Кража личных данных и идентичности

Введение

Умышленное использование чужой личности – концепция кражи личных данных, фильм 1953 года.

Кража личных данных, пиратство личности или нарушение прав на личность происходит, когда кто-либо использует личную идентифицирующую информацию другого человека, такую как его имя, идентификационный номер или номер кредитной карты, без его разрешения, для совершения мошенничества или других преступлений. Термин «кража личных данных» был введен в 1964 году. С тех пор определение кражи личных данных было юридически закреплено как в Великобритании, так и в США как кража персональной идентифицируемой информации. Кража личных данных намеренно использует чужую личность как способ получения финансовой выгоды, кредита и других преимуществ. Лицо, чья личность была украдена, может понести негативные последствия, особенно если его ошибочно признают ответственным за действия злоумышленника. Персональная идентифицирующая информация обычно включает имя, дату рождения, номер социального страхования, номер водительского удостоверения, номера банковских счетов или кредитных карт, PIN-коды, электронные подписи, отпечатки пальцев, пароли или любую другую информацию, которая может быть использована для доступа к финансовым ресурсам человека. Определение связи между утечками данных и кражей личных данных является сложной задачей, главным образом потому, что жертвы кражи личных данных часто не знают, как была получена их личная информация. Согласно отчету, подготовленному для Федеральной торговой комиссии, кража личных данных не всегда обнаруживается самими жертвами. Мошенничество с использованием личных данных часто, но не обязательно, является следствием кражи личных данных. Кто-то может украсть или неправомерно использовать личную информацию, не совершая кражи личных данных, используя информацию о каждом человеке, например, при крупной утечке данных. Исследование, проведенное Счетной палатой США, показало, что «большинство утечек не привели к зафиксированным случаям кражи личных данных». В отчете также предупреждалось, что «полный масштаб неизвестен». В более позднем неопубликованном исследовании Университета Карнеги — Меллона отмечалось, что «чаще всего причины кражи личных данных неизвестны», но сообщалось, что кто-то пришел к выводу, что «вероятность стать жертвой кражи личных данных в результате утечки данных составляет всего около 2%». Например, в одной из крупнейших утечек данных, затронувшей более четырех миллионов записей, было зарегистрировано всего около 1800 случаев кражи личных данных, по данным компании, чьи системы были взломаны. В статье за октябрь 2010 года под названием «Киберпреступность стала проще» объясняется, в какой степени хакеры используют вредоносное программное обеспечение. Как заявил Гюнтер Олльманн, главный технический директор по безопасности Microsoft: «Интересуетесь кражей кредитных карт? Для этого есть приложение». Это заявление отражает легкость, с которой эти хакеры получают доступ ко всем видам информации в Интернете. Новая программа для заражения компьютеров пользователей называлась Zeus, и она настолько удобна для хакеров, что даже неопытный хакер может ею управлять. Несмотря на простоту использования программы для взлома, это не уменьшает разрушительного воздействия Zeus (или аналогичного программного обеспечения) на компьютер и пользователя. Например, программы, подобные Zeus, могут украсть информацию о кредитных картах, важные документы и даже документы, необходимые для национальной безопасности. Если хакер получит эту информацию, это может привести к краже личных данных в масштабах всей страны или даже к возможному террористическому акту. ITAC сообщила, что в 2012 году около 15 миллионов американцев стали жертвами кражи личных данных.

