# 14. Безопасность аккаунтов и личных данных Суть проблемы: деньги и персональная информация. Если злоумышленник получает доступ к вашему аккаунту, первым делом он похищает деньги. Кроме того, он может использовать ваш аккаунт для обмана людей из вашего списка контактов. В итоге ваша личность оказывается в чужих руках. ### 1. Включите двухфакторную аутентификацию для почты, платежных систем и соцсетей. В первую очередь используйте всплывающие окна на телефоне, а в качестве запасного варианта — SMS-коды - Стоимость: Бесплатно. Настройка проводится один раз для каждого аккаунта и занимает всего две-три минуты. - Простыми словами: Двухфакторная аутентификация — это дополнительное подтверждение личности при входе, помимо ввода пароля. Всплывающее окно на телефоне, требующее одноразового нажатия, блокирует более 90% попыток фишинга и кражи аккаунтов. Методы вроде ответов на вопросы «Где вы в последний раз входили?» или «Какой у вас резервный адрес электронной почты?» справляются лишь с примерно 10% таких атак. - Эффект: В ходе исследования Google было зафиксировано 350 тысяч реальных попыток несанкционированного доступа к аккаунтам. Первый тип проверки опирается на устройство: всплывающие окна на телефоне или физические ключи безопасности. Он блокирует более 94% атак, связанных с фишингом, и 100% автоматизированных взломов. Второй тип — проверка по ответам на вопросы — снижает риск лишь на 10% в случае фишинга и на 73% при автоматизированных атаках. - Уровень доказательности: A - Источники: Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). - Примечания: Исследователи также отметили, что подобная аутентификация иногда мешает самим пользователям: в 52% случаев они не могут войти с первой попытки. Однако в итоге 97% всё же получают доступ к аккаунтам. Рекомендуется сначала включить эту функцию для почтового сервиса, поскольку для большинства других аккаунтов пароль можно восстановить через почту. ### 2. Отдельный пароль для почты, не используемый нигде больше - Стоимость: Ничего не стоит. Если сохранить пароль в менеджере паролей, его не придётся запоминать. Сложнее всего избавиться от старой привычки использовать один и тот же пароль повсюду. - Простыми словами: Если чей-то пароль утечёт с других сайтов, злоумышленники смогут сразу войти в вашу почту. А как только в неё проникнут, получат доступ ко всем аккаунтам, для восстановления пароля которых используется эта почта. Поэтому для почты нужен уникальный пароль, который не применяется нигде ещё. - Эффект: Попытки подобрать пароли к вашим аккаунтам на основе утёкших данных называются перебором по словарю. Это самый простой способ атаки. Утёкшие пароли с других ресурсов сразу применяются для входа в почту. Как только в неё проникают, доступ к всем аккаунтам, где используется эта почта для восстановления пароля, тоже теряется. Рекомендация Агентства по кибербезопасности и инфраструктуре США: для каждого аккаунта создавать уникальный надёжный пароль длиной минимум 16 символов и хранить его в менеджере паролей. - Уровень доказательности: C - Источники: US CISA. Use Strong Passwords. - Примечания: Если не можете запомнить пароль, воспользуйтесь встроенным в браузер менеджером паролей. Он сохранит пароли для всех сайтов, что гораздо безопаснее, чем использовать один и тот же пароль везде. Не сохраняйте пароли в закладках WeChat или в заметках. ### 3. Установка пароля на блокировку экрана и PIN-кода для SIM-карты - Стоимость: Ничего не стоит. Пароль на блокировку и PIN-код нужно задать лишь один раз. - Простыми словами: SIM-карта — это маленькая карточка внутри телефона, через которую поступают SMS-коды подтверждения. Если телефон потеряется, кто-то может вынуть эту карточку и вставить в другой аппарат, чтобы получать коды и сбрасывать ваши аккаунты. Установка PIN-кода для карты означает, что при вставке в любой другой телефон сразу после включения потребуется ввести этот код, что полностью перекрывает такую возможность. - Эффект: Обычно после потери телефона злоумышленник сразу вставляет SIM-карту в другой аппарат, чтобы получать SMS-коды и сбрасывать ваши аккаунты. При наличии PIN-кода для карты при вставке в другой телефон сразу после включения потребуется ввести этот код, что полностью перекрывает этот путь. - Уровень доказательности: C - Источники: 作者经验，无直接文献 - Примечания: PIN-код задаётся в настройках телефона в разделе «Блокировка SIM-карты». Стандартный заводской код обычно 1234 или 0000. При трёх подряд неверных попытках ввода потребуется PUK-код от оператора связи для разблокировки. Поэтому после установки обязательно запишите этот код на бумагу. ### 4. Что делать, если потеряли телефон: заблокировать SIM-карту, удаленно заблокировать устройство, сменить пароли, вызвать полицию, при необходимости заблокировать банковские карты - Стоимость: Ничего не стоит. Весь процесс занимает всего