Защита электронной подписи от мошенников: как обезопасить КЭП бизнеса

Зачем мошенники охотятся за электронной подписью бизнеса

Защита электронной подписи от мошенников — тема, которая с каждым годом становится острее: усиленную квалифицированную электронную подпись (УКЭП) массово используют ИП и организации для отчётности, торгов и документооборота, а значит, она превращается в лакомую цель для злоумышленников. Об угрозах и правилах безопасности рассказал Евгений Лящук, лидер направления Сбер2В ЭДО: по его словам, УКЭП — это цифровой аналог собственноручной подписи, и по закону она имеет такую же юридическую силу.

Именно поэтому цена ошибки высока: если ключ попадёт в чужие руки, мошенник сможет действовать от имени владельца подписи — подать документы, подписать договор или провести сделку так, будто это сделал сам предприниматель или сотрудник компании. При этом эксперт отмечает, что взламывать сложные системы защиты злоумышленникам почти не нужно — чаще они просто обманывают самого владельца подписи.

Какими способами обманывают владельцев КЭП: фишинг, вредоносные программы и подбор пароля

Лящук выделяет три типичных сценария, через которые мошенники получают доступ к чужой электронной подписи:

• Фишинг. Подозрительные письма и звонки, которые маскируются под официальные уведомления банка, удостоверяющего центра или госоргана.
• Вредоносное ПО. Программы из ненадёжных источников, особенно на Android-устройствах, через которые злоумышленники получают удалённый доступ к токену или компьютеру.
• Подбор простых паролей. Заводской или очевидный PIN-код токена легко угадать, если владелец не заменил его на уникальный.

«Банки и удостоверяющие центры никогда не просят ввести PIN-код от ЭП, не настаивают на установке программ для удалённой техподдержки и не требуют передать токен. Если вас об этом просят — это мошенники», — подчёркивает Евгений Лящук.

Этот простой ориентир стоит запомнить всем, кто работает с КЭП: ни один законный запрос от банка, оператора ЭДО или удостоверяющего центра не предполагает передачу PIN-кода или установку стороннего софта «для настройки подписи».

Другие схемы мошенничества с электронной подписью

Кроме фишинга, вредоносных программ и подбора пароля, которые встречаются чаще всего, предприниматели и сотрудники компаний сталкиваются и с другими способами завладеть электронной подписью или оформить её на чужое имя без согласия владельца.

• Оформление сертификата по поддельной заявке. Злоумышленники подают в удостоверяющий центр заявление на выпуск КЭП, используя украденные или скомпрометированные персональные данные — паспортные реквизиты, СНИЛС, ИНН. Если проверка личности прошла формально, сертификат может быть выпущен без участия и согласия настоящего владельца данных.
• Подмена при дистанционной идентификации. Некоторые сервисы позволяют подтвердить личность удалённо — по видеосвязи, через биометрию или по данным из других систем. Мошенники пытаются пройти такую проверку, предъявляя поддельные или украденные документы.
• Посредники с «быстрым» выпуском подписи. Предложения получить ЭП без личной явки, по одной копии паспорта и за вознаграждение «курьеру», — повод насторожиться: аккредитованный удостоверяющий центр обязан подтвердить личность заявителя лично или через биометрию, а не оформлять сертификат по фото в мессенджере.
• Социальная инженерия от имени «коллег» и «начальства». Отдельный вариант обмана — сообщение якобы от руководителя или бухгалтера компании с просьбой срочно подписать или переслать документ, установить программу для удалённого доступа «для IT-отдела».

Общая черта всех этих схем — расчёт на невнимательность или спешку владельца подписи. Поэтому проверка личности заявителя при выпуске КЭП и бдительность при любых «срочных» просьбах — такая же часть защиты электронной подписи от мошенников, как и технические меры.

Технические меры защиты электронной подписи

Первый шаг защиты электронной подписи от мошенников — не оставлять токен с настройками «по умолчанию». Эксперт советует несколько конкретных шагов:

• Заменить заводской PIN-код на уникальный — не менее 6 символов, с буквами разного регистра и специальными знаками.
• Периодически менять пароль, а не использовать один и тот же годами.
• Отказаться от очевидных комбинаций вроде дат рождения или простых цифровых последовательностей.
• Отключить в браузере и приложениях опцию «запомнить пароль».

Организационные правила хранения токена с электронной подписью

Технических настроек недостаточно без дисциплины в повседневном обращении с носителем. Лящук предупреждает:

«Нельзя передавать ключевой носитель третьим лицам, даже коллегам или родственникам, записывать PIN-код на бумаге или прямо на токене. Запрещено сохранять пароль в памяти компьютера, оставлять носитель без присмотра в общественных местах или подключённым к компьютеру, если вы отошли», — предупреждает эксперт.

