как подделывают qr код вакцинации
Предлагают купить сертификат о вакцинации от коронавируса. Стоит ли связываться и чем это грозит?
В СМИ говорят, что нас настигла очередная волна коронавируса. В некоторых регионах людей снова закрыли, а еще повсеместно продвигают вакцинацию, даже обещают за нее всяческие бонусы.
Думаю сделать сертификат о вакцинации без прививки. Читал, что такие сертификаты можно оформить даже официально, через врачей. Расскажите, смогу ли я использовать такой сертификат как настоящий? Пустят ли меня по нему на Кипр или в Грецию? Что будет, если узнают, что это подделка? А смогут ли вообще узнать?
Сразу скажу: использовать такой сертификат вы можете как угодно. Возможно, кого-то им даже получится обмануть. Но вот коронавирус поддельным сертификатом перехитрить точно нельзя: от инфекции он в отличие от реальной вакцинации защитить не может.
При этом и продавцы, и покупатели поддельных сертификатов могут стать фигурантами уголовных дел и лишиться свободы.
Как победить выгорание
Как подделывают сертификаты о вакцинации
Фальсификация записей о вакцинации в медицинских картах, санитарных книжках и сертификатах появилась задолго до коронавируса. Многие медицинские работники занимались этим еще много лет назад: делали соответствующие записи, а вакцины выбрасывали. Когда в мире нет пандемии, на фальсификацию закрывали глаза и за серьезное нарушение не считали.
Стоимость такой услуги иногда не превышала стоимости плитки шоколада или коробки конфет. Мне много лет назад предложили заполнить прививочный сертификат просто так, по знакомству. Мотивировали тем, что так я сэкономлю свое время — не придется стоять в очереди на прививки. Правда, я еще тогда отказался от подобных услуг.
Прививки хотят делать не все — и уже появился черный рынок поддельных и фальсифицированных сертификатов и справок. Мошенники обещают сделать их в любом виде: с проводкой через госуслуги и без нее. А еще за деньги готовы оформить отрицательный ПЦР-тест.
Могут выдать даже справку об отсутствии контактов с вирусом — видимо, за подписью самого вируса. Такого документа не существует в природе — есть справка об эпидокружении, или об отсутствии контактов с инфекционными больными. Поэтому подобные заявления сразу вызывают сомнения в компетентности и возможностях продавцов.
Заказы принимает менеджер до 23:00, а доставить справку заказчику могут до 01:00
Как могут узнать, что сертификат ненастоящий
Проще всего выявить сертификат, который не проводится через госуслуги: QR-код, изображенный на таком сертификате, можно сканировать с помощью приложения «Госуслуги СТОП коронавирус». Это приложение бесплатное, и воспользоваться им может кто угодно: регистратор в медучреждении, работодатель, охранник на входе в ресторан или сотрудник пограничного контроля в аэропорту.
Приложение «Госуслуги СТОП коронавирус»:
iOS,
Android
Полные данные человек, который проверяет сертификат, не увидит — приложение показывает только первые буквы фамилии, имени и отчества, дату рождения, первые и последние цифры номера паспорта. Персональные данные при этом не разглашаются. Но достаточно сверить эту информацию с паспортом и понять, действительно человек вакцинировался или заплатил 1200 Р за лист бумаги.
Все, что нужно для проверки, — смартфон с установленным приложением. Если выяснится, что сертификат поддельный, об упрощенном въезде за границу и прочих бонусах, доступных только вакцинированным, уже не будет идти речи.
ПЦР-тесты и справки об отсутствии контактов с заболевшими это приложение не проверяет, но, как мне кажется, возможность подобных проверок — не более чем вопрос времени.
Сканировать QR-код можно при помощи красной кнопки в правом нижнем углу
Инструменты у правоохранительных органов есть. Как вариант, они могут находить предложения о продаже сертификатов в интернете и проводить проверочные закупки — покупать у подозреваемых услугу по внесению информации о вакцинации в базу данных без прививки. Для медицинского работника это будет означать, что после передачи денег в кабинет войдет следователь с понятыми, разъяснит права и изымет меченые купюры.
Для тех, кто таким образом получил сертификат ранее, это тоже не повлечет ничего хорошего. Вряд ли медики будут молчать на допросах: им выгоднее сотрудничать со следствием, чтобы смягчить наказание. Поэтому, вероятно, они расскажут обо всех своих клиентах. В результате поддельные сертификаты, справки и тесты аннулируют, и информация о них исчезнет с портала госуслуг. И человек, который заплатил деньги, останется с бумагой, которая ничего не дает.
