Телефонують нібито з банку: на рахунку зафіксовано підозрілу активність. Співрозмовник називає імʼя, адресу та дату народження власника рахунку, і в того не залишається сумнівів, що дзвінок справжній. Насправді на звʼязку зловмисники. Дату народження вони могли взяти з бази, що витекла з інтернет-магазину, і використати як один зі шматочків пазла, з якого складають переконливу легенду. Тому фахівці з кібербезпеки радять не залишати справжню дату народження там, де вона не потрібна.
Чому дата народження цінна для шахраїв
Дату народження люди залишають у десятках онлайн-акаунтів: під час реєстрації в інтернет-магазині, у програмі лояльності, підписуючись на розсилку чи беручи участь в онлайн-конкурсі. Кожен такий сервіс — потенційне джерело витоку.
Свіжий приклад — британський онлайн-ритейлер Asos. 6 жовтня 2026 року клієнти отримали в застосунку магазину push-сповіщення «ASOS HACKED», якого компанія не надсилала. Як повідомила BBC, у розпорядженні зловмисників опинилися імена, адреси, номери телефонів, електронні адреси, номери клієнтів і дати народження, а також історія пошукових запитів на сайті. За словами Asos, нападник видав себе за довірений контакт і виманив у працівника облікові дані. Платіжні картки й паролі акаунтів, за заявою компанії, не постраждали.
Джейк Мур, радник з кібербезпеки компанії ESET, пояснює: дані, викрадені під час зламів, перепродають, а шахраї використовують їх, щоб втертися в довіру до жертви або видати себе за неї. Сама по собі дата народження, за його словами, для злочинців не надто цінна, але разом з іменем і номером телефону вона допомагає вчиняти шахрайство з підміною особи.
Для українців ця загроза не теоретична. Ще у 2020 році в Telegram зʼявився бот, який за гроші шукав персональні дані українців за ПІБ, номером телефону, ІПН чи номером автомобіля, писала «Економічна правда». Опитаний виданням експерт з інформаційної безпеки Микита Книш тоді попереджав, що такі дані допомагають шахраям переконати жертву, ніби вона спілкується зі службою підтримки банку чи великого онлайн-сервісу.
Навіщо магазини запитують дату народження
Александр Франсуа, який досліджує шахрайські схеми в аналітичній компанії WhoisXML API, нещодавно перевірив 14 інтернет-магазинів: вісім із них під час реєстрації запитували дату народження. На його думку, ритейлерам невигідно прибирати це поле, адже повна дата дає вік клієнта, а це цінна інформація для маркетингу й таргетування реклами.
В Україні такий підхід суперечить принципу мінімізації даних. Відповідно до частини третьої статті 6 Закону «Про захист персональних даних» склад і зміст персональних даних мають бути відповідними, адекватними та ненадмірними щодо мети їх обробки. Секретаріат Уповноваженого Верховної Ради з прав людини ще у 2021 році проаналізував онлайн-форми реєстрації і дійшов висновку, що більшість із них не відповідає вимогам законодавства: форми збирають значний обсяг персональних даних, зокрема вік, не повідомляючи людям належним чином про мету й порядок обробки.
Як працює схема
Про злам зазвичай дізнаються з новин або з листа компанії, яка повідомляє про витік. Як саме розгортатиметься шахрайство, залежить від того, що станеться з викраденою інформацією.
Якщо дані з бази ритейлера потрапляють у даркнет, їх використовують, щоб фішингові листи виглядали правдоподібніше, пояснює Серпіль Голл, експертка з безпеки аналітичної компанії Datos Insights. Також зловмисники намагаються переконати служби підтримки компаній, що розмовляють із самим власником акаунта. І все це не обовʼязково відбувається одразу після витоку.
Зазвичай процес виглядає так: витік у ритейлера дає імʼя, дату народження, електронну пошту й адресу. Інші витоки додають облікові дані, номери телефонів та ідентифікатори. Публічна інформація — профілі в соцмережах, відомості про місце роботи, родичів — додає контексту. У результаті виходить збагачений профіль особи: більше ідентифікаторів і вища точність під час зіставлення записів.
В Україні найпоширеніший сценарій — дзвінки нібито від служби безпеки банку. Кіберполіція попереджає, що мета таких дзвінків — виманити дані платіжної картки або паролі до онлайн-банкінгу, і радить у разі сумнівів самостійно передзвонити до служби підтримки свого банку.
Як захиститися
Насторожувати має будь-який неочікуваний дзвінок чи повідомлення, навіть якщо співрозмовник знає багато особистих подробиць: обізнаність ще не доводить, що на звʼязку справді банк.
Мур радить скорочувати обсяг даних, які залишаються в мережі.
Вказати іншу дату народження на сайтах із низьким ризиком — це спосіб зменшити вразливість, але ще краще взагалі не заповнювати необовʼязкові поля з персональними даними. Для онлайн-покупок варто також завести окрему електронну адресу: якщо вона потрапить у витік, від неї можна просто відмовитися й почати з чистого аркуша.
Франсуа нагадує, що для виконання замовлення магазину потрібні лише дані платіжної картки та адреса доставки. Виняток — товари з віковими обмеженнями: для їх купівлі вік, імовірно, доведеться підтвердити.
Строго кажучи, справжні дату народження та імʼя потрібно вказувати лише там, де їх звіряють з офіційними реєстрами й використовують для встановлення особи: у банку чи в іншого кредитора, у податковій, в органах, що видають посвідчення водія та паспорти, під час перевірки права на працевлаштування, в офіційних повідомленнях поліції. У цих системах дата народження слугує ключем. Магазин до них не належить.
В українських реаліях до цього переліку належать банки та інші фінансові установи, податкова, державні сервіси на кшталт «Дії», а також установи, що видають документи. Вигадані дані там неприпустимі: від них залежить ідентифікація особи.
Найкраще, за словами Франсуа, залишати поле дати народження порожнім. Якщо це неможливо, він радить вказувати в усіх магазинах ту саму умовну дату, наприклад перше число місяця народження, щоб її не забути.
Якщо магазин уже зберігає справжню дату народження, закон дає інструменти. Стаття 8 Закону «Про захист персональних даних» гарантує право знати мету обробки своїх даних, вимагати їх зміни або знищення, якщо вони обробляються незаконно чи є недостовірними, відкликати згоду на обробку, а також скаржитися Уповноваженому Верховної Ради з прав людини або до суду.
За матеріалами The Guardian.
