Для кого: для тех, кто получил или может получить уведомление об утечке данных от национального или местного государственного органа, и для их семей. Также для тех, кто управляет государственными информационными системами или работает в компаниях, выполняющих заказы государства. В статье сравниваются четыре случая на основе собственных уведомлений и FAQ ведомств, официальных пресс-релизов правительств, а также новостных материалов со ссылками на официальных лиц. Техники атак не рассматриваются.
Прежде всего: если госорган прислал вам уведомление об утечке
Если вы искали информацию об одном из этих инцидентов, скорее всего, вы хотите понять, затронуты ли вы и что делать. Эти шаги основаны на том, что сами ведомства сообщают людям.
Не пользуйтесь номерами и ссылками из уведомления; проверяйте официальный сайт ведомства
Французская DGFiP указывает в своём FAQ, что уведомление «не содержит прямой ссылки на ваш налоговый кабинет и не запрашивает конфиденциальную информацию». Латвийская CSDD попросила людей проверять информацию на официальном портале e.csdd.lv и создала на своём сайте отдельный раздел, посвящённый инциденту.
Иными словами, добросовестные ведомства отказываются от того, чтобы вы действовали по ссылкам из уведомлений. Проверяйте через официальный сайт, адрес которого вы вводите сами, или основной телефон, который вы находите самостоятельно.
Выясните, какие данные утекли, и заблокируйте злоупотребления каждым номером
От того, что утекло, зависит, что делать. Если был затронут ваш номер социального страхования, установите заморозку кредитной истории в Equifax, Experian и TransUnion (это бесплатно, действует до её снятия, по данным Федеральной торговой комиссии) и получите IRS IP PIN — шестизначный номер, который не даёт подать налоговую декларацию с вашим SSN и меняется каждый год.
В случае во Франции, где речь шла об идентификаторах налогоплательщика и сведениях о доходах, DGFiP рекомендует проверить в личном кабинете impots.gouv.fr реестр банковских счетов на ваше имя (FICOBA) и найти счета, которые вы не открывали.
Усильте защиту входа в налоговые и социальные аккаунты
DGFiP сообщает, что пароли impots.gouv.fr в этом инциденте не были украдены. В личном кабинете уже используется двухэтапная проверка: после пароля на почту отправляется шестизначный код. В FAQ сказано, что если пришёл код, который вы не запрашивали, нужно быстро сменить пароль.
Практический вывод: тот, кто контролирует почтовый ящик, на который приходит код, может войти в ваш налоговый аккаунт. Задайте этому ящику надёжный пароль и двухфакторную аутентификацию (см. Что такое двухфакторная аутентификация?).
Кладите трубку, если вам звонят от имени ведомства, и перезванивайте самостоятельно
FTC пишет, что «государственные органы никогда не будут звонить, писать, отправлять SMS или сообщения в социальных сетях, чтобы потребовать деньги или личные данные», и предупреждает, что определитель номера можно подделать. DGFiP повторяет, что налоговая служба никогда не запрашивает конфиденциальную информацию по электронной почте, SMS или телефону, а CSDD попросила людей особенно осторожно относиться к письмам и сообщениям, которые выглядят так, будто пришли от CSDD.
Тот, кто знает ваш адрес, доход, номер автомобиля или место военной службы, ещё не доказал, что он из ведомства (см. Что такое фишинг?).
Используйте право на доступ, чтобы узнать, что утекло
Если уведомления не пришло или оно расплывчатое, у вас есть право запросить собственные данные. В ЕС это статья 15 GDPR (по словам французского CNIL, она распространяется на государственные органы, бесплатна и требует ответа в течение одного месяца); в США — Закон о конфиденциальности 1974 года; в Японии — статья 76 Закона о защите персональной информации. CSDD сообщила, что в её разделе об инциденте описана процедура, по которой клиенты могут получить информацию о затронутых данных.