Возможен еще один вариант развития событий: покупатель переводит деньги на счет неизвестного продавца и в результате не получает ничего — продавец «сертификатов с гарантией и проводкой по всем базам» просто исчезает.
Я пообщался с продавцами сертификатов и могу предположить, что на госуслуги они никакие данные не вносят. Сертификат предлагают доставить курьером, на такси или даже бросить в почтовый ящик. При этом сертификат, информация о котором якобы будет отображаться на госуслугах, судя по всему, в личном кабинете на портале не появится: такого способа доставки у продавцов нет.
Когда я спросил о гарантиях, мне дали ссылку на книгу отзывов, где благодарные клиенты хвалят продавцов поддельных сертификатов и справок. Оказалось, список документов, которые можно сделать, невероятно широк: кроме сертификатов и тестов ПЦР на продажу предлагают дубликаты СТС, удостоверения прессы «с проводкой по базам» и любую другую полиграфическую продукцию.
У меня сложилось впечатление, что продавцы сертификатов — это либо коллеги героев, либо сами герои статьи «Что такое „зеркальные“ документы и чем они опасны». В ней мы подробно рассказали, что их товар — низкокачественная подделка, и объяснили, чем такая продукция отличается от настоящей.
Что грозит покупателям фальшивых сертификатов о вакцинации от COVID-19
Расскажу об ответственности за использование поддельного сертификата о вакцинации от коронавируса именно в России, по законам РФ. Если владелец сертификата попадется за рубежом, отвечать придется по законам той страны, где выявят подделку, — и наказание вполне может оказаться строже российского.
В России за приобретение, хранение и использование заведомо поддельных официальных документов, которые предоставляют права или освобождают от обязанностей, грозит ограничение свободы, принудительные работы либо лишение свободы на срок до года.
В данном случае состав преступления не зависит от того, получил человек права, которые положены только вакцинированным, или нет. Достаточно купить фальшивый сертификат или предъявить его.
Как наказывают продавцов поддельных сертификатов
На 20 июня 2021 года МВД сообщало, что только в Москве возбуждено 24 уголовных дела, связанных с фиктивными сертификатами о вакцинации.
Из них 23 дела возбуждено по статье 327 уголовного кодекса — по факту изготовления или оборота поддельных документов. Это означает, что справки и сертификаты ни в какие базы данных не вносились, медицинские учреждения к этим справкам никакого отношения не имели.
Одно уголовное дело было возбуждено по статье 159 уголовного кодекса — мошенничество. Это значит, что покупатель никаких справок и сертификатов не получил, а продавцы исчезли вместе с его деньгами.
Три уголовных дела были направлены в суд, то есть по ним не только установили подозреваемых, но и собрали доказательства их вины.
Что в итоге
Вы можете не верить в вакцинацию, и прививаться вас никто не обязывает. Только вот за отказ от прививки уголовной ответственности нет, а за использование поддельных документов есть. Отказ от поездки за границу или поход в ресторан не стоит менять на судимость и риск заразить окружающих.
Если считаете, что прививка не защитит вас от коронавируса и сделает только хуже, советую прочитать эти статьи — возможно, они вас переубедят:
Я сам привился пять месяцев назад — и никаких побочных эффектов. На мой взгляд, этот тот случай, когда польза превышает риск, и уж точно привиться лучше, чем отправиться в госпиталь лечиться от коронавируса или стать фигурантом уголовного дела, если купить поддельный сертификат о вакцинации.
Что делать? Читатели спрашивают — эксперты Т—Ж отвечают
Что будет, если подделать сертификат о вакцинации или QR-код
С помощью подделок мошенники запрашивают персональные данные. Это опасно
После того, как власти российских регионов объявили о принудительной вакцинации сотрудников сфер услуг, транспорта, здравоохранения и других категорий, стало расти количество поисковых запросов о покупке сертификата вакцинированного. К 24 июня по России показатель уровня интереса к теме достиг 100 баллов — наивысшего уровня популярности.
Чаще всего информацию ищут в Липецкой области. Замыкает пятерку лидеров Москва, где ограничения вводились в первую очередь из-за ежедневно растущего количества случаев выявленной инфекции. При этом сервисы объявлений оперативно приступили к блокировке предложений о продаже сертификатов о вакцинации от коронавируса. Несмотря на это, в поисковиках и закрытых группах в социальных сетях и мессенджерах до сих пор появляются соответствующие объявления.
