Подарунок для шахраїв: чому дату народження краще не вказувати в інтернет-магазинах
Телефонують нібито з банку: на рахунку зафіксовано підозрілу активність. Співрозмовник називає імʼя, адресу та дату народження власника рахунку, і в того не залишається сумнівів, що дзвінок справжній. Насправді на звʼязку зловмисники. Дату народження вони могли взяти з бази, що витекла з інтернет-магазину, і використати як один зі шматочків пазла, з якого складають переконливу легенду. Тому фахівці з кібербезпеки радять не залишати справжню дату народження там, де вона не потрібна.
Головне
Сама по собі дата народження для шахраїв малоцінна, але разом з іменем, телефоном та адресою допомагає видавати себе за працівників банку або за саму жертву.
Дані з різних витоків зловмисники зводять у «збагачені» профілі, тому наслідки зламу можуть проявитися через місяці.
Справжню дату народження варто вказувати лише там, де її звіряють з офіційними документами: у банках, державних сервісах, установах, що видають документи.
В інтернет-магазинах поле краще залишити порожнім або щоразу вказувати ту саму умовну дату.
Український закон вимагає, щоб обсяг зібраних персональних даних не був надмірним щодо мети їх обробки.
Чому дата народження цінна для шахраїв
Дату народження люди залишають у десятках онлайн-акаунтів: під час реєстрації в інтернет-магазині, у програмі лояльності, підписуючись на розсилку чи беручи участь в онлайн-конкурсі. Кожен такий сервіс — потенційне джерело витоку.
Свіжий приклад — британський онлайн-ритейлер Asos. 6 жовтня 2026 року клієнти отримали в застосунку магазину push-сповіщення «ASOS HACKED», якого компанія не надсилала. Як повідомила BBC, у розпорядженні зловмисників опинилися імена, адреси, номери телефонів, електронні адреси, номери клієнтів і дати народження, а також історія пошукових запитів на сайті. За словами Asos, нападник видав себе за довірений контакт і виманив у працівника облікові дані. Платіжні картки й паролі акаунтів, за заявою компанії, не постраждали.
Джейк Мур, радник з кібербезпеки компанії ESET, пояснює: дані, викрадені під час зламів, перепродають, а шахраї використовують їх, щоб втертися в довіру до жертви або видати себе за неї. Сама по собі дата народження, за його словами, для злочинців не надто цінна, але разом з іменем і номером телефону вона допомагає вчиняти шахрайство з підміною особи.
Для українців ця загроза не теоретична. Ще у 2020 році в Telegram зʼявився бот, який за гроші шукав персональні дані українців за ПІБ, номером телефону, ІПН чи номером автомобіля, писала «Економічна правда». Опитаний виданням експерт з інформаційної безпеки Микита Книш тоді попереджав, що такі дані допомагають шахраям переконати жертву, ніби вона спілкується зі службою підтримки банку чи великого онлайн-сервісу.
Навіщо магазини запитують дату народження
Александр Франсуа, який досліджує шахрайські схеми в аналітичній компанії WhoisXML API, нещодавно перевірив 14 інтернет-магазинів: вісім із них під час реєстрації запитували дату народження. На його думку, ритейлерам невигідно прибирати це поле, адже повна дата дає вік клієнта, а це цінна інформація для маркетингу й таргетування реклами.
В Україні такий підхід суперечить принципу мінімізації даних. Відповідно до частини третьої статті 6 Закону «Про захист персональних даних» склад і зміст персональних даних мають бути відповідними, адекватними та ненадмірними щодо мети їх обробки. Секретаріат Уповноваженого Верховної Ради з прав людини ще у 2021 році проаналізував онлайн-форми реєстрації і дійшов висновку, що більшість із них не відповідає вимогам законодавства: форми збирають значний обсяг персональних даних, зокрема вік, не повідомляючи людям належним чином про мету й порядок обробки.