Признаки того, что контакт от добросовестного ведомства
- В уведомлении нет прямой ссылки на ваш аккаунт (DGFiP)
- Вас просят проверить на официальном сайте или в приложении (CSDD, DGFiP)
- Вас никогда не просят назвать пароли, коды подтверждения или номера карт
- Та же информация есть в уведомлении или FAQ на официальном сайте
Признаки мошенничества
- Звонок или сообщение с просьбой «подтвердить» номер, код или пароль
- Упоминание вашего адреса или дохода, чтобы казаться убедительным
- Требование оплаты, подарочных карт или криптовалюты
- Срочность или угрозы: «сегодня», «иначе вас арестуют»
Где проверить, по странам (открывайте сами)
США: заморозка кредитной истории и IP PIN через FTC (consumer.ftc.gov) и IRS (irs.gov). Сообщить о мошенничестве можно на ReportFraud.ftc.gov.
Франция: уведомление и FAQ на impots.gouv.fr; FAQ DGFiP указывает для вопросов номер 0809 401 401. Для помощи при мошенничестве — 17Cyber.gouv.fr; чтобы сообщить о нём — cybermalveillance.gouv.fr.
Латвия: e.csdd.lv и раздел об инциденте на сайте CSDD.
Иллинойс: IDHS сообщает, что в индивидуальных уведомлениях указаны бесплатные телефонные номера для вопросов.
Четыре случая 2026 года в общих чертах
Основано на уведомлениях ведомств, FAQ, официальных пресс-релизах правительств и новостях со ссылками на официальных лиц. Цифры приводятся только те, что назвали ведомства или официальные лица.
| Ведомство (страна) | Объявлено / уведомлены | Что утекло (по данным ведомства) | Люди (по данным ведомства / официальных лиц) | Способ проникновения (по данным ведомства) |
|---|---|---|---|---|
| Defense Manpower Data Center (DMDC) (Минобороны США) | Уведомление от 18 сентября 2026 (по сообщениям СМИ) | Незашифрованные персональные данные, включая SSN | 2,76 млн живых и 294 000 умерших (представитель Пентагона) | Уязвимость файловой системы обмена |
| Департамент социальных служб Иллинойса (IDHS) (США) | 2 января 2026 | Клиентские данные во внутренних картах планирования | Примерно 32 401 и примерно 672 616, в двух группах | Неверные настройки конфиденциальности на сайте с картами |
| Дирекция безопасности дорожного движения (CSDD) (Латвия) | 13 августа 2026 (цифры 18 августа) | Данные о платежных квитанциях начиная с 2008 года | Около 1,2 млн (CSDD) | Уязвимость веб-приложения, которое поддерживала CSDD (комиссия Министерства транспорта) |
| Главное управление государственных финансов (DGFiP) (Франция) | 14 августа 2026 | Идентификаторы налогоплательщиков, сведения о доходах и др. | Всего 678 000 физических и юридических лиц (пресс-релиз правительства) | Использованные под чужим именем учётные данные агента и уполномоченного третьего лица |
1. Неверная настройка
IDHS: внутренние карты оставлены открытыми на внешнем сайте с картами. Просмотревших установить нельзя
2. Уязвимая система
DMDC: файловая система обмена / CSDD: веб-приложение, которое она поддерживала
3. Учётные данные под чужим именем
DGFiP: учётные данные агента и уполномоченного третьего лица. Доступ прекращён; кража установлена позже
↓ Каким бы ни был способ проникновения, до граждан доходит
Обращения «от ведомства», которые знают ваш адрес, номера, доход, автомобиль или место военной службы
А поскольку это государство, просто перестать пользоваться услугой нельзя
Четыре инструмента, которые есть у граждан
Проверка официальных сайтов / защита налоговых и социальных аккаунтов (IP PIN, заморозка кредитной истории, почта для кодов) / самостоятельный перезвон / право на доступ
2 января 2026
Департамент социальных служб Иллинойса выпускает уведомление для СМИ о внутренних картах, которые были публично доступны. Ведомство сообщает, что обнаружило это 22 сентября 2025 года.16 июля
DMDC обнаруживает уязвимость файловой системы обмена (по уведомлению, как его передали СМИ).12–13 августа
Злоумышленник заявляет о незаконном доступе к системам DGFiP; DGFiP сообщает, что именно тогда была установлена кража данных.13 августа
CSDD объявляет, что подверглась кибератаке.14 августа
Министерство экономики и финансов Франции выпускает пресс-релиз о DGFiP (678 000).18 августа
CSDD сообщает, что были получены персональные данные 1,2 млн человек.18 сентября
DMDC направляет уведомления пострадавшим (по сообщениям СМИ). В тот же день Министерство транспорта Латвии публикует свою оценку инцидента в CSDD.Конец сентября
Представитель Пентагона сообщает СМИ количество людей, затронутых утечкой DMDC.
