- Сообщения
- 57
- Реакции
- 57
Ты вбиваешь номер телефона в бота — и получаешь ФИО, адрес, паспорт, место работы, привязанные аккаунты, авто. Откуда это всё? Кто слил? Когда?
Большинство людей воспринимает пробив как магию. Ввёл номер — получил досье. Но за каждой строчкой в базе стоит конкретная утечка, конкретная компания которая не защитила данные, и конкретный человек который это слил или купил
Разберём откуда берутся базы, кто их собирает и почему ситуация в России хуже чем где-либо
Масштаб проблемы
За три года (2022-2024) из российских компаний утекло 4.5 миллиарда записей персональных данных. Для страны с населением 146 миллионов это значит что на каждого жителя приходится ~30 утёкших записей
Только за 2024 год Роскомнадзор зафиксировал 135 утечек с 710 миллионами записей. В 2025 — 118 утечек, 52 миллиона записей (меньше, но это официальные цифры — реальные выше)
С 30 мая 2025 в России действует закон №420 с оборотными штрафами:
- 1,000-10,000 записей — штраф 3-5 млн руб
- 10,000-100,000 записей — 5-10 млн руб
- Более 100,000 — 10-15 млн руб
За 2025 год штрафы получили шесть компаний. РЖД и Почта России — по 150 тысяч рублей (это ещё по старым ставкам). С 2026 штрафы будут серьёзнее — но и утечки никуда не делись
Откуда текут данные
Телеком-операторы
Самые ценные базы — от операторов связи. Номер телефона + ФИО + паспорт + адрес регистрации + IMEI. Утечки из МТС, Билайн, Мегафон, Теле2 — все крупные операторы были скомпрометированы. Некоторые базы не "утечки" в классическом смысле — это сотрудники которые продают доступ за 500-2000 рублей за запрос. "Пробив по номеру" через оператора — живая услуга, не мёртвая база
Доставка и e-commerce
СДЭК, Delivery Club, Яндекс.Еда — самые громкие утечки последних лет. Яндекс.Еда в 2022 году слила базу с адресами доставки, привязанными к телефонам. Адрес + имя + телефон + что заказывал + когда. Данные до сих пор агрегируются в ботах
Банки и финансы
Утечки из банков реже публикуются, но они есть. Чаще это не взлом системы, а слив от сотрудника — операционист, имеющий доступ к CRM. Данные: ФИО, счета, остатки, история операций
Госструктуры
ГИБДД (номер авто → владелец), ФССП (долги, исполнительные производства), налоговая (ИНН → ФИО, адрес). Эти базы попадают в оборот через внутренних инсайдеров. База ГИБДД обновляется регулярно — свежие данные стоят дороже
Интернет-сервисы
Утечки аккаунтов из VK, Mail.ru, форумов, сервисов авторизации. Email + пароль + привязанный телефон. Отдельная категория — утечки из GetContact (телефон → как записан в контактах других людей)
Медицина, образование, HR
Поликлиники, университеты, *****. Данные менее структурированы, но тоже агрегируются. Диагнозы, резюме, зарплаты
Как базы попадают в боты
Путь от утечки до бота:
1. Хакер/инсайдер получает дамп. Базу выкладывают на даркнет-форумах — RaidForums (закрыт), BreachForums, или продают приватно
2. Агрегатор скупает базы и объединяет их. Номер телефона из утечки Яндекс.Еды + ФИО из утечки оператора + адрес из ГИБДД = полное досье. Агрегация — главная ценность, отдельные базы менее полезны
3. Бот в Telegram даёт доступ по подписке. Ввёл номер — получил что есть. Оплата в крипте, 300-1000 рублей за запрос или подписка
Глаз Бога был крупнейшим таким ботом. В марте 2025 он перестал работать после обысков у партнёров. Создатель Евгений Антипов получил первое уголовное дело по новой статье. К апрелю 2025 минимум 9 из 21 русскоязычных ботов для пробива прекратили работу
Но свято место не бывает пусто — к 2026 году появились новые боты, данные в которых собраны из тех же утечек
Что знает бот и откуда
Типичный бот для пробива при вводе номера телефона выдаёт:
- ФИО — утечки операторов связи, банков, Госуслуг
- Дата рождения — паспортные базы, операторы
- Адрес регистрации — ГИБДД, операторы, Почта России
- Паспортные данные — утечки банков, микрофинансовых организаций
- Email — утечки сервисов (VK, Mail.ru, *****)
- Авто — ГИБДД (номер → марка → владелец)
- Долги, штрафы — ФССП, налоговая
- Как записан в контактах — GetContact, TrueCaller
- Фото — FindClone, VK, социальные сети
- Соцсети — привязка телефона к аккаунтам