Identity theft, identity piracy or identity infringement occurs when someone uses another's personal identifying information, like their name, identifying number, or credit card number, without their permission, to commit fraud or other crimes. The term identity theft was coined in 1964. Since that time, the definition of identity theft has been legally defined throughout both the U. K. and the U. S. as the theft of personally identifiable information. Identity theft deliberately uses someone else's identity as a method to gain financial advantages or obtain credit and other benefits. The person whose identity has been stolen may suffer adverse consequences, especially if they are falsely held responsible for the perpetrator's actions. Personally identifiable information generally includes a person's name, date of birth, social security number, driver's license number, bank account or credit card numbers, PINs, electronic signatures, fingerprints, passwords, or any other information that can be used to access a person's financial resources. Determining the link between data breaches and identity theft is challenging, primarily because identity theft victims often do not know how their personal information was obtained. According to a report done for the FTC, identity theft is not always detectable by the individual victims. Identity fraud is often but not necessarily the consequence of identity theft. Someone can steal or misappropriate personal information without then committing identity theft using the information about every person, such as when a major data breach occurs. A U. S. Government Accountability Office study determined that "most breaches have not resulted in detected incidents of identity theft". The report also warned that "the full extent is unknown". A later unpublished study by Carnegie Mellon University noted that "Most often, the causes of identity theft is not known", but reported that someone else concluded that "the probability of becoming a victim to identity theft as a result of a data breach is around only 2%". For example, in one of the largest data breaches which affected over four million records, it resulted in only about 1,800 instances of identity theft, according to the company whose systems were breached. An October 2010 article entitled "Cyber Crime Made Easy" explained the level to which hackers are using malicious software. As Gunter Ollmann,
Chief Technology Officer of security at Microsoft, said, "Interested in credit card theft? There's an app for that." This statement summed up the ease with which these hackers are accessing all kinds of information online. The new program for infecting users' computers was called Zeus, and the program is so hacker friendly that even an inexperienced hacker can operate it. Although the hacking program is easy to use, that fact does not diminish the devastating effects that Zeus (or other software like Zeus) can do on a computer and the user. For example, programs like Zeus can steal credit card information, important documents, and even documents necessary for homeland security. If a hacker were to gain this information, it would mean nationwide identity theft or even a possible terrorist attack. The ITAC said that about 15 million Americans had their identity stolen in 2012.

Клонирование и сокрытие личности

В этой ситуации злоумышленник выдает себя за другого человека, чтобы скрыть свою истинную личность. Примерами могут служить нелегальные иммигранты, скрывающие свой нелегальный статус, люди, скрывающиеся от кредиторов или других лиц, а также те, кто просто хочет стать "анонимным" по личным причинам. Другой пример – "позеры", люди, использующие чужие фотографии и информацию в социальных сетях. Позеры обычно создают правдоподобные истории, в которых фигурируют друзья человека, чью личность они присваивают. В отличие от кражи личных данных с целью получения кредита, которая обычно обнаруживается, когда долги растут, сокрытие может продолжаться неопределенно долго, оставаясь незамеченным, особенно если злоумышленнику удается получить поддельные документы, позволяющие успешно проходить различные процедуры аутентификации в повседневной жизни.

Кража личных данных

Когда преступник обманным путем представляется полиции другим человеком в момент ареста, это иногда называют "уголовным присвоением личности". В некоторых случаях преступники заранее добывали государственные удостоверения личности, используя похищенные у других данные, или просто предъявляли поддельные документы. Если обман удается, обвинения могут быть предъявлены жертве, что позволит преступнику избежать ответственности. Жертвы могут узнать об этом случайно, например, получив повестку в суд, обнаружив приостановку действия водительских прав при остановке за мелкое нарушение ПДД, или в ходе проверки биографических данных при трудоустройстве. Жертве уголовного присвоения личности может быть сложно очистить свою репутацию. Действия, необходимые для исправления ошибочных данных в уголовном деле жертвы, зависят от юрисдикции, где было совершено преступление, и от возможности установления истинной личности преступника. Жертве может потребоваться найти сотрудников полиции, производивших арест, и доказать свою личность надежными способами, такими как дактилоскопия или ДНК-анализ, а также, возможно, участвовать в судебном заседании для снятия обвинений. Также может потребоваться получение решения об удалении данных из судебных архивов. Власти могут навсегда сохранять имя жертвы как псевдоним истинной личности преступника в своих базах данных уголовных дел. Одна из проблем, с которой сталкиваются жертвы уголовного присвоения личности, заключается в том, что различные агрегаторы данных могут продолжать хранить неверные сведения в своих базах данных, даже после исправления полицейских и судебных записей. Таким образом, последующая проверка биографических данных может выдать ошибочные сведения о судимости. Это лишь один пример последствий, которые могут преследовать жертв присвоения личности в течение нескольких месяцев или даже лет после преступления, помимо психологической травмы, обычно вызванной "клонированием".

Синтетическая кража личных данных

Разновидность кражи личных данных, которая в последнее время стала более распространенной, – это синтетическая кража личных данных, при которой создаются полностью или частично вымышленные личности. Наиболее распространенный способ заключается в сочетании настоящего номера социального страхования с именем и датой рождения, не принадлежащими лицу, которому этот номер изначально присвоен. Синтетическую кражу личности труднее отследить, поскольку она напрямую не отражается в кредитных отчетах ни одного из затронутых лиц, но может появиться как совершенно новый файл в кредитном бюро или как дополнительный файл в кредитном отчете одной из жертв. Основной ущерб от синтетической кражи личных данных наносится кредиторам, которые невольно предоставляют кредиты мошенникам. Отдельные жертвы могут пострадать, если их имена будут ошибочно связаны с вымышленными личностями, или если негативная информация в дополнительных файлах повлияет на их кредитную историю.

