88 утечек у сервисов проверки документов: 2,15 млрд записей

26.08.2026 4 мин 4

Всё больше сайтов просят подтвердить личность - загрузить фото паспорта или живое селфи. Новый подсчёт показывает, насколько плохо это заканчивается. Только по утечкам у сервисов проверки документов исследователи насчитали 88 отдельных инцидентов с 2011 года: утекло 2,15 млрд подтверждённых записей, и ещё 4,54 млрд заявляют сами злоумышленники и продавцы. Неприятная суть: пароль можно сменить, а лицо и паспорт - нет, и именно их собирают эти сервисы.

Что говорят цифры

Хронологию собрали исследователи Mysterium VPN, а описал её Security Affairs. Речь не про обычные логины. В 41 инциденте из 88, почти в половине, утекал сам исходный материал: сканы документов, верификационные селфи, отпечатки и полные биометрические шаблоны. И темп растёт: 37 утечек, около 42%, пришлись на период с января 2024 по август 2026 - ровно тогда, когда обязательная проверка личности и возраста расползлась по сети.

88 утечек у сервисов проверки документов с 2011 года.
2,15 млрд подтверждённых записей плюс ещё 4,54 млрд по заявлениям злоумышленников.
41 из 88 инцидентов слили реальные документы и биометрию, а не только пары «почта-пароль».
42% инцидентов пришлись на последние полтора года, вместе с ростом требований верификации.

Посредники, которых вы не выбирали

Когда приложение просит документ, оно обычно передаёт проверку стороннему верификатору, о котором вы никогда не слышали и которому не соглашались доверять. В хронологии утечек всплывают одни и те же имена: среди них AU10TIX, IDMerit, Sumsub, Persona и inVOID. Один из них месяцами держал открытым админский вход, другой оставил около миллиарда записей в незащищённой базе. За каждой такой компанией стоят десятки популярных приложений, поэтому одна оплошность вываливает наружу документы людей, которые даже не знали о существовании этого вендора.

Почему это хуже утёкшего пароля

Украденный пароль - неудобство: сменил и живёшь дальше. Утёкший скан паспорта и селфи - навсегда. Одно и то же лицо и один и тот же документ переиспользуются в каждом сервисе, который потом просит верификацию, поэтому одна утечка годами кормит мошенничество с личностью, угоны аккаунтов и дипфейки. Как формулируют исследователи, та самая «стена», которой вы обязаны предъявить документ, взламывается ровно так же, как всё остальное в интернете.

Что это значит для проверки возраста

Это сильнейший аргумент против превращения открытой сети в пункт проверки документов. Законы, требующие подтвердить возраст, прогоняют каждого пользователя через такие узкие места, а каждое узкое место - это ловушка из лиц и документов. Чтобы увидеть, как быстро расползается это требование, у нас есть обновляемый справочник стран, где запрещают или ограничивают соцсети для детей. Чем больше мест требуют ваш документ, тем больше его копий оседает в базах, которые вы не можете проверить.

Важно: лицо нельзя «отозвать» после утечки. Перед загрузкой паспорта или селфи спросите, правда ли это нужно сервису, выбирайте варианты, которые оценивают возраст без хранения документа, и следите за уведомлениями об утечках у верификаторов, которыми вы пользовались. Реальное решение здесь - политика, а не переключатель в настройках.

Можно ли просто избегать таких проверок?

Иногда. Где сервис предлагает щадящую к приватности оценку возраста без хранения документа - выбирайте её. Но там, где верификация обязательна, часто нет выбора, кроме как отдать документ, - именно поэтому системный риск и важен.

Защитит ли меня VPN?

От этого конкретного риска - нет. VPN скрывает ваш IP и шифрует соединение, но после того как вы загрузили паспорт в компанию-верификатор, VPN не может защитить её базу данных. Он помогает с отслеживанием и доступом, а не с вендором, которого взломали уже после того, как вы отдали документы.

Мой документ, возможно, уже в одной из утечек. Что делать?

Считайте, что его можно использовать против вас. Включите двухфакторную аутентификацию на важных аккаунтах, относитесь с подозрением к звонкам и сообщениям, где называют ваши реальные данные, и следите за банковскими и госаккаунтами. В отличие от пароля, документ не «прокрутишь» заново, поэтому защита - это бдительность.

Безопасны ли «щадящие к приватности» проверки?

Безопаснее, если они действительно оценивают возраст или подлинность без хранения самого скана и селфи. Опасность в этом отчёте - именно хранение: сервисы, которые держат исходные документы, и становятся ловушками. Методы, которые проверяют и сразу удаляют данные, уменьшают мишень.

Источники:
• 88 утечек у сервисов проверки документов - Security Affairs
• Взлом сервиса проверки возраста и опасность законов о соцсетях - EFF

age verificationdata breachidentity verificationAU10TIXSumsubPersonaIDMeritbiometricsprivacy