Наталія Козаєва,
Голова Комісії Нотаріальної палати України з питань інформатизації,
цифрової трансформації та запобігання кіберзлочинності,
Голова відділення Нотаріальної палати України в м. Києві,
приватний нотаріус Київського міського нотаріального округу.
19 грудня 2024 року російські хакери на тижні зупинили понад тридцять реєстрів Міністерства юстиції. Не продавалися квартири. Не оформлювали спадщину. Не приходили виплати «єВідновлення» постраждалим від війни. Не працювали інші державні сервіси. Минуло більше року. Архітектура захисту кінцевих точок –користувачі цих реєстрів не змінилася. А цільові кібератаки на нотаріусів, основних користувачів цих реєстрів, не припинилися жодного дня. Україна не має права на повтор. Нижче -що треба змінити і чому це справа не лише нотаріусів.
1. Що сталося і чому це стосується кожного
Реєстри Мінюсту – це не абстракція. У них записано право власності на вашу квартиру, дані про вашу дитину, статус вашого підприємства, ваш борг, ваш шлюб. Якщо реєстр зупиняється, ваші права також зупиняються.
19 грудня 2024-го це відчув кожен. Атака на ДП «Національні інформаційні системи» заблокувала купівлю-продаж нерухомості, корпоративні дії, оформлення спадщини, виплати «єВідновлення», довідки для «Резерв+», функції «єМалятко». Перереєстрація автомобілів стала. Витяг з ЄДР не отримати. Прикордонник не міг автоматично перевірити документ дитини, яка виїжджала закордон.
Хакери заявили, що знищили навіть резервні копії за кордоном. Резерв спрацював. Але час, втрачений на відновлення, рахувався тижнями. У воюючій країні це довго.
2. Атаки на нотаріусів. Десять років без виправлень
Нотаріус – це кінцева точка доступу до реєстрів Мінюсту. Зламали нотаріуса, зайшли в реєстри.
У січні-лютому 2025 року Держспецзв’язку і CERT-UA офіційно зафіксували активізацію угруповання UAC-0173, яке б’є саме по нотаріусах. Фішинг від імені Мінюсту. Шкідливі файли під виглядом наказів відомства. Прихований віддалений доступ. Несанкціоновані зміни записів. Постраждалі офіси в шести регіонах. Регулятор повторює одну тезу: атаки триватимуть. Вони і тривають.
Нотаріальна спільнота піднімає тему нормальної автентифікації понад десять років. За цей час інтерфейси Спадкового реєстру, Реєстру нотаріальних бланків і Єдиного реєстру довіреностей не оновлювалися. Другий фактор тримається на одноразовому коді з GoogleAuthenticator. Якщо комп’ютер скомпрометований, такий «другий фактор» не зупиняє нікого.
За весь цей час жоден з відповідальних суб’єктів публічно не запропонував рішення, після якого ризик кібератаки для кінцевого користувача знизився б хоча б на 50% від поточного. Інструкції і пам’ятки – так. Архітектурне рішення – ні.
3. У кожному інциденті винен користувач
Регулятор – Міністерство юстиції України і державний технічний адміністратор реєстрів займають одну позицію. Винен у атаці нотаріус. Аргументи незмінні: не дотримав кібергігієни, не організував робоче місце, не встановив потрібний антивірус, не оновив операційну систему або ж встановив «зайве» програмне забезпечення.
Реакція часто настає до результатів кіберекспертизи. До встановлення способу віддаленого доступу. До з’ясування, як саме ідентифікатори опинились у третіх осіб. Логіка проста: атакували тебе, отже ти і винен. Те, що нотаріус сам виявив атаку і сам про неї повідомив, у цій логіці ваги не має.
Старі інтерфейси без оновлень з 2010 року – це нічий недогляд. Заражений ПК атакованого нотаріуса – це привід для процедурних висновків. Асиметрія очевидна.
І це не лише про нотаріусів. Реєстрами Мінюсту користуються державні реєстратори, ДРАЦС, виконавці, банки, бізнес. Сьогодні атаки концентруються на нотаріусах як найбільш юридично значущій категорії. Завтра вектор може зміститися.