Что сказало каждое ведомство
Основано на уведомлениях ведомств, FAQ, официальных пресс-релизах правительств и новостях со ссылками на официальных лиц. Подрядчики и поставщики, которых привлекали ведомства, и причастные физические лица не называются.
- Что произошло (уведомление, по сообщениям СМИ)
- 16 июля 2026 года DMDC обнаружил уязвимость безопасности в файловой системе обмена. Как сообщается, небольшое число неавторизованных пользователей получали доступ к файлам на сервере, содержащем незашифрованные персональные данные, в период с октября 2025 года по 16 июля 2026 года
- Данные
- Номера социального страхования и как минимум ещё один элемент (имя, дата рождения, контактные данные, пол, раса или сведения о военной службе, например специальность). Зависит от человека
- Люди
- Представитель Пентагона сообщил СМИ, что затронуты 2,76 млн живых и 294 000 умерших человек
- Реакция
- Уязвимость устранена, система восстановлена. По данным уведомления, нет признаков того, что информацию использовали неправомерно. Предлагается 12 месяцев бесплатного мониторинга кредитной истории
- Что произошло
- 22 сентября 2025 года IDHS обнаружил, что внутренние карты планирования, которые его сотрудники создали на сайте с картами, были публично доступны из-за неверных настроек конфиденциальности. Карты предназначались для внутреннего использования, например для решений о том, где открыть новые местные отделения
- Кто и когда
- Примерно 32 401 клиент Управления реабилитационных услуг (открыто доступно с апреля 2021 года по сентябрь 2025 года) и примерно 672 616 получателей Medicaid и программы Medicare Savings Program (с января 2022 года по сентябрь 2025 года)
- Данные
- Для первой группы: имена, адреса, номера дел, статус дела, источник направления и др. Для второй: адреса, номера дел, демографические данные и название программы медицинской помощи, без имён получателей
- Реакция
- Настройки всех карт изменены в период с 22 по 26 сентября 2025 года, принята политика, запрещающая размещать данные на уровне клиентов на публичных сайтах с картами. Ведомство сообщает, что сайт с картами не смог определить, кто их просматривал, и не знает о каком-либо неправомерном использовании
- Что произошло (13 августа)
- Сообщила, что за выходные подверглась сложной кибератаке; злоумышленники частично получили доступ к ИТ-системам и получили исторические данные о платежных квитанциях за услуги CSDD. Атаку остановили совместно с CERT.LV, о ней проинформированы органы власти, включая Государственную инспекцию данных. По её словам, логины и пароли клиентов затронуты не были
- Масштаб (18 августа)
- Персональные данные 1,2 млн человек из квитанций, датируемых 2008 годом: личный идентификационный номер или регистрационный номер компании, имя или название компании, суммы и даты платежей, регистрационные номера транспортных средств и адреса (не во всех случаях полные). По сообщениям, номера телефонов и адреса электронной почты скомпрометированы не были
- Оценка (18 сентября)
- Комиссия Министерства транспорта установила, что уязвимость веб-приложения, которое поддерживала CSDD, позволила получить первоначальный доступ. Масштаб оценён примерно в 1,15 млн физических лиц и до 200 000 юридических лиц. Среди прочего рекомендовано пересмотреть сроки хранения данных и улучшить контракты с аутсорсинговыми службами и контроль над ними
- Дальше
- Очные услуги и e-CSDD продолжают работать
- Что произошло