После того, как в Москве и Московской области объявили о выдаче QR-кодов для посещения заведений общепита, которые показывают, переболел человек, привился или имеет отрицательный ПЦР-тест, действующий три дня, увеличилось количество запросов с пометкой «QR-код».
Практически одновременно с новыми требованиями о предъявлении QR-кодов эксперты по информационной безопасности заметили, что в интернете активно распространяется схема получения кода в обход официальной системы. Настоящий QR-код можно получить с помощью медицинской карты на портале mos.ru, либо на сайте госуслуг, либо через приложение ЕМИАС. ИНФО, либо в поликлинике. В каждом случае необходимо предоставить паспортные данные для идентификации личности.
Мошенники, занимающиеся подделкой QR-кодов, также запрашивают паспортные данные, но могут использовать их в преступных целях, вплоть до оформления кредита в банке. Давид Григорян, старший разработчик программных решений для мобильных технологий, рассказывает, что в пространстве GitHub уже опубликованы проекты, с помощью которых можно самостоятельно генерировать поддельный QR-код. «Код содержит личную информацию о человеке: ФИО, дату рождения, паспортные данные. Если применить эту структуру для создания QR-кода и перенаправлять пользователя, считывающего его, на отдельный сервер, система покажет, что человек привит».
Эксперт подчеркивает, что подобные бреши в системе вызваны спешкой и отсутствием возможности тщательно проработать все правовые аспекты для урегулирования компрометации QR-кодов.
Михаил Кондрашин, технический директор компании Trend Micro в РФ и СНГ, рассказывает, ожидать от системы QR-кодов высокого уровня защищенности рано. «На входе в ресторан предлагается проверять ссылку на сайт, демонстрирующий статус вакцинированного. Для любого подкованного в IT-технологиях пользователя сделать свой собственный пропуск в любой ресторан не составит труда. Внимательным проверяющим стоит обращать внимание на адрес сайта, куда будет вести ссылка из QR-кода. Если адрес будет сильно визуально отличаться от “immune.mos.ru”, самое время заподозрить неладное».
С ним согласен и Алексей Пронин, директор по информационной безопасности IT-компании Osnova. Он объясняет, что злоумышленники подделывают не сам QR-код, а информацию, которая в нем зашита. В случае с сертификатами о прививке или статусе переболевшего в QR кодируется URL-адрес immune.mos.ru, или любой другой, в зависимости от региона, с уникальным идентификатором. Когда сотрудник кафе сканирует QR-код, веб-сайт отображает некоторую маскированную информацию о лице, прошедшем вакцинацию.
«Сейчас злоумышленники размещают в сети клоны официальных страниц, которые имитируют отображение сертификатов с модифицированной информацией. Опознать сайт-подделку довольно просто: адрес сайта, куда ведет ссылка из QR-кода, будет отличаться от корректного — например, 1immune.mos.ru, gosuslygi.ru или любой другой вариант».
В пресс-службе компании Доктор Веб отмечают, что подделки срабатывают в том случае, когда проверка осуществляется камерой смартфона, а не специальным приложением.
За использование подделок россиянам грозит реальный срок
Несмотря на то, что среди россиян есть спрос на поддельные справки и QR-коды, немногие осознают всю тяжесть последствий от использования подобных противозаконных инструментов.
Евгений Фурин, практикующий юрист, автор блога «Юрист объясняет» обращает внимание, что если гражданин решит приобрести фальшивую медицинскую справку о том, что у него есть противопоказания к вакцинации, либо поддельный сертификат о пройденном курсе вакцинации, то его действия подпадают под ч. 3 ст. 327 Уголовного кодекса РФ. По этой статье полагается до одного года тюремного заключения.
Наказания не избежит не только покупатель, но и продавец и изготовитель подделки, при условии, что человек использовал заведомо сфальсифицированный документ — то есть заранее знал, что бумага поддельная, но всё равно использовал или даже собирался использовать её по назначению.
При этом фальсификацией считается не только поддельный документ, сделанный самостоятельно, но и бумага на оригинальном бланке, оформленная врачом. Если поддельный документ устанавливает юридический факт — завершение курса вакцинации, наличие противопоказаний — исходя из присутствия которого у человека появляются новые права или он освобождается от обязанностей, наказание не заставит себя ждать.
По словам эксперта, хотя электронный QR-код и не считается официальным электронным документом с точки зрения ст. 327 УК, поскольку он не подписан электронной подписью, это не значит, что за покупку поддельного кода гражданину ничего не грозит.