Як працює схема
Про злам зазвичай дізнаються з новин або з листа компанії, яка повідомляє про витік. Як саме розгортатиметься шахрайство, залежить від того, що станеться з викраденою інформацією.
Якщо дані з бази ритейлера потрапляють у даркнет, їх використовують, щоб фішингові листи виглядали правдоподібніше, пояснює Серпіль Голл, експертка з безпеки аналітичної компанії Datos Insights. Також зловмисники намагаються переконати служби підтримки компаній, що розмовляють із самим власником акаунта. І все це не обовʼязково відбувається одразу після витоку.
Зазвичай процес виглядає так: витік у ритейлера дає імʼя, дату народження, електронну пошту й адресу. Інші витоки додають облікові дані, номери телефонів та ідентифікатори. Публічна інформація — профілі в соцмережах, відомості про місце роботи, родичів — додає контексту. У результаті виходить збагачений профіль особи: більше ідентифікаторів і вища точність під час зіставлення записів.
Серпіль Голл, експертка з безпеки Datos Insights
В Україні найпоширеніший сценарій — дзвінки нібито від служби безпеки банку. Кіберполіція попереджає, що мета таких дзвінків — виманити дані платіжної картки або паролі до онлайн-банкінгу, і радить у разі сумнівів самостійно передзвонити до служби підтримки свого банку.
Потренуйтеся: гра «Байбай Гудбайкін» від ЄМА
Тема гри: дзвінки від імені працівників банку й виманювання реквізитів картки.
Як захиститися
Насторожувати має будь-який неочікуваний дзвінок чи повідомлення, навіть якщо співрозмовник знає багато особистих подробиць: обізнаність ще не доводить, що на звʼязку справді банк.
Мур радить скорочувати обсяг даних, які залишаються в мережі.
Вказати іншу дату народження на сайтах із низьким ризиком — це спосіб зменшити вразливість, але ще краще взагалі не заповнювати необовʼязкові поля з персональними даними. Для онлайн-покупок варто також завести окрему електронну адресу: якщо вона потрапить у витік, від неї можна просто відмовитися й почати з чистого аркуша.
Джейк Мур, радник з кібербезпеки ESET
Франсуа нагадує, що для виконання замовлення магазину потрібні лише дані платіжної картки та адреса доставки. Виняток — товари з віковими обмеженнями: для їх купівлі вік, імовірно, доведеться підтвердити.
Строго кажучи, справжні дату народження та імʼя потрібно вказувати лише там, де їх звіряють з офіційними реєстрами й використовують для встановлення особи: у банку чи в іншого кредитора, у податковій, в органах, що видають посвідчення водія та паспорти, під час перевірки права на працевлаштування, в офіційних повідомленнях поліції. У цих системах дата народження слугує ключем. Магазин до них не належить.
Александр Франсуа, дослідник шахрайських схем WhoisXML API
В українських реаліях до цього переліку належать банки та інші фінансові установи, податкова, державні сервіси на кшталт «Дії», а також установи, що видають документи. Вигадані дані там неприпустимі: від них залежить ідентифікація особи.
Читайте також6 типів сайтів, яким краще не надавати правдиву інформацію про себе і 4, де не варто брехати
Найкраще, за словами Франсуа, залишати поле дати народження порожнім. Якщо це неможливо, він радить вказувати в усіх магазинах ту саму умовну дату, наприклад перше число місяця народження, щоб її не забути.
Якщо магазин уже зберігає справжню дату народження, закон дає інструменти. Стаття 8 Закону «Про захист персональних даних» гарантує право знати мету обробки своїх даних, вимагати їх зміни або знищення, якщо вони обробляються незаконно чи є недостовірними, відкликати згоду на обробку, а також скаржитися Уповноваженому Верховної Ради з прав людини або до суду.
За матеріалами The Guardian.
Ця стаття Подарунок для шахраїв: чому дату народження краще не вказувати в інтернет-магазинах раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