Хранить токен нужно в месте, недоступном для посторонних. Если с документами в компании работает несколько сотрудников, каждому из них нужен личный сертификат КЭП, а не общий на всех — а право действовать от имени организации подтверждается машиночитаемой доверенностью (МЧД).

Что говорит закон о защите электронной подписи

Базовый документ, регулирующий использование ЭП в России, — федеральный закон № 63-ФЗ «Об электронной подписи». Он не только определяет виды подписей и порядок их применения, но и закрепляет обязанности владельца сертификата усиленной квалифицированной подписи.

Согласно закону, владелец сертификата обязан:

• обеспечивать конфиденциальность ключа электронной подписи и не допускать его использования без своего согласия;
• не применять ключ, если есть основания полагать, что его конфиденциальность нарушена;
• незамедлительно, не позднее следующего рабочего дня со дня, когда стало известно о нарушении, уведомить удостоверяющий центр, выдавший сертификат, и других участников электронного взаимодействия о компрометации ключа.

Это значит, что бережное хранение токена и пароля — не просто рекомендация «из соображений безопасности», а обязанность, установленная законом. Если подписью воспользовались из-за того, что владелец не обеспечил её конфиденциальность, это может повлиять на то, кто будет нести ответственность за последствия — например, за документы или сделки, подписанные без его участия.

Как проверить, не выпущена ли электронная подпись на ваше имя без согласия

Проверить, не оформлял ли кто-то сертификат ЭП на ваши персональные данные, можно не выходя из дома:

1. Авторизуйтесь на портале Госуслуг под своей учётной записью.
2. Перейдите в профиль и откройте раздел «Настройки и безопасность».
3. Найдите пункт, связанный с электронной подписью и доверенностями, — там отображаются сведения о сертификатах, выпущенных на ваше имя аккредитованными удостоверяющими центрами.
4. Если в списке есть сертификат, который вы не оформляли, обратитесь в удостоверяющий центр, который его выдал, и потребуйте отозвать сертификат, а также сообщите о ситуации в службу поддержки Госуслуг.

Такую проверку стоит делать не только при подозрении на мошенничество, но и периодически — например, раз в несколько месяцев, особенно если ваши персональные данные ранее фигурировали в утечках.

Что делать, если носитель с электронной подписью украли или потеряли

Если токен пропал, украден или есть подозрение, что подпись скомпрометирована, действовать нужно без промедления:

1. Немедленно обратиться в удостоверяющий центр, выдавший сертификат.
2. Потребовать прекратить действие (отозвать) сертификата электронной подписи.
3. Проверить, не использовалась ли подпись без вашего участия, пока сертификат оставался активным — например, запросить у УЦ или оператора ЭДО историю применения сертификата.
4. Если есть признаки преступления — хищение токена, подлог документов — подать заявление в полицию.
5. Уведомить контрагентов, банк и, если подписью могли воспользоваться для сдачи отчётности, территориальный орган ФНС о компрометации сертификата.
6. Оформить новый сертификат в удостоверяющем центре, чтобы не прерывать отчётность, торги и документооборот.

Чем быстрее владелец обратится в удостоверяющий центр, тем меньше шансов, что мошенники успеют воспользоваться подписью. «Обращайтесь с токеном так же, как с ключами от квартиры или сейфа. Промедление в этом вопросе может стоить дорого», — заключает Евгений Лящук.

Какие риски несёт бизнес при компрометации электронной подписи

Поскольку усиленная квалифицированная подпись юридически равна собственноручной, последствия её кражи или использования без согласия владельца серьёзнее, чем просто временные неудобства:

• Фиктивные сделки и договоры. Документ, подписанный чужой КЭП, формально считается подписанным владельцем, пока обратное не доказано, — а это требует времени и часто обращения в суд.
• Финансовые потери. Через скомпрометированную подпись мошенники могут подать поддельные заявки, изменить реквизиты в документах для контрагентов или оформить обязательства от имени компании.
• Репутационные риски. Партнёры и клиенты, получившие документы с чужой подписью, могут усомниться в надёжности компании, даже если вина лежит на злоумышленниках, а не на самой организации.
• Задержки в работе. На время, пока отозванный сертификат заменяют новым, приходится приостанавливать сдачу отчётности, участие в торгах и обмен документами через ЭДО, что может повлечь дополнительные сроки согласования и штрафы за просрочку.

Поэтому несколько минут на смену PIN-кода и личный сертификат для каждого сотрудника — не формальность, а способ избежать куда более дорогих последствий.