Ответственность по этой статье наступает в случае, если это повлекло массовое заболевание или угрозу его возникновения. Угроза распространения заболевания признается таковой, если она была реальной, но распространения не произошло в результате целенаправленных действий органов власти.
«Если человек зашел в заведение по поддельному коду, но никого не заразил и никаких негативных последствий не случилось, то привлечь его к уголовной ответственности нельзя. Но гражданина могут оштрафовать по ч. 2 ст. 6.3 Административного кодекса за нарушение действующих санитарных правил при угрозе распространения опасного заболевания на сумму до 40 тысяч рублей», — подытоживает Евгений Фурин.
Его коллега, Арам Татоян, управляющий партнер Reasons Law Firm, считает, что ситуация осложняется отсутствием единой практики по квалификации подобных случаев. «При покупке поддельного QR-кода ответственность сторон зависит от того, было ли у пользователя намерение приобрести поддельный QR-код, или сам ресурс был поддельным, имитирующим, например, сайт Госуслуг. Кроме того, найти автора объявления в даркнете будет весьма проблематично, на это потребуется время».
Евгений Суханов, директор департамента информационной безопасности компании Oberon, обращает внимание на то, что основным риском для пользователей остаются фишинговые рассылки, ссылки из которых ведут на точные копии официального онлайн-ресурса, на котором можно получить QR-код. «Это может быть максимально приближенный к оригиналу фейковый сайт или его часть, например, личный кабинет. Для собственной защиты необходимо избегать перехода по сомнительным ссылкам и всегда проверять цифровую подпись сайта и сертификат. Обычно во всех браузерах он отображается рядом с адресной строкой или подсвечивается валидное и защищенное соединение», — заключает эксперт.
Использование купленного сертификата о вакцинации или поддельного QR-кода грозит не только тюремным заключением и большим штрафом, но и дальнейшими, более жесткими, ограничениями. Решение проблемы лежит на поверхности: чтобы остановить пандемию и вернуться к привычной жизни, нужно вакцинироваться по настоящему.
В Москве ввели QR-коды. Как их подделывают, сколько стоят и что за это грозит
На любое действие следует противодействие. Это законы не только физики, но и социума. Поэтому нет ничего удивительного, что сразу после появления системы проверки QR-кодов в Москве появились масса способов обмана как самой процедуры, так и всей системы контроля.
Одни предостерегают от подделки QR-кодов и покупки сертификатов вакцинаций. Другие чуть ли не открыто хвалятся обратным. И только вакцинированные свободно заходят в кафе и МФЦ, наслаждаясь свободой.
Что напридумывали россияне в национальной гонке против неизбежного – вакцинации или болезни? И как на это реагируют власти? Все актуальные данные по QR-марафону в столице мы собрали в этом сжатом материале.
Кто может получить QR-код
Пример QR-кода в электронном сертификате вакцинации из Госуслуг.
◆ граждане, прошедшие вакцинацию. QR-код содержится в электронной версии сертификата о получении второго компонента вакцины от COVID-19 (или однокомпонентной вакцины), зарегистрированной в РФ
◆ граждане, получившие действующий отрицательный результат ПЦР-теста. С таким QR-кодом посетить заведение можно, если с момента готовности результата и его регистрации прошло не более 72 часов
◆ граждане, переболевшие коронавирусной инфекцией. QR-код может быть использован при посещении ресторана в течение шести месяцев с даты выздоровления.
Как работает проверка QR-кода в заведениях Москвы
Пример страницы, открывающейся при сканировании QR-кода.
1. Вы получаете QR-код:
► с помощью специального сервиса mos.ru/qr
► в поликлинике — обратитесь в регистратуру или распечатайте самостоятельно с помощью инфомата
► в приложении «Госуслуги СТОП Коронавирус» (App Store и Google Play). Авторизуйтесь под своей учетной записью (ЕСИА), выберите статус («здоров») и заполните анкету, затем сохраните QR-код на свой смартфон или сделайте скриншот
► на портале Госуслуги. Для этого авторизуйтесь под своей учетной записью (ЕСИА) и выберите в каталоге услугу «Вакцинация COVID-19»
2. Вы показываете код со смартфона (или распечатанный) в кафе. На него наводят камеру, переходят по предложенной кодом ссылке и видят: ваш статус, первые буквы ФИО, несколько цифр номера паспорта и полная дата рождения.
Где сейчас надо предъявлять QR-код
Пока только в помещениях и внутренних территориях кафе, ресторанах и заведениях общественного питания. Важный момент: это пока не распространяется на летние веранды, а также на заказы «на вынос».