Кража медицинской личности

Исследователь в области конфиденциальности Пэм Диксон, основатель Всемирного форума по вопросам конфиденциальности, ввела термин «кража медицинской идентичности» и опубликовала первый масштабный отчет по этой проблеме в 2006 году. В этом отчете она впервые дала определение этому преступлению и привлекла внимание общественности к положению жертв. Согласно определению, данному в отчете, кража медицинской идентичности происходит, когда кто-либо получает медицинскую помощь, используя данные другого человека. Также очень распространена кража страховых полисов: если у злоумышленника есть информация о вашей страховке и/или ваша страховая карта, он может обратиться за медицинской помощью, представляясь вами. Помимо риска финансового ущерба, характерного для всех видов кражи личных данных, медицинская история злоумышленника может быть добавлена в медицинскую карту жертвы. Исправить неточную информацию в медицинской карте жертвы сложно, и это может повлиять на возможность получения страховки в будущем или привести к тому, что врачи будут полагаться на ложные сведения при оказании ненадлежащей медицинской помощи. После публикации отчета, в котором содержалась рекомендация уведомлять потребителей о случаях утечки медицинских данных, штат Калифорния принял соответствующий закон, а затем HIPAA был расширен, чтобы также требовать уведомления о нарушениях в области здравоохранения, если утечка затрагивает 500 и более человек. Данные, собираемые и хранящиеся больницами и другими организациями, такими как системы медицинского страхования, в 10 раз ценнее для киберпреступников, чем данные кредитных карт.

Кража личности ребенка

Кража личных данных ребенка происходит, когда личность несовершеннолетнего используется другим человеком для личной выгоды злоумышленника. Злоумышленником может быть член семьи, друг или даже незнакомец, нацелившийся на детей. Номера социального страхования детей ценятся, поскольку с ними не связана никакая кредитная история. Мошенники могут открывать кредитные линии, получать водительские права или даже покупать недвижимость, используя личность ребенка. Это мошенничество может оставаться незамеченным годами, поскольку большинство детей узнают о проблеме лишь спустя много лет. Кража личных данных детей – довольно распространенное явление, и исследования показывают, что эта проблема растет. Крупнейшее исследование в области кражи личных данных детей, о котором сообщил Ричард Пауэр из Carnegie Mellon Cylab на основе данных, предоставленных AllClear ID, показало, что из 40 000 детей 10,2% стали жертвами кражи личных данных. Федеральная торговая комиссия (FTC) оценивает, что около девяти миллионов человек в США ежегодно становятся жертвами кражи личных данных. Также было подсчитано, что в 2008 году 630 000 человек в возрасте до 19 лет стали жертвами краж, что привело к образованию у жертв долга в размере около 12 799 долларов. Дети в целом являются частыми мишенями для кражи личных данных, но дети, находящиеся под опекой, подвергаются еще большему риску. Это связано с тем, что их часто переводят из одной семьи в другую, и их номер социального страхования передается множеству людей и организаций. Дети под опекой чаще становятся жертвами кражи личных данных со стороны собственных родственников и других членов семьи. Молодые люди, находящиеся под опекой и ставшие жертвами этого преступления, часто остаются один на один со своими проблемами и вынуждены самостоятельно разбираться с тем, как исправить свою испорченную кредитную историю.

Финансовая кража личных данных

Наиболее распространенный вид кражи личных данных связан с финансовой деятельностью. Финансовая кража личных данных включает в себя получение кредитов, займов, товаров и услуг от имени другого человека.