4. Закон є. Виконання застрягло у Міністерстві юстиції
Нормативна база для розв’язання задачі в Україні існує. Закон «Про захист інформації в інформаційно-комунікаційних системах» у редакції 2025 року. Постанови Кабінету Міністрів № 712 і № 373.
Ключова норма для нашого випадку. Пункт 20 Мінімальних вимог постанови № 373: володілець інформації, який не є власником системи, зобов’язаний встановити умови обробки інформації, що забезпечать її захист. А державні інформаційні ресурси можна обробляти лише в авторизованих системах з безпеки.
Що це означає на практиці? Мінюст як держатель реєстрів мав видати наказ із вимогами до підключення нотаріусів, державних реєстраторів та інших кінцевих користувачів. Наказу немає. Цільового профілю безпеки в частині кінцевих точок доступу як наслідок теж немає. А вимога обробляти інформацію тільки в авторизованих системах – існує. У цьому правовому розриві сьогодні знаходиться кожен користувач реєстру.
Чому ланцюг розірваний саме там? Міністерство юстиції за останні роки пройшло складний цикл змін керівництва. Тема авторизації реєстрів тільки зараз поступово виходить на політичний пріоритет, чомусь профільні відповідальні особи раніше цим не переймались. Обмеження вирішення цього питання відбувалось інституційне. Але наслідки відсутності належного регулювання відчували і відчувають усі користувачі реєстрів.
5. е-Нотаріат на дефектному фундаменті
Восени 2025 року, на тлі ще не охололих наслідків грудневої атаки, запустили тестовий період е-Нотаріату.
Логіка ризику тут проста. Нова надбудова стає на ту саму систему, в якій базова задача не розв’язана. Архітектура захисту кінцевих точок не побудована. Авторизація з безпеки в частині робочих місць користувачів не пройдена. Кожен новий сервіс на такому фундаменті не зменшує, а збільшує поверхню атаки. Додає нові вектори витоку персональних даних громадян. Додає нові точки відмови.
Відкривати наступний блок, не закривши попередній, це не цифрова трансформація. У 2026 році, у воюючій країні, ціна такої легковажності з найбільшою державною базою прав громадян – це питання національної безпеки.
6. Ціну платять не нотаріуси, а громадяни і бізнес
Поки регулятор, держатель реєстрів і технічний адміністратор обмінюються листами, ціну несуть конкретні люди.
Громадянин, який не може продати квартиру. Підприємець, у якого ЄДР не відповідає. Спадкоємець, який місяць не може оформити спадщину після смерті матері. Сім’я з новонародженою дитиною, що не отримає свідоцтво про народження, бо ДРАЦС ще не запустився.
Грудень 2024-го показав, як далеко тягнеться цей ланцюг. Сім’ї, які втратили житло від російських ударів, не отримали виплат «єВідновлення». Багатодітні батьки не могли оформити відстрочку через «Резерв+». «єМалятко» не працювало. Витяг з ЄДР для контрагента не отримати. Це не дрібні зупинки. Це інфраструктура, на якій тримаються одночасно соціальна, оборонна і економічна функції держави.
Окрема лінія – це рейдерство. Коли реєстр прав власності недоступний або його записи під сумнівом, відкривається вікно для тих, хто хоче зайти на чужу квартиру, забрати малий бізнес у регіоні, переоформити земельну ділянку. Це не теорія. Це описана практика. Поки фундамент захисту не зміцнений, лінія рейдерства з кіберскладовоюрозширюватиметься.
І найголовніше: довіра. Коли громадянин чи інвестор знає, що запис у реєстрі можна підмінити, він починає вірити паперу, а не реєстру. Власник нерухомості, що щойно купив квартиру, чекає сюрпризу. Бізнес, що перевіряє контрагента, не довіряє відомостям. Інвестори ззовні і всередині країни втрачають довіру до системи прав власності, на якій тримається економіка відбудови.
Атаки на нотаріусів і кінцевих користувачів реєстрів, це не виключно проблема нотаріату. Це проблема довіри до системи реєстрації прав і бізнесу в країні. Якщо записи можуть бути недостовірні, то будь-яка реєстраційна дія перестає бути беззаперечною. У 2026 році, коли Україна одночасно воює, проводить євроінтеграційні реформи і будує економіку відбудови, ціна такого тріщання непомірна.
