Адвокат Игорь Баранов: количество утечек в России не отражает масштаб ущерба для бизнеса

Игорь Баранов, адвокат, управляющий партнер Московской коллегии адвокатов «Bravis», прокомментировал для CISOCLUB снижение числа зарегистрированных утечек данных в России при одновременном росте объёма скомпрометированной информации. По его словам, статистика количества инцидентов всё меньше подходит для оценки реального масштаба проблемы.

Согласно данным Solar AURA, в первом полугодии 2026 года в России зафиксировали 214 утечек против 406 за аналогичный период 2025-го. При этом объём скомпрометированных данных вырос с 288 млн до 378 млн строк. Игорь Баранов отмечает, что несколько крупных инцидентов способны существенно изменить общую картину.

«Снижение количества зарегистрированных утечек почти вдвое при одновременном росте объёма скомпрометированных данных на 31% — показательная тенденция. Это означает, что сама по себе статистика количества утечек уже не позволяет оценивать масштаб проблемы. Один крупный инцидент может затронуть миллионы записей и по последствиям оказаться гораздо серьёзнее десятков небольших утечек», — отметил Игорь Баранов.

Эксперт также обращает внимание на изменение структуры утечек. Если в 2025 году значительную часть скомпрометированной информации формировали государственные организации, то теперь центр тяжести смещается к финансовому сектору и сфере услуг. По данным Solar AURA, доля финансовых организаций в объёме утечек достигла 38%, а компаний сферы услуг — 28%.

Для бизнеса это означает рост не только технических, но и юридических рисков. Коммерческие компании хранят большие массивы сведений о клиентах, включая контактную информацию, даты рождения, историю заказов и данные о финансовых операциях, поэтому последствия компрометации могут быть существенными.

«С точки зрения права это закономерно повышает ответственность бизнеса. Чем больше информации компания собирает и хранит, тем выше не только привлекательность такой базы для злоумышленников, но и потенциальные последствия её компрометации», — пояснил Игорь Баранов.

При этом сам факт кибератаки ещё не означает автоматической вины организации. Для правовой оценки необходимо установить, какие меры защиты применялись, соблюдались ли требования законодательства, кто имел доступ к данным и были ли нарушения со стороны сотрудников или подрядчиков.

Ответственность за нарушения при обработке и защите персональных данных уже предусматривает конкретные меры, включая специальные составы административных правонарушений. Для наиболее масштабных нарушений юридическим лицам может назначаться штраф, рассчитываемый исходя из выручки, а при повторных нарушениях его верхняя граница может достигать 500 млн рублей.

«Поэтому сегодня информационная безопасность — это уже не исключительно техническая задача для IT- и ИБ-подразделений. Это вопрос юридических рисков и ответственности руководства компании», — подчеркнул Игорь Баранов.

Отдельную угрозу представляет дальнейшее использование похищенной информации. Скомпрометированные имя, телефон, электронная почта, дата рождения, сведения о заказах и финансовом поведении могут использоваться для подготовки более убедительных схем социальной инженерии и мошенничества.

По мнению эксперта, компаниям стоит пересмотреть сам подход к работе с персональными данными и отказаться от накопления информации без чёткой необходимости. Чем больше данных находится в распоряжении организации, тем выше потенциальная цена ошибки и последствия успешной атаки.

«В результате утечка сегодня — это одновременно технический инцидент, юридический риск, финансовые потери и потенциальная угроза уже для клиентов компании. И задача бизнеса заключается не только в том, чтобы защищать данные после атаки. Не менее важно заранее определить, какие данные действительно необходимо собирать, кто имеет к ним доступ, сколько времени они хранятся и что произойдёт, если эта информация окажется скомпрометирована», — заключил Игорь Баранов.