Грубо говоря, если вы хотите присесть в помещении, чтобы поесть или выпить кофе, с вас должны спросить сертификат. Даже если зона питания размещена в супермаркете, от вас всё равно потребуют QR-код либо кассир, либо охрана.
Большинство кафе и ресторанов в Москве продолжают работать. Если у вас есть QR-код вакцинации, переболевшего или результата ПЦР, вы можете сесть в практически (или полностью) пустых залах там, где раньше днём всё было занято.
Однако во многих торговых центрах все места размещения на фудкортах закрыты и опечатаны. Некоторые заведения вообще закрыли помещения и оставили заказы только «на вынос», а также доставку. Поэтому даже с QR-кодом может получиться так, что сесть вам будет банально негде.
Некоторые заведения обходят запрет, формально не являясь организацией общественного питания. Но уже есть свидетельства, что Роспотребнадзор и полиция всё равно выписывают им предупреждения, после чего остается либо соблюдать ограничения, либо готовиться к закрытию после следующей проверки.
Как подделываются QR-коды
Группы, продающие сертификаты и QR-коды, есть даже в Telegram.
▪ Использование чужого, но настоящего QR-кода. Берётся чей-то код вакцинированного и выдаётся за свой.
Однако нередко (и с нарастающей частотой) помимо QR-кода у вас спрашивают паспорт. Данные на открывшейся странице подтверждения не совпадают, и вам отказывают в обслуживании.
▪ Генерация QR-кода на подставном сайте. Вы отдаёте свои данные неизвестно кому и получаете QR-код. При его сканировании смартфон перенаправляется на сайт, визуально копирующий страницу на Госуслугах, где указаны ваши данные и «подтверждается» факт вакцинации.
Правоохранительные органы и официальные лица объявили борьбу с этим методом и обещают наказание вплоть до уголовного тем, кто будет использовать такие коды. Теоретически, подставные сайты, куда перекидывают такие QR-коды, может заблокировать Роскомнадзор – и тогда все коды, ведущие туда, перестанут работать.
▪ Ложная прививка с «проведением» сертификата через Госуслуги. Цены в даркнете варьируются от нескольких тысяч до 15-20 тысяч рублей. Предложений масса также как в поисковиках, так и в мессенджерах, включая специализированные боты и группы. Мошенников среди них ожидаемо много, так как жаловаться клиенту в случае обмана абсолютно некому. Есть сообщения, что некоторые умудряются получать таким образом действительные записи о прививке в Госуслугах.
Незаконность этого метода очевидна. Участвующим в таких схемах грозит уголовное преследование. Сегодня прошла информация, что в Москве начали задерживать курьеров с бумажными версиями таких сертификатов.
Что грозит тем, кто использует поддельные QR-коды
Приобретение, хранение, перевозка в целях использования или сбыта либо использование заведомо поддельного сертификата как официального документа, предоставляющего права или освобождающего от обязанностей, карается уголовным наказанием до одного года лишения свободы.
Пока о таких случаях не сообщалось.
Что дальше будет с проходом по QR-кодам?
С учётом текущей ситуации с заболеваемостью коронавирусом, снятие этих условий в ближайшее время маловероятно. Власти Москвы не исключают, что рассматривают распространение проверки QR-кодов на другие сферы, включая транспорт. Но пока конкретных решений по этому поводу не принимали.
Поэтому пока QR-коды остаются актуальными для жителей и гостей столицы. Моё мнение по этому поводу – вместо того, чтобы ходить за ПЦР каждые три дня, лучше сделать прививку. Причём чем раньше, тем лучше: ведь QR-код вы получите только после второго укола двухкомпонентными вакцинами, а тот наступит не раньше двух недель после первого.
Места, где можно сделать прививку в Москве сейчас, мы ранее перечислили в отдельной статье.
Как я покупала сертификат о вакцинации. Расследование «Правмира»
«Все сделает наш человек из клиники»
Чтобы узнать, как работают мошенники, обращаюсь в один из популярных Telegram-чатов и для начала заказываю справку об антителах — на самом деле, не так важно, какой документ вам нужен, все схемы получения одинаковы.
В ответ менеджер просит меня написать ФИО на русском и английском языках, дату рождения, условную дату сдачи теста и город. По итогу справку обещают прислать в виде pdf-файла. Цена услуги — 1500 рублей.
На вопрос, «прокатит» ли она у меня на работе, менеджер заверяет, что «прокатит»: ее занесут в базу клиники, где будет сделан документ.