- Злоумышленник заявил о краже 12 и 13 августа 2026 года. По пресс-релизу правительства, неправомерный доступ в июне и июле опирался на использованные под чужим именем учётные данные агента DGFiP и уполномоченного третьего лица. DGFiP прекратила доступ при обнаружении, но, по её словам, проверки на тот момент не показали, что данные были похищены
- Люди
- Всего 678 000 физических и юридических лиц (пресс-релиз). В более поздних FAQ указано чуть более 350 000 физических лиц и чуть более 250 000 юридических лиц
- Данные (физические лица)
- Идентификатор налогоплательщика, сведения о гражданском состоянии, почтовые, телефонные и электронные контакты, налоговая ситуация (семейное положение, иждивенцы, количество долей, справочный налогооблагаемый доход, ставка удержания), а также список сообщений, которыми обменивались через impots.gouv.fr. Для менее 250 человек просмотрено и содержание сообщений (вложения не просматривались). Также просмотрены данные кадастра об адресах и площадях объектов недвижимости
- Реакция
- Прекращён доступ для использованных учётных записей агентов, превентивно закрыт доступ к чувствительным системам. Дело передано в CNIL, подана жалоба. Усилена защита налоговых аккаунтов затронутых людей, в ближайшие месяцы ведётся тщательное наблюдение за изменениями адреса или банковских реквизитов. Личные и профессиональные кабинеты impots.gouv.fr и пароли не скомпрометированы, сообщает ведомство
Как читать цифры
Цифру DMDC назвал представитель Пентагона в разговоре с СМИ; при проверке этот сайт не нашёл публичной страницы уведомления Минобороны США. CSDD объявила 1,2 млн человек 18 августа, а в оценке Министерства транспорта от 18 сентября указано примерно 1,15 млн физических лиц и до 200 000 юридических лиц.
DGFiP разбила цифру 678 000 из пресс-релиза на физические и юридические лица в своих FAQ. Эта статья не ранжирует четыре случая по степени их «серьёзности». Кроме того, DGFiP сообщила, что 17 августа была найдена техническая уязвимость на портале выморочного имущества, содержащем только общедоступные данные.
Мнение этого сайта: когда от ведомства нельзя отказаться, ваши инструменты — это законные права и меры, блокирующие злоупотребления
Когда частный сервис допускает утечку ваших данных, большинство людей думает о закрытии аккаунта. С налоговой службой, ведомством социальных выплат, водительскими правами и регистрацией транспорта или сведениями о военной службе так не получится. При этом в четырёх случаях утекли многолетние записи (квитанции CSDD с 2008 года, карты IDHS с 2021 года) и даже записи людей, которые с тех пор умерли (294 000 умерших в случае DMDC).
Поэтому со стороны гражданина работают не переход к другому поставщику, а два инструмента. Первый — права: используйте право на доступ, чтобы узнать, что хранится и что утекло. Второй — меры, которые блокируют злоупотребления там, где утёкший номер может быть использован: новые кредиты, налоговые декларации, ваш налоговый аккаунт. Это IP PIN, заморозка кредитной истории и защищённая почта для кодов подтверждения.
Как показывает случай IDHS, некоторые утечки происходят так, что невозможно узнать, кто видел данные. Ждать, пока вы найдёте доказательства злоупотребления, по мнению этого сайта, слишком поздно.
Статьи этого сайта о связанных случаях того же года
Другие случаи с государственными и публичными организациями подробно разобраны в отдельных статьях, поэтому здесь они не повторяются.