несколько минут. - Простыми словами: Порядок действий важнее скорости. Сначала нужно заблокировать SIM-карту — так вы перекроете доступ к кодам подтверждения. Затем удаленно заблокируйте телефон, а с компьютера смените пароли от почты и платежных сервисов. После этого вызовите полицию и получите подтверждение. При необходимости заблокируйте банковские карты. Если телефона при себе нет, можно воспользоваться чужим устройством, чтобы позвонить в службу поддержки оператора и заблокировать SIM-карту. - Эффект: Порядок действий важнее скорости. Первым делом заблокируйте SIM-карту, чтобы перекрыть доступ к кодам подтверждения. Затем удаленно заблокируйте телефон и стерите с него всю информацию. Далее с компьютера смените пароли от почты и платежных сервисов. После этого вызовите полицию и получите подтверждение. При необходимости заблокируйте банковские карты. Как рекомендует Федеральная комиссия по связи США, даже если кажется, что телефон просто потерян, его нужно удаленно заблокировать. В случае кражи немедленно вызывайте полицию, сообщите модель и IMEI-номер устройства, а также позвоните в ваш оператор связи. - Уровень доказательности: C - Источники: US FCC. Protect Your Smart Device. ；步骤顺序是作者经验；补办身份证见第 7 节，冒名贷款见第 8 节关于征信的一条 - Примечания: Заранее запишите номера службы поддержки всех трех основных операторов: China Mobile — 10086, China Unicom — 10010, China Telecom — 10000. Также запишите город, где вы оформляли сим-карту — операторы часто об этом спрашивают. Даже с чужого телефона можно позвонить в службу поддержки и заблокировать SIM-карту. ### 5. При краже карты сначала заблокируйте её, затем вызывайте полицию и требуйте компенсации от банка: доказывать, что «это вы сами совершили транзакцию», — обязанность банка - Стоимость: Никаких расходов не потребуется. Как только заметите подозрительные операции по карте, сразу заблокируйте её. Сохраните копии заявлений в полицию, записей о блокировке и уведомлений от банка. Если карта по-прежнему у вас, совершите рядом небольшую проверочную операцию — это подтвердит, что в момент инцидента карта действительно находилась при вас. Самое сложное — сдержаться и не спорить с оператором службы поддержки, а сразу приступить к блокировке. - Простыми словами: Если кто-то незаконно воспользовался вашей картой, вам не нужно доказывать, что «это не я совершил транзакцию». Напротив, именно банк обязан предоставить доказательства того, что операция была выполнена вами лично. Если таких доказательств нет, банк обязан выплатить компенсацию. При этом важно, чтобы вы сразу после обнаружения инцидента заблокировали карту. Если этого не сделать, все дополнительные убытки придётся нести вам самим. - Эффект: Согласно постановлениям Верховного суда, распределение обязанности по предоставлению доказательств чётко определено. Если вы утверждаете, что речь идёт о краже средств с использованием поддельной карты или онлайн-мошенничестве, вам нужно самостоятельно собрать доказательства. К ним относятся действующие судебные решения, данные о местонахождении карты в момент транзакции, сведения о месте проведения операции, выписки по счёту, уведомления от банка, записи в полиции и заявления о блокировке. **В свою очередь, если банк или сторонняя платёжная организация утверждают, что операция была совершена вами лично или с вашего разрешения, именно они обязаны предоставить такие доказательства**. Если после вашего уведомления банк не провёл своевременную проверку, не сохранил чеки и записи с камер видеонаблюдения, из-за чего вы не смогли собрать доказательства, ответственность за последствия несёт банк. После подтверждения факта кражи владельцы дебетовых карт имеют право требовать от банка возврата похищенных средств с процентами и компенсации убытков. Владельцы кредитных карт могут требовать возврата списанных средств с процентами и штрафами, а также компенсации убытков; требования банка о возврате задолженности по кредиту в таком случае судом не удовлетворяются. Кроме того, вы вправе потребовать от банка незамедлительно удалить соответствующие негативные записи из кредитной истории (действует по всей стране с 25 мая 2021 года). - Уровень доказательности: A - Источники: 最高人民法院 (2021). 