Защита личности

Получение персональных идентификаторов становится возможным из-за серьезных нарушений конфиденциальности. Для потребителей это обычно происходит в результате неосторочной передачи своих личных данных или учетных данных злоумышленникам (например, при фишинговой атаке), однако документы, удостоверяющие личность, такие как кредитные карты, банковские выписки, счета за коммунальные услуги, чековые книжки и т. п., также могут быть физически украдены из автомобилей, домов, офисов, почтовых ящиков и непосредственно у жертв карманниками и ворами сумок. Защита персональных идентификаторов самими потребителями является наиболее распространенной стратегией, рекомендованной Федеральной торговой комиссией США, канадской службой Phone Busters и большинством ресурсов, посвященных краже личных данных. Эти организации предоставляют рекомендации о том, как предотвратить попадание личной информации в чужие руки. Риск кражи личных данных можно частично снизить, избегая излишней идентификации (этот вид контроля информационной безопасности известен как избежание риска). Это подразумевает, что организации, ИТ-системы и процедуры не должны запрашивать чрезмерный объем личной информации или учетных данных для идентификации и аутентификации. Запрос, хранение и обработка персональных идентификаторов (таких как номер социального страхования, национальный идентификационный номер, номер водительского удостоверения, номер кредитной карты и т. д.) повышает риск кражи личных данных, если эта ценная информация не обеспечена надлежащей защитой в любое время. Запоминание персональных идентификаторов – разумная практика, которая может снизить вероятность получения этих данных злоумышленниками. Для запоминания таких номеров, как номер социального страхования и номер кредитной карты, полезно использовать мнемонические приемы или средства запоминания, например, систему основных данных. Злоумышленники иногда выдают себя за умерших, используя личную информацию, полученную из объявлений о смерти, надгробий и других источников, чтобы воспользоваться задержкой между смертью и закрытием счетов, невнимательностью скорбящих родственников и недостатками в процессах проверки кредитной истории. Такие преступления могут продолжаться некоторое время, пока родственники умершего или правоохранительные органы не заметят и не отреагируют на аномалии. В последние годы во многих странах стали доступны коммерческие услуги по защите от кражи личных данных и страхованию. Эти услуги обещают помочь защитить человека от кражи личных данных или обнаружить факт кражи в обмен на ежемесячную или годовую плату за членство или страховой взнос. Обычно эти услуги работают путем установки предупреждений о мошенничестве в кредитных файлах клиента в трех основных кредитных бюро или путем настройки мониторинга кредитных отчетов в кредитном бюро. Несмотря на активную рекламу, эффективность услуг по защите от кражи личных данных и страхованию вызывает вопросы.

The acquisition of personal identifiers is made possible through serious breaches of privacy. For consumers, this is usually a result of them naively providing their personal information or login credentials to the identity thieves (e. g., in a phishing attack) but identity related documents such as credit cards, bank statements, utility bills, checkbooks, etc. may also be physically stolen from vehicles, homes, offices, and not the least letterboxes, or directly from victims by pickpockets and bag snatchers. Guardianship of personal identifiers by consumers is the most common intervention strategy recommended by the US Federal Trade Commission, Canadian Phone Busters and most sites that address identity theft. Such organizations offer recommendations on how individuals can prevent their information from falling into the wrong hands. Identity theft can be partially mitigated by not identifying oneself unnecessarily (a form of information security control known as risk avoidance). This implies that organizations, IT systems, and procedures should not demand excessive amounts of personal information or credentials for identification and authentication. Requiring, storing, and processing personal identifiers (such as Social Security number, national identification number, driver's license number, credit card number, etc.) increases the risks of identity theft unless this valuable personal information is adequately secured at all times. Committing personal identifiers to memory is a sound practice that can reduce the risks of a would be identity thief from obtaining these records. To help in remembering numbers such as social security numbers and credit card numbers, it is helpful to consider using mnemonic techniques or memory aids such as the mnemonic Major System. Identity thieves sometimes impersonate dead people, using personal information obtained from death notices, gravestones, and other sources to exploit delays between the death and the closure of the person's accounts, the inattentiveness of grieving families, and weaknesses in the processes for credit checking. Such crimes may continue for some time until the deceased's families or the authorities notice and react to anomalies. In recent years, commercial identity theft protection/insurance services have become available in many countries. These services purport to help protect the individual from identity theft or help detect that identity theft has occurred in exchange for a monthly or annual membership fee or premium. The services typically work either by setting fraud alerts on the individual's credit files with the three major credit bureaus or by setting up credit report monitoring with the credit bureau. While identity theft protection/insurance services have been heavily marketed, their value has been called into question.

Потенциальные результаты

Кража личных данных — серьезная проблема в Соединенных Штатах. В исследовании 2018 года сообщалось о незаконном получении данных 60 миллионов американцев. В ответ, по рекомендации Центра ресурсов по борьбе с кражей личных данных, были введены новые законопроекты для повышения безопасности, такие как обязательные электронные подписи и проверка номеров социального страхования. Выводы этого исследования показали, что существует прямая зависимость между кражей личных данных и значительным ущербом.