- Сайт для заявлений на удостоверения личности и водительские права во Франции (ANTS / France Titres): список людей с незавершённым оформлением документов и как распознать поддельные сообщения ANTS → Утечка France Titres (ANTS)
- Companies House в Великобритании: ошибка, которая позволяла авторизованным пользователям видеть данные директоров других компаний → Ошибка WebFiling в Companies House
- Цифровое агентство Японии (GSS): проникновение в общую рабочую среду сотрудников госорганов через уязвимость VPN → Утечка в Цифровом агентстве и как защищать VPN
- Правительство Австралии: ИИ-агент получил доступ к непубличным файлам на статистическом портале, а уведомление пришло на общий почтовый ящик → Случаи несанкционированного доступа ИИ-агентов
Для тех, кто управляет государственными системами или работает на государство: первый шаг для каждого способа проникновения
1. Неверные настройки: составьте список области общего доступа для каждого внешнего сервиса
Случай IDHS произошёл на сайте с картами, то есть во внешнем сервисе, который редко управляется как информационная система. Исправлением ведомства стала политика, согласно которой клиентские данные не размещаются на публичных картах.
Первый шаг — составить список внешних SaaS-инструментов, которые используют сотрудники (карты, формы, общие таблицы, файловый обмен), и найти всё, что настроено как «доступ по ссылке для всех» или «публичный». В таких сервисах вы можете никогда не узнать, кто видел данные, поэтому единственный вариант — предотвращение.
2. Уязвимые системы: сколько лет незашифрованных данных хранится в ваших файловых ресурсах?
Случай DMDC связан с файловой системой обмена; случай CSDD — с веб-приложением, которое поддерживала дирекция. В общем, одной скорости установки исправлений недостаточно.
Проверьте, хранятся ли в файловых ресурсах незашифрованно номера, которые людям нельзя изменить, например SSN, и за сколько лет там хранятся записи. Именно это лежит в основе рекомендации комиссии Министерства транспорта пересмотреть сроки хранения данных в CSDD. О защите периферийных устройств и программного обеспечения рассказано в статье о защите вашего VPN.
3. Учётные данные под чужим именем: требуйте от сотрудников и уполномоченных третьих лиц одинакового уровня защиты
В случае DGFiP правительство утверждает, что под чужим именем были использованы учётные данные как агента, так и уполномоченного третьего лица. В государственных системах есть учётные записи людей, которые не являются сотрудниками: подрядчиков и специалистов, действующих от имени граждан. Первый шаг — требовать для учётных записей не-сотрудников такой же устойчивой к фишингу многофакторной аутентификации (ключи доступа или ключи безопасности FIDO2), как и для сотрудников, и ограничивать то, что каждый видит, рамками задачи (см. Что такое ключ доступа?).
Проверяйте «доступ прекращён» и «ничего не вынесено» отдельно
DGFiP сообщает, что, когда обнаружила и прекратила неправомерный доступ, ещё не могла определить, были ли данные похищены. В общем случае отключить учётную запись и установить, сколько записей она прочитала и отправила наружу, — разные задачи. Для второй задачи фиксируйте сколько записей каждая учётная запись запрашивает в день и подавайте сигнал тревоги, когда число превышает кратное обычному, начиная с наиболее чувствительных данных.
Если вы затронуты: ближайшая опасность — это «ведомственный» контакт, который следует за уведомлением
Во всех четырёх случаях утекли сведения, которые должны знать только вы: адреса, идентификационные номера, доходы, номера автомобилей, сведения о военной службе. Этого достаточно, чтобы построить убедительные звонки, сообщения и письма.
Если кто-то просит код, пароль или банковские реквизиты от имени «компенсации», «возврата налога» или «обновления регистрации», положите трубку и перезвоните по номеру, который вы сами нашли на официальном сайте ведомства. FAQ DGFiP советует сохранять доказательства (сообщения, адреса сайтов, скриншоты), если вы подозреваете мошенничество.
Источники (публичные документы)
Факты в этой статье основаны на официальных уведомлениях и публичных документах, перечисленных ниже, а также на новостных материалах со ссылками на официальных лиц. Цифры приводятся только те, что назвали ведомства, правительства или официальные лица; оценки СМИ и предположения о нераскрытых причинах не использовались. Подрядчики и поставщики описаны только по роли.