关于审理银行卡民事纠纷案件若干问题的规定（第四、五、七、十四、十五条）. A - Примечания: Есть два случая, когда ответственность за убытки ложится на вас. Первый — если вы не обеспечили должную сохранность карты, пароля и кодов подтверждения, то есть допустили халатность (в тексте указано «не выполнили обязанность по надлежащему хранению», и в этом случае вы несёте ответственность в той мере, в какой нарушили обязанности). Поэтому никогда не сообщайте пароль посторонним и не передавайте коды подтверждения (см. пункт 1: для двухфакторной аутентификации предпочтительнее использовать уведомления в виде всплывающих окон на телефоне). Второй случай — если вы не заблокировали карту вовремя, из-за чего убытки увеличились, и эту дополнительную часть убытков придётся оплачивать вам. Поэтому первым делом всегда нужно блокировать карту, а не спорить с оператором службы поддержки. Эти правила распространяются и на сторонние платёжные организации. Если в их рекламных материалах указано обязательство «первичной компенсации» с чёткими условиями, вы вправе требовать от них выплаты в первую очередь. Если же деньги были переведены мошенникам по вашей ошибке, это уже другая ситуация, описанная в пункте 2 раздела 8 (при обнаружении мошенничества немедленно звоните по номеру 110 или 96110 для блокировки операций). ### 6. Регулярно проверяйте список устройств, с которых вы входите в аккаунт, и разрешённых приложений, а ненужные удаляйте - Стоимость: Бесплатно. На проверку уходит всего несколько минут. Главная сложность — никто не напомнит об этом, поэтому нужно самостоятельно помнить о такой проверке. - Простыми словами: «Устройства для входа» — это телефоны и компьютеры, с которых в этот момент можно пользоваться вашим аккаунтом. Злоумышленники часто сначала некоторое время скрываются в системе, а потом начинают действовать. Если в списке появляется незнакомое устройство или давно неиспользуемое приложение, продолжающее иметь доступ к аккаунту, необходимо выйти из него на всех устройствах и сменить пароль. - Эффект: Обычно злоумышленники не совершают атаку сразу после взлома, а сначала некоторое время остаются в системе. Список устройств для входа показывает, какие телефоны и компьютеры в этот момент могут пользоваться аккаунтом. Список разрешённых приложений отображает сторонние программы, которым вы дали право входить в аккаунт. Незнакомые устройства и давно неиспользуемые приложения в этих списках — самые заметные признаки несанкционированного доступа. - Уровень доказательности: C - Источники: 作者经验，无直接文献 - Примечания: Такой раздел имеется в WeChat, Alipay, почтовых сервисах, а также в аккаунтах Apple и Android. Обнаружив незнакомое устройство, выйдите из аккаунта на всех устройствах и смените пароль. ### 7. Не нажимайте «Согласиться со всем» в приложениях: не все запрашиваемые эти действительно нужны, и отказ дать их не помешает вам пользоваться сервисом - Стоимость: Бесплатно. Сложнее всего удержаться от нажатия кнопки «Согласиться со всем». - Простыми словами: Приложения запрашивают вашу информацию. Если она не является обязательной для предоставления услуги, отказ дать её не даёт компании права ограничить ваш доступ к сервису. Собирать можно только те данные, которые действительно нужны. Например, для навигации местоположение необходимо, а для фонарика — список контактов нет. - Эффект: Закон чётко определяет два важных правила. Первое: нельзя отказывать в предоставлении продукта или услуги из-за того, что пользователь не дал согласие или отозвал его, за исключением случаев, когда обработка данных действительно необходима для оказания услуги. Второе: сбор информации должен ограничиваться минимально необходимым объёмом — то есть собирать можно только то, что действительно требуется для выполнения задачи. - Уровень доказательности: A - Источники: 全国人大常委会 (2021). 个人信息保护法. 中国人大网. ：第六条「收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息」；第十六条「个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外」；第十五条「基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式」 - Примечания: Главный критерий очень прост: нужны ли эти данные для работы конкретного сервиса? Для навигации местоположение необходимо, а для фонарика — нет. После установки приложения зайдите в настройки телефона в раздел разрешений и отключите ненужные права. А когда они действительно понадобятся, разрешите их использование лишь на один раз. ### 8. Вы имеете право просматривать, копировать, исправлять и удалять свои персональные данные; при отказе можно обратиться в суд - Стоимость: Бесплатно. Лишь если компания затягивает решение вопроса, потребуется подавать жалобу или обращаться в суд. Сам судебный процесс занимает минимум несколько месяцев, а оплату услуг адвоката придётся нести вам. Поэтому сначала выгоднее попытаться решить всё через жалобу. Сложность заключается в том, что при затягивании со стороны компании придётся неоднократно напоминать о своих требованиях. - Простыми словами: Вы имеете право требовать от компании предоставить вам возможность просматривать, копировать, исправлять и удалять ваши персональные данные. Если услуга прекращена, срок хранения данных истёк или вы отозвали своё согласие, компания обязана самостоятельно удалить информацию. При отказе в выполнении ваших требований она должна объяснить причины; в противном случае вы можете напрямую обратиться в суд. Отключение аккаунта и удаление данных — это разные процедуры: после отключения аккаунта необходимо отдельно подавать запрос на удаление данных. - Эффект: Существует несколько ситуаций, когда компания обязана самостоятельно удалять персональные данные: прекращение предоставления услуг, истечение установленного срока хранения, отзыв вами согласия на обработку данных, достижение целей, ради которых данные собирались, и так далее. Если компания этого не делает, вы вправе потребовать удаления. При отказе в реализации ваших прав она обязана обосновать свою позицию. В таких случаях вы можете напрямую обратиться в суд. - Уровень доказательности: A - Источники: 全国人大常委会 (2021). 