— Какой у вас город? — интересуется он.
— «Гемотест» будет лаборатория.
На мое недоумение о том, как фейковая справка сможет оказаться в базе «Гемотеста», дилер уверенно отвечает, что это будет делать их «человек» — сотрудник клиники.
Следуя такой логике, я предполагаю: если чат предоставляет столь шикарный сервис, у него свои люди будут по всей России.
— А если бы я была из Владивостока, тоже делал бы человек из клиники? — уточняю я.
Оказалось, что во Владивостоке у менеджера связей нет, можно было бы все равно сделать «Гемотест», как будто я сдавала анализы в Москве.
Дальше, как выяснилось, чат предлагает скидку, но при условии, что вы приобретаете три справки.
Мошенники пытались подделывать QR-код, но «Гемотест» его не распознает
— По подобным фактам возбуждались уголовные дела по ст. 327 УК РФ («Подделка, изготовление или оборот поддельных документов»). Нашими специалистами совместно с сотрудниками МВД были проведены контрольные закупки на сайтах, распространяющих подделки. Курьеры, доставившие поддельные справки, были переданы в органы МВД для дальнейшего выяснения всех обстоятельств, — рассказывает эксперт.
Лаборатория принимает обращения граждан, которым продали поддельные справки без прохождения теста на COVID-19. Недавний случай был в аэропорту Ростова-на-Дону: турецкие авиалинии продавали справки об отсутствии коронавируса улетающим гражданам за стойкой регистрации. По данному факту «Гемотест» также подал заявление.
— Мы не доверяем защиту наших справок и сертификатов визуальному оформлению документа — его очень легко сымитировать, — отмечает Федор Соколов. — Основная защита справки, выдаваемой лабораторией «Гемотест», — уникальный QR-код, который можно проверить только на официальном сайте компании. Такую справку в дополнение к стандартному бланку получает любой пациент, прошедший ПЦР-исследование или анализ на антитела.
В этом документе содержится ФИО пациента, дата рождения, адрес проживания, дата выполнения исследования и метод исследования, а также уникальный QR-код для проверки подлинности справки. Если результаты исследования есть в системе «Гемотеста», пользователь получит ответ «Справка действительна», и на экране будут отображаться только ФИО пациента и дата его рождения. Если нет — появится надпись «Справка недействительна» и предупреждение о том, что документ может являться подделкой.
— Мошенники пытались подделывать и QR-код, но «Гемотест» никогда не распознает такие справки — такие коды не содержат данных, известных только пациенту и лаборатории. Если пациент попытается проверить фальшивую справку через наш сайт, на экране появится надпись «Справка недействительна» и предупреждение о том, что документ может являться подделкой.
Хакеры или сотрудники клиник?
— Если они никак не защищены, то любую информацию можно добавить туда своими руками, и никто об этом не узнает. В истории будет видно, что данные были внесены с другого IP-адреса, но это вполне могут посчитать за какую-то ошибку. Так что либо это делает человек внутри самой системы, либо система уязвима извне, — резюмирует эксперт.
— Все айти-инструменты в этой сфере очень низкого качества. В основном средства вкладываются либо в медицинское оборудование, либо в зарплаты медработников, а защита баз данных остается очень слабой, поэтому за последние три года очень много баз данных, которые содержат учетные записи пользователей, были слиты в интернет, — говорит Давид Медведик.
Если все-таки данные о вакцинации заносят хакеры, то особенных навыков им здесь не нужно, считает Медведик.
Для продавцов фиктивных сертификатов технически сделать такую «работу» довольно просто, если они знают, как устроены базы данных и где они находятся.
— Хакеру достаточно написать скрипт, который будет эти данные обновлять. Вы им присылаете свои данные, они заполняют скрипт, нажимают одну кнопку — и получают от вас деньги. Они тратят несколько минут и выручают несколько тысяч. Этим может заниматься кто-то один. Но, скорее всего, в подобных схемах задействованы несколько людей, которые отвечают на входящие запросы, и есть человек, который эти данные заполняет и отправляет их скрипту, чтобы он обновил базу.
Посмотрев мою переписку в чате, эксперт увидел несколько вариантов развития событий. Первый — действительно есть человек, который просто работает в сети клиник. Второй — этим занимается хакер, который смог получить доступ к московским базам данных, а до Владивостока пока не добрался: либо там старые базы данных, либо он не знает, где они находятся. Третий вариант — в чате меня просто обманывают, и никто ничего в базы вносить не собирался.