Рынок

Существует активный рынок скупки и продажи украденной персональной информации, который функционирует главным образом на площадках даркнета, но также и на других подпольных рынках. Злоумышленники повышают стоимость похищенных данных, обогащая их информацией из открытых источников, и перепродают их для получения прибыли, тем самым увеличивая потенциальный вред для людей, чьи данные были украдены.

Международный

В марте 2014 года, после того как стало известно, что на борту рейса 370 авиакомпании Malaysia Airlines, пропавшего 8 марта 2014 года, находились два пассажира с украденными паспортами, выяснилось, что Интерпол ведет базу данных, содержащую 40 миллионов утерянных и украденных проездных документов из 157 стран. Интерпол предоставляет доступ к этой базе данных правительствам, общественности, включая авиакомпании и отели. Однако база данных утерянных и украденных проездных документов (SLTD) используется нечасто. Big News Network (штаб-квартира которой находится в ОАЭ) сообщила, что генеральный секретарь Интерпола Рональд К. Нобл заявил на форуме в Абу-Даби в прошлом месяце: "К сожалению, несмотря на высокую эффективность и возможность использования практически в любой точке мира, лишь немногие страны систематически используют SLTD для проверки пассажиров. Это создает серьезный пробел в нашей глобальной системе безопасности, которым могут воспользоваться преступники и террористы".

Филиппины

Социальные сети являются одним из самых известных источников распространения самозванцев в онлайн-сообществе, предоставляя пользователям свободу публиковать любую информацию без какой-либо проверки подлинности аккаунта. Филиппины, занимающие восьмое место по числу пользователей Facebook и других социальных сетей (таких как Twitter, Multiply и Tumblr), известны как источник различных проблем, связанных с кражей личных данных. Личные данные людей, неосторожно размещающих личную информацию в своих профилях, могут быть легко украдены при простом просмотре. Некоторые люди знакомятся в сети, общаются через чат в Facebook и обмениваются сообщениями, содержащими конфиденциальную информацию. Другие заводят романтические отношения с онлайн-знакомыми и в итоге делятся слишком большим количеством данных (например, номером социального страхования, банковским счетом, домашним адресом и адресом работы). Это явление привело к принятию Закона о предотвращении киберпреступлений 2012 года (Республиканский закон № 10175). В разделе 2 этого закона признается важность коммуникаций и мультимедиа для развития, использования и распространения информации, однако нарушители будут наказаны лишением свободы или штрафом в размере от 200 000 до 1 000 000 песо, или (в зависимости от нанесенного ущерба) обоими видами наказания.

Швеция

В Швеции было относительно немного проблем с кражей личных данных, поскольку для подтверждения личности принимались только шведские удостоверения личности. Украденные документы могут быть отслежены банками и некоторыми другими учреждениями. Банки обязаны проверять личность любого, кто снимает деньги или берет кредит. Если банк выдает деньги кому-либо, используя удостоверение личности, которое было заявлено как украденное, банк несет убытки. С 2008 года любой паспорт ЕС действителен в Швеции для подтверждения личности, а шведские паспорта действительны по всему ЕС. Это затрудняет выявление украденных документов, но банки в Швеции по-прежнему обязаны обеспечивать недопустимость использования украденных документов. В Швеции стали более распространены и другие виды кражи личных данных. Типичный пример – оформление кредитной карты на человека, у которого открыт почтовый ящик и которого нет дома в течение дня. Воры крадут письмо с кредитной картой и письмо с кодом, которое обычно приходит через несколько дней. Использовать украденную кредитную карту в Швеции сложно, поскольку обычно требуется документ, удостоверяющий личность, или PIN-код. Если магазин не требует ни того, ни другого, он должен понести убытки от принятия украденной кредитной карты. Все чаще встречаются случаи, когда наблюдают за вводом PIN-кода кредитной карты, крадут карту или копируют ее данные, а затем используют кредитную карту. С юридической точки зрения Швеция – открытое общество. Принцип общественного доступа гласит, что вся информация (например, адреса, доходы, налоги), хранящаяся государственными органами, должна быть доступна любому, за исключением определенных случаев (например, адреса людей, нуждающихся в защите, ограничены). Это облегчает мошенничество. До 2016 года не существовало законов, прямо запрещающих использование чужой личности. Вместо этого существовали законы, касающиеся лишь косвенного ущерба. Самозванство с целью получения финансовой выгоды является видом мошенничества по Уголовному кодексу (brottsbalken). Выдача себя за другого с целью дискредитации путем взлома аккаунтов в социальных сетях и провокаций считается клеветой. Однако привлечь кого-либо к ответственности за это преступление сложно. В конце 2016 года был принят новый закон, который частично запретил неправомерное использование личности.