Как оформить новую электронную подпись взамен скомпрометированной

После отзыва старого сертификата бизнесу нужен новый — без него не получится сдать отчётность, подписать документы в ЭДО или подать заявку на торги. Проще и быстрее оформить ЭП в аккредитованном удостоверяющем центре — там же уточнят, какой токен подходит, помогут настроить рабочее место и сразу объяснят актуальные правила защиты электронной подписи от мошенников для конкретных сценариев работы: отчётности, торгов или электронного документооборота.

Мы как партнёр СКБ Контур сопровождаем выпуск и продление КЭП и готовы подсказать, как правильно хранить токен, когда понадобится МЧД на сотрудника и что делать, если сертификат нужно перевыпустить из-за компрометации или смены реквизитов.

Чек-лист: как защитить электронную подпись от мошенников

1. Замените заводской PIN-код токена на уникальный пароль из 6 и более символов разного регистра.
2. Не сообщайте PIN-код и не устанавливайте программы удалённого доступа по звонку или сообщению, даже если собеседник называет себя сотрудником банка или УЦ.
3. Храните токен в сейфе или закрытом ящике и не оставляйте его подключённым к компьютеру без присмотра.
4. Оформите каждому сотруднику, который подписывает документы, личный сертификат и МЧД — не передавайте свой токен коллегам.
5. Периодически проверяйте на Госуслугах в разделе «Настройки и безопасность», не выпущен ли сертификат на ваше имя без согласия.
6. При утере или краже токена сразу обращайтесь в удостоверяющий центр для отзыва сертификата, а при признаках преступления — в полицию.
7. Уведомляйте контрагентов, банк и ФНС о компрометации подписи, если документы могли быть подписаны без вашего участия.

Частые вопросы о защите электронной подписи

Можно ли передать электронную подпись бухгалтеру или коллеге?

Нет. Эксперт прямо предупреждает: ключевой носитель нельзя передавать третьим лицам, даже коллегам или родственникам. Если документы должен подписывать сотрудник, ему нужен собственный сертификат и МЧД, а не чужой токен.

Что будет, если мошенники получат доступ к КЭП?

Поскольку УКЭП юридически равна собственноручной подписи, злоумышленник сможет действовать от имени владельца — подписывать документы, заключать сделки и совершать другие юридически значимые действия от его лица.

Как понять, что звонит мошенник, а не удостоверяющий центр?

Банки и удостоверяющие центры никогда не запрашивают PIN-код от подписи, не настаивают на установке программ удалённого доступа и не просят передать токен. Любая такая просьба — признак мошенничества.

Что делать, если токен с электронной подписью потерян или украден?

Нужно сразу обратиться в удостоверяющий центр, выдавший сертификат, и потребовать прекратить его действие. Чем быстрее отозван сертификат, тем меньше риск, что подписью воспользуются без вашего участия.

Нужен ли каждому сотруднику отдельный сертификат подписи?

Да. Если несколько сотрудников участвуют в документообороте, каждому нужен личный сертификат КЭП, а полномочия действовать от имени компании подтверждаются машиночитаемой доверенностью.

Как проверить, не выпущена ли электронная подпись на моё имя без согласия?

Это можно сделать на Госуслугах: в профиле откройте раздел «Настройки и безопасность» и найдите сведения о сертификатах ЭП, выпущенных на ваше имя. Если там есть сертификат, который вы не оформляли, обратитесь в выдавший его удостоверяющий центр и потребуйте его отозвать.

Что говорит закон об обязанностях владельца электронной подписи?

63-ФЗ «Об электронной подписи» обязывает владельца сертификата обеспечивать конфиденциальность ключа, не использовать его при подозрении на компрометацию и незамедлительно — не позднее следующего рабочего дня — уведомлять удостоверяющий центр о нарушении конфиденциальности.

Какие риски несёт компания, если подпись сотрудника украли?

Документы, подписанные скомпрометированной КЭП, формально считаются подписанными её владельцем, пока не доказано иное. Это может привести к фиктивным сделкам, финансовым потерям и задержкам в работе на время перевыпуска сертификата.

Вывод

Защита электронной подписи от мошенников строится на простых, но обязательных привычках: уникальный PIN, отказ от передачи токена посторонним, личный сертификат для каждого сотрудника и немедленное обращение в удостоверяющий центр при утере носителя. Эти правила не требуют специальных технических знаний — достаточно относиться к токену так же бережно, как к ключам от квартиры, и не поддаваться на уговоры «технической поддержки» по телефону.

Если подпись нужно перевыпустить или только предстоит получить впервые, разумно сразу настроить рабочее место правильно и уточнить у аккредитованного удостоверяющего центра — партнёра СКБ Контур, — какой носитель и формат сертификата подойдут именно для ваших задач, будь то отчётность, торги или электронный документооборот.