— Распознать, кто занимается этим в Telegram, почти невозможно, — отмечает Давид Медведик. Конечно, если только не получится добыть личную информацию о менеджере и том, где он находится.
«Сертификат выдали, а вакцина ушла в раковину»
Когда человек вакцинируется, в его сертификат заносят серию и номер конкретного препарата. У государства есть вся информация о том, какие партии с какими номерами поступают в медицинские организации, поэтому малейшее несовпадение может открыться. В материале Baza источники, пожелавшие остаться неизвестными, рассказывают, что во время виртуальной вакцинации данные просто заносят в систему, а саму вакцину выливают.
Чтобы понять, участвуют ли сотрудники клиник в мошенничестве, необходимо следствие. Волонтеры чатов вакцинации V1V2 сообщили «Правмиру» о фактах покупки фальшивых сертификатов, которые им прислали анонимно. Они собирают эти данные, чтобы передать в МВД. Из многочисленных случаев два, по словам отправителей, связаны с участием врачей.
Этот скрин прислали волонтеру чата вакцинации V1V2. Сообщение волонтеру в Telegram: «Всё хуже. Там и врачи в теме. Это в чате моего ЖК. И главное, вообще не боятся и открыто выкладывают».
В поликлинике на вопросы «Правмира» не ответили.
Образец лжесертификата, который прислали волонтерам
Справка с маркировкой INVITRO, а номер зарегистрирован в Великобритании
Редактор «Правмира» Дарья Кельн тоже попыталась купить ковидную справку, но уже через WhatsApp. После недолгого ожидания ей ответили, что справка будет с рабочим QR-кодом и личным кабинетом, прислали даже образец с маркировкой INVITRO — вероятно, просто скачанный с официального сайта. Цена — 2200 рублей, справку тоже обещали предоставить в электронном виде.
«Правмир” пытается купить справку
Образец с маркировкой Инвитро, который прислали нашему корреспонденту
Давид Медведик рассказал, что злоумышленники, получив доступ к базе, способны внести туда любые данные, и это будет отражаться в личном кабинете пользователя на сайте медицинской организации.
— Когда вы заходите в личный кабинет, там появляется информация из базы данных. И кто эти данные вносит в базу, сайт не знает — он просто отображает все, что там есть. Если кто-то забьет бессмысленный набор букв, это тоже будет отображено в личном кабинете конечного пользователя. Организация сможет обнаружить, что была какая-то вставка, но понять, откуда она взялась, — нет.
В INVITRO на запрос «Правмира» ответили, что их отдел информационной безопасности отрабатывает все инциденты, включая атаки и вирусы, но раскрывать подробности организация не может.
— «Инвитро» не только медицинская, но и IT-компания. Мы используем передовые технологии как для лабораторных исследований, так и для защиты данных пациентов. Медицинские данные — очень чувствительные, это субъект защиты высокого уровня. Мы всегда учитываем все потенциальные риски и предпринимаем надлежащие меры для защиты данных, — уточнили в пресс-службе.
Генерировать поддельные, но внешне правдоподобные электронные справки и образцы, подобные тому, как прислали моей коллеге в WhatsApp, хакеры могут, используя скрипт — алгоритм, который берет входные данные и предоставляет конечный результат в виде pdf-файла. Так что здесь можно получить любой документ из Invitro и прочих организаций даже без помощи фотошопа.
Отправлять дилерам свои паспортные данные Давид Медведик не рекомендует.
— Во-первых, есть вероятность, что защиту базы улучшат и ваша справка станет недействительна буквально через несколько дней. Во-вторых, все эти паспортные данные попадут третьим лицам, которые с этими данными могут делать что угодно и получать за это деньги. В-третьих, ваши данные могут вообще никуда не внести.
Номер, с которого торгуют справками, зарегистрирован в Великобритании. Эти мошенники вполне могут находиться в России, но использовать зарубежных операторов.
— С российскими они предпочитают не связываться, потому что вы можете позвонить оператору и сообщить, что с такого-то номера ведут нелегальную деятельность. Тогда оператор сам его заблокирует и, возможно, подаст в полицию. А если вы попытаетесь позвонить в Великобританию, вы ничего не добьетесь.
Впрочем, мошенники могут заводить одноразовые номера, как и, например, временные ссылки в интернете. Мы нашли группу «ВКонтакте», где продают поддельные справки и сертификаты, но она исчезла буквально за полчаса, когда мы собрались туда написать. «Такие ссылки делаются за дополнительную плату. Но если их покупают — значит, есть спрос», — считает Давид Медведик.