Sweden has had relatively few problems with identity theft because only Swedish identity documents were accepted for identity verification. Stolen documents are traceable by banks and certain other institutions. Banks are required to check the identity of anyone withdrawing money or getting loans. If a bank gives money to someone using an identity document that has been reported as stolen, the bank must take this loss. Since 2008, any EU passport is valid in Sweden for identity verification, and Swedish passports are valid all over the EU. This makes it harder to detect stolen documents, but banks in Sweden still must ensure that stolen documents are not accepted. Other types of identity theft have become more common in Sweden. One common example is ordering a credit card to someone who has an unlocked letterbox and is not home during the daytime. The thief steals the letter with the credit card and the letter with the code, which typically arrives a few days later. Usage of a stolen credit card is difficult in Sweden since an identity document or a PIN code is normally demanded. If a shop does not demand either, it must take the loss from accepting a stolen credit card. The practice of observing someone using their credit card's PIN code, stealing the credit card, or skimming it, and then using the credit card has become more common. Legally, Sweden is an open society. The Principle of Public Access states that all information (e. g. addresses, incomes, taxes) kept by public authorities must be available for anyone, except in certain cases (for example, the addresses of people who need to hide are restricted). This makes fraud easier. Until 2016, there were no laws that specifically prohibited using someone's identity. Instead, there were only laws regarding any indirect damages caused. Impersonating anyone else for financial gain is a type of fraud in the Criminal Code (brottsbalken). Impersonating anyone else to discredit them by hacking into their social media accounts and provoke is considered libel. However, it is difficult to convict someone of committing this crime. In late 2016, a new law was introduced which partially banned undetermined identity usage.

Великобритания

В Соединенном Королевстве личные данные защищены Законом о защите данных 1998 года. Закон охватывает все личные данные, которые может хранить организация, включая имена, даты рождения и годовщины, адреса и номера телефонов. Согласно английскому законодательству (которое распространяется на Уэльс, но не на Северную Ирландию или Шотландию), преступления, связанные с обманом, предусмотренные Законом о краже 1968 года, все чаще сталкиваются с ситуациями кражи личных данных. В деле R v Seward (2005) EWCA Crim 1941 подсудимый выступал в роли "представителя" при использовании украденных кредитных карт и других документов для получения товаров. Он получил товары на сумму 10 000 фунтов стерлингов для других лиц, которых вряд ли когда-либо удастся установить. Апелляционный суд рассмотрел политику вынесения приговоров за преступления, связанные с обманом и "кражей личных данных", и пришел к выводу, что необходимо лишение свободы. Судья Henriques J. отметил в пункте 14: "Мошенничество с использованием личных данных – это особенно злонамеренная и распространенная форма нечестности, требующая, по нашему мнению, карательных приговоров". Статистические данные, опубликованные CIFAS (Службой предотвращения мошенничества в Великобритании), показывают, что в 2010 году в Великобритании было 89 000 жертв кражи личных данных, а в 2009 году – 85 000 жертв. Наиболее распространенными жертвами являются мужчины в возрасте от 30 до 40 лет. Мошенничество с использованием личных данных теперь составляет почти половину всех зарегистрированных случаев мошенничества.