7. Три моделі. Чиє це робоче місце і чий контур захисту
Що пропонує нотаріальна спільнота в юридичній площині? Комісія НПУ після консультацій з фахівцями виділила три моделі правового статусу робочого місця нотаріуса.
Модель перша. Робоче місце нотаріуса як самостійна ІКС, власник якої сам нотаріус. Юридично простий варіант, що зберігає автономію професії і нотаріальну таємницю. Слабке місце: вартість і організаційне навантаження повної процедури авторизації лягає на кожного з понад шести тисяч нотаріусів. Без зовнішньої фахової підтримки це нереалістично.
Модель друга. Робоче місце нотаріуса як виділена кінцева точка доступу до реєстрів. Така точка входить в інформаційно-комунікаційну систему технічного адміністратора, ДП «Національні інформаційні системи», за умови ізоляції від решти діяльності офісу. Знімає з нотаріуса основне технічне навантаження. Дає уніфікований рівень захисту. Потребує інституційного, фінансового і технічного зобов’язання НАІС прийняти роль розпорядника точок доступу.
Модель третя. Палата створює власного функціонального адміністратора. Спеціалізований суб’єкт із централізованою методичною, технічною і консультаційною підтримкою спільноти у виконанні вимог профілів безпеки і проходженні авторизації. Інституційно випереджає роль функціонального адміністратора з проєкту Закону №5644. Може поєднуватися з першою або другою моделлю.
Який саме варіант обере держава, питання діалогу зі стейкхолдерами. Безвибірний сценарій сьогодні – поточна ситуація. У ній ризик росте кожного дня.
Жодна з трьох моделей не звільняє держателя реєстрів і технічного адміністратора від їхньої частини відповідальності. Питання «чий контур» – це юридична задача. Питання «який рівень захисту в самому реєстрі» -це окрема технічна задача. Нотаріус її не розв’яже, навіть у моделі першій, де він самостійний власник своєї ІКС. Тому поряд із моделями на столі мають бути конкретні технічні рішення.
8. Що мають зробити Мінюст і НАІС: п’ять пропозицій Комісії
Захист реєстру – це не про те, щоб нотаріус «краще пильнував свій ПК». Кібергігієну нотаріус несе. Поряд з нею існує великий контур відповідальності, який жоден кінцевий користувач не закриє. Це контур держателя реєстрів і технічного адміністратора. Комісія НПУ пропонує до врахування у Базовому і цільовому профілях безпеки п’ять рішень.
1. Zero Trust на стороні сервера. Сервер реєстру виходить з того, що будь-яке робоче місце потенційно скомпрометоване. Це не недовіра до користувача. Це конструктивна особливість сучасних кібератак, у яких противник не виявляє себе на кінцевій точці. Сервер перевіряє кожну критичну дію на патерн поведінки реального користувача. Аномалію фіксує. Без такої логіки на стороні реєстру жодна кібергігієна не зупинить зловмисника, який вже всередині.
2. «Авторизатор реєстрів» як незалежний канал. Мобільний застосунок для підтвердження критичних дій нотаріуса. Канал, ізольований від інтерфейсу взаємодії з реєстром. Саме того фактора зараз і не вистачає, щоб противник не міг діяти ідентифікаторами нотаріуса в обхід його волі. Це проєктне рішення, яке мають ухвалити відповідні органи, а не нотаріус.
3. Хмарний КЕП і свобода вибору засобу підпису. Гарантоване право нотаріуса обирати між апаратним токеном і хмарним КЕП високого рівня довіри (SmartID, MobileID, аналогічні рішення). Це знімає одну з ключових уразливостей, перехоплення пароля токена на скомпрометованому ПК.
4. Контроль атрибутів сертифіката КЕП на стороні реєстру. Реєстр забороняє доступ за сертифікатами, які не містять відомостей про статус нотаріуса, його посаду і номер свідоцтва. Сьогодні фіксуються випадки доступу за КЕП фізичної особи. Це питання конфігурації перевірки на стороні системи, а не дисципліни користувача.
5. Кросплатформеність. Реєстри працюють не лише на Windows, але і на Unix-подібних системах і веб-платформах. Прив’язка до однієї закритої екосистеми, питання не зручності, а цифрового суверенітету. Це особливо важливо тепер, коли в операційні системи інтегрують штучний інтелект з обробкою даних на закордонних серверах.
