Электронная подпись: как не купить подделку и не потерять ключ
Электронная подпись заменяет росчерк в документах: с её помощью сдают отчётность, участвуют в торгах и подписывают договоры. Поэтому подпись — лакомый объект для мошенников.
Разберём, как проверять сертификат, какие схемы обмана встречаются и что делать, если ключ утерян или попал не в те руки.
Как устроена подпись
Есть закрытый ключ — он хранится на токене или в защищённом хранилище.
Есть сертификат — документ, подтверждающий, что ключ принадлежит вам.
Есть удостоверяющий центр, который выдаёт сертификат и ведёт его учёт.
Что проверять при покупке
Кто выдаёт сертификат: аккредитованный удостоверяющий центр.
Какие полномочия указаны в сертификате и достаточно ли их для ваших задач.
Что входит в стоимость: токен, лицензия на программу, консультация.
Признаки подделки
Продавец обещает «подпись без личного присутствия» и без документов.
Срок изготовления — час, а не день.
Цена значительно ниже рыночной.
Сертификат выдан организацией, которой нет в официальных реестрах.
Опасность «универсальных» подписей
Некоторые продавцы предлагают подпись «для любых торгов» с чужими реквизитами.
Такая подпись либо недействительна, либо оформлена на подставную организацию.
Подписывать документы чужой подписью — нарушение закона и риск уголовной ответственности.
Проверка сертификата
Откройте сертификат и проверьте срок действия и владельца.
Убедитесь, что ИНН и наименование совпадают с вашими данными.
Проверьте статус сертификата в реестре удостоверяющего центра.
Проверка через портал
Государственные сервисы показывают сведения о выданных сертификатах.
Если сертификат не находится, это повод обратиться в удостоверяющий центр.
Хранение ключа
Держите токен отдельно от ноутбука, если он не нужен постоянно.
Не храните копию ключа в облаке и на рабочем столе.
Не отправляйте файл ключа по почте и в мессенджерах.
Передача подписи
Передача токена и PIN-кода другому человеку означает передачу права подписи.
Если сотрудник подписывает документы вашей подписью, ответственность лежит на владельце.
Для делегирования существуют machine-readable доверенности, а не передача токена.
Если токен потерян
Сообщите в удостоверяющий центр.
Отзовите сертификат, если есть такая возможность.
Проверьте, не подписывались ли документы за это время.
Если ключ украли
Немедленно отзовите сертификат.
Уведомите контрагентов и налоговую, если подпись использовалась для отчётности.
Подайте заявление в полицию.
Мошенничество с «продлением»
Вам звонят и сообщают, что сертификат истекает и нужно срочно оплатить продление.
Просят перевести деньги или установить программу удалённого доступа.
Настоящее продление оформляется через удостоверяющий центр, а не по ссылке из звонка.
Фишинговые сайты
Поддельный сайт просит ввести данные токена и PIN.
После этого мошенник может подписывать документы от вашего имени.
Проверяйте адрес сайта и работайте только через официальные порталы.
Если установили программу «для подписи»
Отключите ноутбук от сети.
Проверьте автозагрузку и удалённый доступ.
Смените пароли и отзовите сертификат.
Что делать перед сделкой
Проверьте контрагента и его полномочия.
Убедитесь, что документ подписан действующим сертификатом.
Сохраните копии подписанных файлов и журналы.
Как проверить удостоверяющий центр
Найдите центр в списке аккредитованных.
Проверьте, есть ли у него офис и договор с вашей организацией.
Уточните, какие сертификаты он выдаёт и на каких условиях.
Что входит в комплект
Токен и его серийный номер.
Программа для работы с подписью.
Инструкция и контакты поддержки.
Как хранить токен
В отдельном месте, а не в рюкзаке с ноутбуком.
Вдали от влаги и сильных магнитных полей.
С записанным серийным номером в документах.
Какие документы можно подписывать
Только те, которые вы прочитали.
Проверяйте вложения и вложения в архив.
Не подписывайте пустые файлы «для отправки позже».
Что делать при подозрении на кражу
Отзовите сертификат.
Проверьте журналы подписания.
Уведомите контрагентов и службу безопасности.
Как не попасть на фишинг
Входите в порталы по адресам, сохранённым в закладках.
Не вводите PIN на страницах, открытых по ссылке.
Проверяйте сертификат сайта и домен.
Почему подпись — ценный объект
Одна подпись может закрыть договор, отчётность или заявку на участие в торгах. Поэтому мошенникам интересен не только сам токен, но и возможность подписать документ от вашего имени.
Чаще всего атака идёт не через взлом криптографии, а через людей: звонок «из удостоверяющего центра», ссылка на «продление», просьба установить программу для работы с подписью.
Техническая защита здесь сильна, а человеческий фактор — нет. Именно поэтому правила хранения и проверки важнее любых настроек.
Как выглядит фишинг под продление
Звонящий сообщает, что сертификат истекает и без продления вы не сможете сдать отчётность. Затем предлагает «ускорить» процесс: перевести оплату или установить программу удалённого доступа для настройки.
Иногда присылают ссылку на сайт, копирующий портал удостоверяющего центра. Там просят PIN-код токена и данные сертификата.
После этого мошенник может подписывать документы, а вы узнаете об этом по счетам и претензиям контрагентов.
Как проверить, что вам звонят официально
Перезвоните в удостоверяющий центр по номеру с его сайта, а не по номеру звонящего.
Уточните, действительно ли срок сертификата истекает и какие документы нужны для продления.
Никогда не устанавливайте программы по просьбе звонящего и не сообщайте PIN-код.
Что делать, если подпись скомпрометирована
Отзовите сертификат как можно быстрее.
Проверьте журналы подписания и список документов, подписанных за подозрительный период.
Уведомите контрагентов, налоговую и службу безопасности организации.
Как хранить ключ
Держите токен отдельно от ноутбука, если он нужен не постоянно.
Не копируйте ключ в облако и не пересылайте его в мессенджерах.
Записывайте серийный номер токена в документы: это поможет при утере.
Что запомнить
- Сертификат выдаёт аккредитованный удостоверяющий центр.
- «Подпись без документов» — почти всегда подделка.
- Токен и PIN нельзя передавать.
- При утере или краже сертификат отзывается.
FAQ
Можно ли купить ЭЦП за час?
Оформление требует проверки личности и документов. Слишком быстрое изготовление — признак обмана.
Что делать при утере токена?
Сообщить в удостоверяющий центр и отозвать сертификат.
Опасно ли продление по телефону?
Да. Продление оформляется официально, без перевода денег по указанию звонящего.
Можно ли передать подпись бухгалтеру?
Передача токена недопустима. Используйте доверенность и отдельную подпись для сотрудника.