Утекли паспорта и СНИЛС пользователей "КриптоПро".

Если вы используете электронную цифровую подпись (ЭЦП и УКЭП) в России, то почти наверняка знаете софт компании “КриптоПро”. Для людей вне темы: это криптопровайдер и ПО для создания и проверки цифровых подписей на документах.

Как подмечают пользователи, “КриптоПро” - фактически монополист рынка. Другие решения есть, но именно о “КриптоПро” рассказывают на “Госуслугах”.

Мы обнаружили утечку данных пользователей “КриптоПро” в одном из популярных ботов для пробива.

🚨Почему это важно

Электронные подписи используются в документообороте - для подписания контрактов, доверенностей и заявлений. А также для взаимодействия с органами власти: налоговой, госзакупками, системами межведомственного взаимодействия. Потенциально, в сеть могли попасть актуальные данные всех пользователей одного из самых популярных инструментов ЭП в стране.

🪪Какие данные слиты

Утечка содержит ФИО, дату рождения, паспортные данные и СНИЛС (нужен для регистрации ключа подписи). Кроме того в ней указано, какую версию “КриптоПро” применяет пользователь: ПО или аппаратный модуль безопасности (HSM).

Заявленная дата утечки - 2026 год. Для проверки мы нашли в базе трех людей, писавших в соцсетях об использовании “КриптоПро”. При этом в базу не попал человек, отозвавший сертификат ЭП в 2024 году.

Судя по названию базы, утечка произошла с сайта “КриптоПро”: вероятно, там данные людей, купивших ПО или аппаратный модуль напрямую у компании. Против этой версии говорит наличие паспортных данных и СНИЛС.

Тут есть несколько вариантов: либо продавцы утечки обогатили ее информацией из других источников, либо произошел взлом удостоверяющего центра “КриптоПро”, который выпускает и обслуживает сертификаты цифровых подписей.

👥С кем связана “КриптоПро”

Компания была основана в 2000 году и была частью холдинга “Терна” предпринимателей Сергея Перовского и Михаила Свищева. У истоков холдинга стоял действующий депутат Госдумы Александр Бабаков.

Он попал в парламент в 2003 году от партии “Родина”, где быстро стал вторым человеком после Дмитрия Рогозина. Бабаков сменил Рогозина на посту председателя партии после скандала из-за предвыборного ролика на тему миграции. Суммарно Бабаков провел в Госдуме больше 17 лет и около 5 лет - на посту сенатора от Тамбовской области.

В том же 2003 году, когда Бабаков вступил в “Родину”, холдинг “Терна” стал управляющей компанией военно-экологического сотрудничества в Арктике (АМЕС). Через “Терну” прошли десятки миллионов долларов, выделенные США, Великобританией и Норвегией на переработку отработанного ядерного топлива и утилизацию старых атомных подлодок.

Кроме того, Бабаков работает спецпредставителем Путина по связям с соотечественниками за рубежом. В этой роли он, по данным французских СМИ, помогал Марин Ле Пен получить кредит на €9 млн. В 2022 году Минюст США обвинил Бабакова в нарушении санкций и попытке сделать гражданина США агентом России.

🏦Окологосударственный бизнес

“КриптоПро” - крупнейший поставщик криптографии: среди их клиентов ФСБ, ФНС, ФТС, МВД, Минцифры, Центробанк, Казначейство, Росреестр и ДИТ Москвы, а также российские банки, включая “Сбер”, "Альфу", "Газпромбанк" и "ПСБ". С 2011 года компания получила госконтракты на 1,1 млрд рублей - и это только попавшее в госзакупки.

Эти технологии требуют многочисленных сертификатов от ФСБ. Спецслужба участвовала в деятельности компании с самого старта: “КриптоПро” была учреждена при участии научно-технического центра “Атлас”, тогда подконтрольного ФСБ. Кроме того, в 2002 году “Коммерсант” писал, что в состав учредителей и менеджеров “КриптоПро” входили действующие офицеры ФАПСИ - “в немалых числах”.

Решения “КриптоПро” встроены в Единую биометрическую систему. Компания также защищает данные в биометрическом эквайринге “Сбера” - той самой “Оплате улыбкой”, установленной на 1,6 млн касс в России.

Если среди читателей этого канала есть любители расплачиваться лицом, помните, какой компании вы доверяете свою улыбку.

Илья Шуманов, управляющий партнер расследовательского бюро TriTrace Investigations