个人信息保护法. 中国人大网. ：第四十五条「个人有权向个人信息处理者查阅、复制其个人信息……个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供」；第四十六条更正、补充权；第四十七条列了五种应当主动删除的情形，含「（一）处理目的已实现、无法实现或者为实现处理目的不再必要」「（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满」「（三）个人撤回同意」，「个人信息处理者未删除的，个人有权请求删除」；第五十条「个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由」「个人可以依法向人民法院提起诉讼」 - Примечания: Отключение аккаунта и удаление персональных данных — это разные процедуры; после отключения аккаунта необходимо отдельно подавать запрос на удаление данных. Перед сменой телефона или продажей старого устройства обязательно выйдите из всех аккаунтов, отвяжите их от устройства, а затем сбросьте его до заводских настроек. Закон предоставляет вам право на удаление данных только в будущем; он не позволяет вернуть уже утекшую информацию обратно. ### 9. Сканирование лица не является обязательным: если есть другие способы, вас не могут заставить пользоваться только этим методом, а при отказе должны предложить альтернативу - Стоимость: Бесплатно. При запросе на сканирование лица спросите: «Существуют ли иные способы подтверждения личности?» Если ответ будет отрицательным, потребуйте предоставить такой вариант. Сложность заключается лишь в том, чтобы задать этот вопрос вслух при личной встрече. - Простыми словами: Если существует хотя бы один другой способ выполнить ту же задачу, организация не имеет права требовать от вас только сканирование лица. При отказе от такой процедуры вам должны предложить альтернативные варианты — карту, пароль или паспорт, причём нельзя угрожать отказом в обслуживании. На территории гостиничных номеров, общественных душевых, раздевалок и туалетов запрещено устанавливать любые устройства для распознавания лиц. - Эффект: В Правилах по безопасному применению технологий распознавания лиц чётко указано: «Если для достижения той же цели или выполнения аналогичных задач существуют иные методы, не основанные на распознавании лиц, таковой не может быть единственным способом подтверждения личности. При отказе человека от использования своего лица в качестве идентификатора ему должны предложить иные разумные и удобные варианты». В документе также говорится: «Ни одна организация или частное лицо не имеют права под предлогом обслуживания клиентов или улучшения качества услуг вводить в заблуждение, обманывать или принуждать граждан к использованию этой технологии». Для законного сбора информации о лице требуется «добровольное, осознанное и отдельное согласие», то есть отдельный запрос и ваше прямое согласие. Вы вправе в любой момент отозвать такое согласие, а организация обязана предоставить простой способ для этого. При работе с этими несовершеннолетних до 14 лет требуется согласие родителей или опекунов. Установка устройств в общественных местах допустима лишь в случае «необходимости для обеспечения общественной безопасности» и при наличии чётких предупреждающих знаков. Внутри гостиничных номеров, душевых, раздевалок и туалетов такие устройства запрещены. Информация о лице должна храниться непосредственно в оборудовании, без передачи в интернет, за исключением случаев, предусмотренных законом или при наличии отдельного согласия (действует с 1 июня 2025 года). - Уровень доказательности: A - Источники: 国家互联网信息办公室、公安部 (2025). 人脸识别技术应用安全管理办法（第 19 号令，第十条、十二条、十三条，2025 年 6 月 1 日起施行）. - Примечания: Чаще всего такие требования встречаются при входе в жилые комплексы, на платформах аренды жилья, в спортзалах и отелях. Если вам скажут, что «система поддерживает только сканирование лица», зачитайте им текст правил: «Если для достижения той же цели или выполнения аналогичных задач существуют иные методы, не основанные на распознавании лиц, таковой не может быть единственным способом подтверждения личности». Затем потребуйте предложить карту, пароль или паспорт. При отказе обращайтесь в местные органы по управлению интернетом. В отдельных сферах, например в финансах и госуслугах, действуют свои нормы — их следует соблюдать. Главное отличие лица от пароля в том, что при утечке его невозможно изменить, поэтому к нему нужно относиться с большей осторожностью. Организации, хранящие данные более 100 тысяч человек, обязаны в течение 30 рабочих дней зарегистрироваться в органах по управлению интернетом на уровне провинции и выше — это ещё один критерий надёжности. Право на доступ, корректировку и удаление собственных этих описано в пункте 8.