того, что очень злонамеренный человек использует эти незаконно полученные данные, чтобы причинить вред другому человеку. В этом случае ответственность создателей [сайта] может быть привлечена», — добавляет Проект «Аркадия».

Анн Ле Энанфф, министр-делегат по вопросам цифровизации, заявила BFMTV, что обратилась в суд в соответствии со статьей 40 Уголовно-процессуального кодекса: «Любой орган власти, любое публичное должностное лицо или государственный служащий, который при исполнении своих обязанностей узнает о преступлении или правонарушении, обязан немедленно уведомить прокурора Республики и передать этому должностному лицу все относящиеся к делу сведения, протоколы и акты».

Пройдите мимо, серьезно!

Наконец, напомним, что категорически не рекомендуется использовать подобные сервисы, в частности, потому, что вы не знаете, что произойдет с вашими персональными данными. На этапе «бесплатного» доступа этот сайт требовал лишь адрес электронной почты для входа (с подтверждением), также можно было запросить удаление информации.

Мало того, что нет никаких гарантий, что это будет сделано, так даже в лучшем случае это удалит данные только из этого сервиса... а их существуют десятки, не говоря уже о копиях утечек, которые есть повсюду в интернете. Кроме того, запрос на удаление данных может подтвердить хакерам, что эти данные все еще действительны, и, следовательно, имеют дополнительную ценность.

Хотите узнать, произошла ли утечка ваших персональных данных? Существуют надежные сайты, которые не предоставляют информацию кому попало. Have I Been Pwned — один из таких. Введите свой адрес электронной почты и проверьте, в каких утечках он появляется, с какими связанными данными.