- Illinois Department of Human Services, «Notice to the Media from Illinois Department of Human Services – Incident Involving Protected Health Information» (2 января 2026) — idhs.prezly.com
- CSDD, «CSDD saskārusies ar kiberdrošības incidentu» (13 августа 2026, официальное объявление, опубликованное в Latvijas Vēstnesis) — lvportals.lv
- CSDD, «CSDD mājaslapā izveidota vienota sadaļa par kiberdrošības incidentu» (21 августа 2026) — lvportals.lv
- Министерство транспорта Латвии, «Pabeigts CSDD kiberincidenta izvērtējums» (18 сентября 2026) — lvportals.lv
- Латвийская государственная вещательная компания LSM (на английском): объявление CSDD от 18 августа (1,2 млн, квитанции с 2008 года) — eng.lsm.lv / назначение временного правления (20 августа) — eng.lsm.lv
- DGFiP, «Vol de données suite à des accès illégitimes au système d'information de la DGFiP» (14 августа 2026, обновлено 14 сентября) — impots.gouv.fr / FAQ для физических лиц (24 августа 2026) — impots.gouv.fr (PDF) / FAQ для организаций — impots.gouv.fr (PDF) / «Fuites de données : comment réagir ?» — impots.gouv.fr (PDF)
- Министерство экономики и финансов Франции, пресс-релиз № 953, «Accès illégitimes au système d'information de la Direction générale des Finances publiques» (14 августа 2026) — presse.economie.gouv.fr
- DGFiP, «FAQ : Réussir l'authentification en deux étapes» — impots.gouv.fr (PDF)
- CNIL, «Le droit d'accès : connaître les données qu'un organisme détient sur vous» — cnil.fr
- Новостные материалы (содержание уведомления DMDC и цифры, названные представителем Пентагона): Military Times (24 сентября 2026) — militarytimes.com / Federal News Network — federalnewsnetwork.com / Stars and Stripes (29 сентября 2026) — stripes.com
- Federal Trade Commission, «What To Know About Credit Freezes and Fraud Alerts» — consumer.ftc.gov / «How To Avoid a Government Impersonation Scam» — consumer.ftc.gov
- Internal Revenue Service, «Get an identity protection PIN» — irs.gov
- Министерство юстиции США, Управление по вопросам конфиденциальности и гражданских свобод, «Privacy Act of 1974» — justice.gov
- Япония, Закон о защите персональной информации (статья 76, право требовать раскрытия) — e-Gov (на японском)
История обновлений
30.09.2026: первая публикация. Основано на уведомлении IDHS, объявлениях CSDD и Министерства транспорта Латвии, уведомлении DGFiP и FAQ, пресс-релизе министерства финансов Франции, новостях об уведомлении DMDC и цифрах представителя Пентагона, а также на публичных рекомендациях FTC, IRS, CNIL и Министерства юстиции США. Статья будет обновлена, если ведомства опубликуют больше сведений, например официальную страницу уведомления DMDC.
Читайте далее
- Похожая ситуация в Японии: e-Tax Японии показал чужие декларации о налоге на дарение (79 плательщиков)
- Ещё один случай с госорганом: DC Medicaid (скрытые данные в опубликованных отчётах)
- Утечка с французского государственного сайта: Утечка France Titres (ANTS) и поддельные сообщения ANTS
- Ошибка британского реестра: Ошибка WebFiling в Companies House и что должны делать директора
- Случай японского госоргана: Утечка в Цифровом агентстве Японии и как защищать VPN
- ИИ-агенты на государственных сайтах: Случаи несанкционированного доступа ИИ-агентов (2026)
- Одностраничный чек-лист для США (заморозка кредитной истории, IP PIN): Утечка DentaQuest и что должны делать участники
- Термины: Что такое фишинг? / Что такое GDPR?
- Другие инциденты 2026 года: Список утечек и кибератак (Япония и мир)