Соединенные Штаты

Увеличение числа преступлений, связанных с хищением личных данных, привело к разработке Закона о защите от хищения личных данных и предотвращении злоупотреблений. В 1998 году Федеральная торговая комиссия (FTC) выступила перед Сенатом США. FTC обсудила преступления, использующие потребительский кредит для совершения мошенничества с займами, ипотечного мошенничества, мошенничества с кредитными линиями, мошенничества с кредитными картами, а также мошенничества с товарами и услугами. Закон о защите от хищения личных данных (2003 г.) [ITADA] внес поправки в Раздел 18 Кодекса США, § 1028 («Мошенничество, связанное с деятельностью в отношении идентификационных документов, средств аутентификации и информации»). Теперь закон устанавливает уголовную ответственность на федеральном уровне за владение любыми «средствами идентификации» при их «умышленной передаче, владении или использовании без законных полномочий», наряду с незаконным владением идентификационными документами. Однако для возбуждения уголовного дела на федеральном уровне преступление должно включать «идентификационный документ», который: (a) предположительно выдан Соединенными Штатами, (b) используется или предназначен для мошенничества в отношении Соединенных Штатов, (c) отправлен по почте или (d) используется способом, влияющим на межгосударственную или внешнюю торговлю. См. (c). Наказание может составлять до 5, 15, 20 или 30 лет лишения свободы в федеральной тюрьме, а также штраф, в зависимости от основного преступления, согласно (b). Кроме того, наказания за незаконное использование «средства идентификации» были ужесточены в § 1028A («Усугубленное хищение личных данных»), что позволяет назначить последовательное наказание за конкретные тяжкие преступления, перечисленные в § 1028A(c)(1) – (11). Закон также наделяет Федеральную торговую комиссию полномочиями отслеживать количество инцидентов и размер убытков в денежном выражении. Их данные в основном касаются финансовых преступлений в отношении потребителей, а не более широкого спектра преступлений, связанных с идентификацией. В случае возбуждения уголовного дела государственными или местными правоохранительными органами применяются различные санкции в зависимости от штата. Шесть федеральных агентств создали совместную рабочую группу для повышения эффективности выявления хищения личных данных. Их совместная рекомендация по «красным флажкам» представляет собой набор требований к финансовым учреждениям и другим организациям, предоставляющим кредитную информацию агентствам кредитной отчетности, для разработки письменных планов по выявлению хищения личных данных. FTC установила, что большинство медицинских учреждений считаются кредиторами и должны соблюдать требования по разработке плана предотвращения и реагирования на хищение личных данных пациентов. Эти планы должны быть утверждены советом директоров каждой организации и контролироваться высшим руководством. Доля жалоб на хищение личных данных в общем количестве жалоб на мошенничество снизилась с 2004 по 2006 год. Федеральная торговая комиссия сообщила, что жалобы на мошенничество в целом растут быстрее, чем жалобы на хищение личных данных. По оценкам комиссии на 2003 год, хищение личных данных привело к убыткам в размере 52,6 миллиарда долларов только за предыдущий год и затронуло более 9,91 миллиона американцев; эта сумма включает 47,6 миллиарда долларов, потерянных предприятиями, и 5 миллиардов долларов, потерянных потребителями. По данным Бюро статистики юстиции США, в 2010 году 7% домохозяйств США столкнулись с хищением личных данных, по сравнению с 5,5% в 2005 году, когда данные были впервые собраны, но в целом оставались стабильными с 2007 года. В 2012 году около 16,6 миллионов человек, или 7% всех жителей США в возрасте 16 лет и старше, сообщили о том, что стали жертвами одного или нескольких инцидентов хищения личных данных. По крайней мере, два штата, Калифорния и Висконсин, создали Управление по защите конфиденциальности, чтобы помочь своим гражданам избежать хищения личных данных и восстановиться после него. В 2009 году в штате Индиана было создано подразделение по борьбе с хищением личных данных в рамках офиса генерального прокурора для обучения и оказания помощи потребителям в предотвращении и восстановлении после хищения личных данных, а также для оказания помощи правоохранительным органам в расследовании и преследовании преступлений, связанных с хищением личных данных. В штате Массачусетс в 2009–2010 годах губернатор Девал Патрик взял на себя обязательство по обеспечению баланса между защитой прав потребителей и потребностями малого бизнеса. Его офис по делам потребителей и регулированию бизнеса объявил о внесении определенных изменений в правила штата Массачусетс о хищении личных данных, которые сохраняют защиту и обеспечивают гибкость в соблюдении требований. Эти обновленные правила вступили в силу 1 марта 2010 года. В этих правилах четко указано, что их подход к обеспечению безопасности данных основан на оценке рисков, что важно для малого бизнеса и может не охватывать большой объем персональной информации о клиентах. Налоговая служба США (IRS) создала специализированное подразделение по защите от хищения личных данных IRS, чтобы помочь налогоплательщикам, ставшим жертвами федерального налогового мошенничества, связанного с хищением личных данных. Как правило, злоумышленник использует украденный номер социального страхования (SSN) для подачи поддельной налоговой декларации и попытки получить мошенническое возмещение в начале сезона подачи деклараций. Налогоплательщику необходимо заполнить форму 14039 «Заявление о хищении личных данных». Что касается будущего медицинского обслуживания и Medicaid, то большинство людей обеспокоены облачными вычислениями. Внедрение облачных технологий в систему Medicare США обеспечит легкодоступную информацию о состоянии здоровья для отдельных лиц, но также облегчит хищение личных данных. В настоящее время разрабатываются новые технологии для шифрования и защиты файлов, что обеспечит плавный переход к облачным технологиям в системе здравоохранения.