Подделка документов — это преступление
— Нужно понимать, что это общественно опасная история, потому что человек, имеющий сертификат, в любом случае будет пользоваться какими-то льготами, которые будут предоставлены вакцинированным людям. И при этом он может оказаться очагом инфекции. Если удастся доказать причинно-следственную связь между фиктивным сертификатом и, допустим, смертельным исходом, можно даже привлечь к статье за причинение смерти по неосторожности, — уверен эксперт.
Но даже если летального исхода нет и никто из окружающих не заболел, за фальшивые документы все равно придется отвечать. Фиктивные справки и сертификаты от коронавируса попадают под 327-ю статью УК РФ — «Подделка, изготовление или оборот поддельных документов, государственных наград, штампов, печатей или бланков». Сказать заранее, какое это повлечет наказание, нельзя, потому что квалифицировать деяния — задача следствия.
— Уголовное наказание назначают суды, санкции статей Уголовного кодекса очень широкие — от штрафа до лишения свободы, и невозможно спрогнозировать, какое наказание будет в каждом конкретном случае, — объясняет юрист. — Суд учтет все обстоятельства — и смягчающие, и отягчающие. Может быть, даже для конкретного гражданина найдутся обстоятельства, исключающие уголовную ответственность. Но нельзя вот так с ходу говорить, на какой срок человека посадят. С правовой точки зрения это будет некорректно.
Наказание назначается индивидуально и с учетом обстоятельств, но если вы принесете на работу фиктивный сертификат, то это, как минимум, будет считаться предоставлением заведомо подложного документа.
А дальше все зависит от действий правоохранительных органов.
— Уголовный кодекс разнообразен, для него здесь широчайшее поле деятельности. Но в любом случае это умышленное правонарушение. Человек, покупая сертификат без вакцинации, осознает, какие последствия это может повлечь, — заключает Андрей Карпенко.
«Рисуйте в фотошопе, откуда умники такие берутся»
Работодатель может проверить сертификат по базе данных. Однако, как мы выяснили из разговора с экспертом по кибербезопасности, самое слабое место в них — занесение информации. Если данные о фиктивных прививках вносят изнутри, то узнать ничего нельзя.
Я написала еще нескольким дилерам. Первый, узнав мой город, предложил доставить сертификат курьером или такси: «3–4 часа и у вас на руках». Здесь цена оказалась самой высокой — 3800 рублей. Пообещали, что данные появятся на портале «Госуслуги».
— А там же все ампулы на учете, как так?
— Просто они поменяют данные и все.
— Это врачи делают, что ли?
Вот такую инструкцию приложили в чате
— А если меня на работе проверять начнут? Не очень понимаю, как мои данные окажутся в Госуслугах, если честно…
— Привязка к личному кабинету. Информация о том, что вы привиты, все официально.
— Хм… ну там же каждая ампула учтена. Так просто все?
— Нельзя верить слухам и СМИ. Ажиотаж вышел за рамки, скажу вам честно: нам по 200–250 человек в сутки пишет, а мы ведь не только сертификаты делаем.
— А мне говорили, что ампулы пронумерованы.
— Повторюсь: нельзя верить слухам и СМИ.
— Окей. А как мне проверить, что вы точно занесете мои данные в базу?
— По готовности, когда предоставлю сертификат, проверите его по QR. Предоставляете данные по форме: ФИО, дата рождения, адрес проживания, адрес для доставки, адрес электронной почты, оплачиваете заказ по указанным реквизитам, и запускаем в работу. По срокам предоставления: сутки с момента оформления заказа, доставка паспорта вакцинируемого курьером на указанный адрес. Услуги предоставляем по всем крупным городам РФ и СНГ, максимально быстрые сроки доставки.
— Вы не поняли. Как мне узнать, что вы меня сейчас не обманываете и действительно всё занесете, когда я это пришлю.
— Мы с 2016 года ведем деятельность по предоставлению услуг. Огромнейший опыт работы и наивысшее качество, нам есть чем подтвердить свой высокий рейтинг надежности. Отзывы по последним заказам. Будет актуально, обращайтесь.
Этот скрин мне прислали в качестве подтверждения «огромнейшего опыта работы»
— Ну я такое тоже могу в фотошопе нарисовать.
— Рисуйте в фотошопе, откуда умники такие берутся только, не понимаю, которые думают, что знают все. Платформа Hydra, вход через Tor Browser, зайдите, почитайте отзывы, можете оформить заказ напрямую через платформу, удачи.