Качество данных зависит от свежести баз. Человек сменил номер — старые данные всё ещё привязаны к нему. Переехал — адрес из 2019 года. Но для деанона часто хватает и старых данных
Почему в России хуже чем в Европе
В ЕС действует GDPR с 2018 года. Штраф за утечку — до 4% годового оборота компании. Amazon получил штраф 746 млн евро, Meta — 1.2 млрд евро. Это мотивирует защищать данные
В России до мая 2025 штраф за утечку был 60,000-300,000 рублей. Для компании с оборотом в миллиарды — ничто. Дешевле заплатить штраф чем вкладываться в защиту. Новые оборотные штрафы ситуацию меняют, но медленно
Вторая проблема — инсайдеры. Зарплата оператора в колл-центре или операциониста в банке — 30-50к рублей. Продать одну выписку за 2000 — сильный соблазн. Системы DLP (Data Loss Prevention) есть не у всех, а где есть — не всегда настроены
Третья — централизация. Госуслуги, ЕСИА, СМЭВ — единая точка доступа к огромному массиву данных. Один скомпрометированный доступ = много данных
AI и новые утечки
Свежий тренд 2025-2026 — утечки через AI-сервисы. По данным экспертов, объём данных утёкших из российских компаний через ChatGPT, Google Gemini и другие публичные AI вырос в 30 раз. Сотрудники вставляют в чат рабочие документы, код с ключами, клиентские данные — всё это оседает на серверах за рубежом
Это не хакерская атака. Это сотрудник который хочет быстрее написать отчёт и вставляет в ChatGPT таблицу с ФИО клиентов
Как не попасть в базу
Полностью — никак. Если у тебя есть телефон, паспорт и банковский счёт в России — ты уже в десятках баз. Но можно снизить ущерб:
- Отдельный номер для сервисов доставки, маркетплейсов, регистраций. Основной номер — минимум привязок
- Минимум данных при регистрации — если поле необязательное, не заполняй
- GetContact/TrueCaller — проверь что о тебе знают. Удали свои данные где возможно
- Проверяй утечки — haveibeenpwned.com для email, аналогичные сервисы для телефонов
- Не привязывай один email ко всему — отдельный для банков, отдельный для мусора
Базы живут годами. Утечка 2019 года всё ещё используется для пробива в 2026. Данные не удаляются из интернета — они только множатся
Вопросы по теме кидайте в ветку, разберём
Большинство людей воспринимает пробив как магию. Ввёл номер — получил досье. Но за каждой строчкой в базе стоит конкретная утечка, конкретная компания которая не защитила данные, и конкретный человек который это слил или купил
Разберём откуда берутся базы, кто их собирает и почему ситуация в России хуже чем где-либо
Масштаб проблемы
За три года (2022-2024) из российских компаний утекло 4.5 миллиарда записей персональных данных. Для страны с населением 146 миллионов это значит что на каждого жителя приходится ~30 утёкших записей
Только за 2024 год Роскомнадзор зафиксировал 135 утечек с 710 миллионами записей. В 2025 — 118 утечек, 52 миллиона записей (меньше, но это официальные цифры — реальные выше)
С 30 мая 2025 в России действует закон №420 с оборотными штрафами:
- 1,000-10,000 записей — штраф 3-5 млн руб
- 10,000-100,000 записей — 5-10 млн руб
- Более 100,000 — 10-15 млн руб
За 2025 год штрафы получили шесть компаний. РЖД и Почта России — по 150 тысяч рублей (это ещё по старым ставкам). С 2026 штрафы будут серьёзнее — но и утечки никуда не делись
Откуда текут данные
Телеком-операторы
Самые ценные базы — от операторов связи. Номер телефона + ФИО + паспорт + адрес регистрации + IMEI. Утечки из МТС, Билайн, Мегафон, Теле2 — все крупные операторы были скомпрометированы. Некоторые базы не "утечки" в классическом смысле — это сотрудники которые продают доступ за 500-2000 рублей за запрос. "Пробив по номеру" через оператора — живая услуга, не мёртвая база
Доставка и e-commerce
СДЭК, Delivery Club, Яндекс.Еда — самые громкие утечки последних лет. Яндекс.Еда в 2022 году слила базу с адресами доставки, привязанными к телефонам. Адрес + имя + телефон + что заказывал + когда. Данные до сих пор агрегируются в ботах
Банки и финансы
Утечки из банков реже публикуются, но они есть. Чаще это не взлом системы, а слив от сотрудника — операционист, имеющий доступ к CRM. Данные: ФИО, счета, остатки, история операций
Госструктуры