The increase in crimes of identity theft led to the drafting of the Identity Theft and Assumption Deterrence Act. In 1998, The Federal Trade Commission appeared before the United States Senate. The FTC discussed crimes which exploit consumer credit to commit loan fraud, mortgage fraud, lines of credit fraud, credit card fraud, commodities and services frauds. The Identity Theft Deterrence Act (2003)[ITADA] amended U. S. Code Title 18, § 1028 ("Fraud related to activity in connection with identification documents, authentication features, and information"). The statute now makes the possession of any "means of identification" to "knowingly transfer, possess, or use without lawful authority" a federal crime, alongside unlawful possession of identification documents. However, for federal jurisdiction to prosecute, the crime must include an "identification document" that either: (a) is purportedly issued by the United States, (b) is used or intended to defraud the United States, (c) is sent through the mail, or (d) is used in a manner that affects interstate or foreign commerce. See (c). Punishment can be up to 5, 15, 20, or 30 years in federal prison, plus fines, depending on the underlying crime per (b). In addition, punishments for the unlawful use of a "means of identification" were strengthened in § 1028A ("Aggravated Identity Theft"), allowing for a consecutive sentence under specific enumerated felony violations as defined in § 1028A(c)(1) through (11). The Act also provides the Federal Trade Commission with authority to track the number of incidents and the dollar value of losses. Their figures relate mainly to consumer financial crimes and not the broader range of all identification based crimes. If charges are brought by state or local law enforcement agencies, different penalties apply to depend on the state. Six Federal agencies conducted a joint task force to increase the ability to detect identity theft. Their joint recommendation on "red flag" guidelines is a set of requirements on financial institutions and other entities which furnish credit data to credit reporting services to develop written plans for detecting identity theft. The FTC has determined that most medical practices are considered creditors and are subject to requirements to develop a plan to prevent and respond to patient identity theft. These plans must be adopted by each organization's board of directors and monitored by senior executives. Identity theft complaints as a percentage of all fraud complaints decreased from 2004 to 2006. The Federal Trade Commission reported that fraud complaints in general were growing faster than ID theft complaints. The commission's 2003 estimate was that identity theft accounted for some $52.6 billion of losses in the preceding year alone and affected more than 9.91 million Americans; the figure comprises $47.6 billion lost by businesses and $5 billion lost by consumers. According to the U. S. Bureau of Justice Statistics, in 2010, 7% of US households experienced identity theft up from 5.5% in 2005 when the figures were first assembled, but broadly flat since 2007. In 2012, approximately 16.6 million persons, or 7% of all U. S. residents age 16 or older, reported being victims of one or more incidents of identity theft. At least two states, California and Wisconsin have created an Office of Privacy Protection to assist their citizens in avoiding and recovering from identity theft. In 2009, Indiana created an Identity Theft Unit within their Office of Attorney General to educate and assist consumers in avoiding and recovering from identity theft as well as assist law enforcement in investigating and prosecuting identity theft crimes. In Massachusetts in 2009–2010, Governor Deval Patrick committed to balancing consumer protection with the needs of small business owners. His Office of Consumer Affairs and Business Regulation announced certain adjustments to Massachusetts' identity theft regulations that maintain protections and also allow flexibility in compliance. These updated regulations went into effect on 1 March 2010. The regulations are clear that their approach to data security is a risk based approach important to small businesses and might not handle a lot of personal information about customers. The IRS has created the IRS Identity Protection Specialized Unit to help taxpayers' who are victims of federal tax related identity theft. Generally, the identity thief will use a stolen SSN to file a forged tax return and attempt to get a fraudulent refund early in the filing season. A taxpayer will need to fill out Form 14039, Identity Theft Affidavit. As for the future of medical care and Medicaid, people are mostly concerned about cloud computing. The addition of using cloud information within the United States medicare system would institute easily accessible health information for individuals, but that also makes it easier for identity theft. Currently, new technology is being produced to help encrypt and protect files, which will create a smooth transition to cloud technology in the healthcare system.

Уведомление

Многие штаты последовали примеру Калифорнии и приняли законы об обязательном уведомлении об утечках данных. В результате компании, обнаружившие утечку данных, как правило, уведомляют об этом всех своих клиентов.

Организации

США