ГИБДД (номер авто → владелец), ФССП (долги, исполнительные производства), налоговая (ИНН → ФИО, адрес). Эти базы попадают в оборот через внутренних инсайдеров. База ГИБДД обновляется регулярно — свежие данные стоят дороже
Интернет-сервисы
Утечки аккаунтов из VK, Mail.ru, форумов, сервисов авторизации. Email + пароль + привязанный телефон. Отдельная категория — утечки из GetContact (телефон → как записан в контактах других людей)
Медицина, образование, HR
Поликлиники, университеты, *****. Данные менее структурированы, но тоже агрегируются. Диагнозы, резюме, зарплаты
Как базы попадают в боты
Путь от утечки до бота:
1. Хакер/инсайдер получает дамп. Базу выкладывают на даркнет-форумах — RaidForums (закрыт), BreachForums, или продают приватно
2. Агрегатор скупает базы и объединяет их. Номер телефона из утечки Яндекс.Еды + ФИО из утечки оператора + адрес из ГИБДД = полное досье. Агрегация — главная ценность, отдельные базы менее полезны
3. Бот в Telegram даёт доступ по подписке. Ввёл номер — получил что есть. Оплата в крипте, 300-1000 рублей за запрос или подписка
Глаз Бога был крупнейшим таким ботом. В марте 2025 он перестал работать после обысков у партнёров. Создатель Евгений Антипов получил первое уголовное дело по новой статье. К апрелю 2025 минимум 9 из 21 русскоязычных ботов для пробива прекратили работу
Но свято место не бывает пусто — к 2026 году появились новые боты, данные в которых собраны из тех же утечек
Что знает бот и откуда
Типичный бот для пробива при вводе номера телефона выдаёт:
- ФИО — утечки операторов связи, банков, Госуслуг
- Дата рождения — паспортные базы, операторы
- Адрес регистрации — ГИБДД, операторы, Почта России
- Паспортные данные — утечки банков, микрофинансовых организаций
- Email — утечки сервисов (VK, Mail.ru, *****)
- Авто — ГИБДД (номер → марка → владелец)
- Долги, штрафы — ФССП, налоговая
- Как записан в контактах — GetContact, TrueCaller
- Фото — FindClone, VK, социальные сети
- Соцсети — привязка телефона к аккаунтам
Качество данных зависит от свежести баз. Человек сменил номер — старые данные всё ещё привязаны к нему. Переехал — адрес из 2019 года. Но для деанона часто хватает и старых данных
Почему в России хуже чем в Европе
В ЕС действует GDPR с 2018 года. Штраф за утечку — до 4% годового оборота компании. Amazon получил штраф 746 млн евро, Meta — 1.2 млрд евро. Это мотивирует защищать данные
В России до мая 2025 штраф за утечку был 60,000-300,000 рублей. Для компании с оборотом в миллиарды — ничто. Дешевле заплатить штраф чем вкладываться в защиту. Новые оборотные штрафы ситуацию меняют, но медленно
Вторая проблема — инсайдеры. Зарплата оператора в колл-центре или операциониста в банке — 30-50к рублей. Продать одну выписку за 2000 — сильный соблазн. Системы DLP (Data Loss Prevention) есть не у всех, а где есть — не всегда настроены
Третья — централизация. Госуслуги, ЕСИА, СМЭВ — единая точка доступа к огромному массиву данных. Один скомпрометированный доступ = много данных
AI и новые утечки
Свежий тренд 2025-2026 — утечки через AI-сервисы. По данным экспертов, объём данных утёкших из российских компаний через ChatGPT, Google Gemini и другие публичные AI вырос в 30 раз. Сотрудники вставляют в чат рабочие документы, код с ключами, клиентские данные — всё это оседает на серверах за рубежом
Это не хакерская атака. Это сотрудник который хочет быстрее написать отчёт и вставляет в ChatGPT таблицу с ФИО клиентов
Как не попасть в базу
Полностью — никак. Если у тебя есть телефон, паспорт и банковский счёт в России — ты уже в десятках баз. Но можно снизить ущерб:
- Отдельный номер для сервисов доставки, маркетплейсов, регистраций. Основной номер — минимум привязок
- Минимум данных при регистрации — если поле необязательное, не заполняй
- GetContact/TrueCaller — проверь что о тебе знают. Удали свои данные где возможно
- Проверяй утечки — haveibeenpwned.com для email, аналогичные сервисы для телефонов
- Не привязывай один email ко всему — отдельный для банков, отдельный для мусора
Базы живут годами. Утечка 2019 года всё ещё используется для пробива в 2026. Данные не удаляются из интернета — они только множатся
Вопросы по теме кидайте в ветку, разберём