Ці п’ять пропозицій не виключають одна одну. Більше того, їх варто впроваджувати разом, бо кожна закриває окремий сегмент уразливості. Тоді принцип «нотаріус сам відповідає за свій ПК» стає тим, чим і має бути, кібергігієною як частиною загальної відповідальності. А не єдиним і останнім рубежем оборони системи прав.
9. Чому те, що ми робимо самі, це симптом
Поки архітектурного рішення немає, нотаріальна спільнота робить, що може. Комісія НПУ приймає повідомлення колег про кіберінциденти. Аналізує цифрові артефакти. Попереджає про фішингові кампанії. Готує методичні рекомендації. Проводить навчання з кібергігієни. Координує взаємодію з Кіберполіцією, CERT-UA, Мінюстом.
Це корисна робота. Але сам факт, що елементарні маркери компрометації розсилаються нотаріусам комісією професійної спільноти, означає одне. Системний рівень захисту реєстру не закриває цей рівень загроз.
На рівні самого реєстру такі аномалії мали б фіксуватися автоматично, ще до того, як нотаріус прийшов на роботу. Якщо це доводиться робити вручну, виключно силами Комісії НПУ – це симптом. Самоорганізація це сила. Але цю силу спільнота вмикає тому, що системний рівень не дороблений.
10. Що нотаріат пропонує державі у 2026 році
Україна воює. Викликів більше, ніж можна спокійно витримати. Кібератаки на критичну інфраструктуру – постійний фон. Захист персональних даних громадян, питання національної безпеки, а не репутації відомства. Ігнорувати очевидне сьогодні означає множити збитки, які повернуться. Платитимуть усі: громадяни, бізнес, держава.
Український нотаріат сучасний. Він не чекає, поки держава збудує цифрову трансформацію. Він її будує сам. Нотаріуси беруть участь у програмах підтримки громадян, постраждалих від війни. Нотаріуси щодня посвідчують договори, оформлюють спадщину і дарунки, працюють із корпоративними правами, здійснюють державну реєстрацію, опрацьовують сотні тисяч документів. Нотаріуси консультують і тим зменшують кількість спорів, які інакше прийшли б у суди. Нотаріат виконує функцію превентивного правосуддя і функцію медіатора у відносинах між людьми та між людьми й інституціями.
Восени 2025 року, паралельно з оголошеним запуском е-Нотаріату, нотаріальна спільнота Києва коштом власних членських внесків запустила застосунок «Мій Нотаріус». Це перший в історії української правової системи мобільний застосунок професійної спільноти. Власник продукту, Відділення Нотаріальної палати України в м. Києві, що об’єднує понад 1300 нотаріусів і є найбільшим територіальним відділенням нотаріусів України.
Що в застосунку для громадянина:
• Інтерактивна карта нотаріусів усієї України з актуальними графіками і маршрутами.
• Понад сто безкоштовних консультацій від практикуючих нотаріусів простою мовою.
• Перевірка і накладення кваліфікованого електронного підпису онлайн, у партнерстві з командою ID.GOV.UA Міністерства цифрової трансформації.
Що в застосунку для нотаріуса:
• Закритий «Кабінет нотаріуса» з оновленням професійних даних.
• Новини, важливі повідомлення, «База знань».
• Сторінка «Мій нотаріальний архів».
• Система голосувань самоврядування.
• Оперативні попередження Комісії про кіберзагрози в реальному часі.
«Кабінет нотаріуса» за своєю архітектурою здатний виконувати функцію того самого «Авторизаторареєстрів», про який ми писали вище. Незалежний, ізольований від інтерфейсу реєстру канал багатофакторного підтвердження критичних дій нотаріуса. Саме того, відсутність чого зараз дозволяє противнику діяти ідентифікаторами нотаріуса в обхід його волі. Це готовий до інтеграції інструмент, побудований професійною спільнотою власним коштом. Він може бути запропонований державі як партнерська компонента у вирішенні задачі, що понад десять років залишається відкритою.
Ми не претендуємо бути фахівцями з кібербезпеки. Ми нотаріуси. Але якщо обставини вимагають, ми розберемось. Ми вже розбираємось. Чого ми чекаємо від держави: чітких правил і вимог у галузі, послідовної регуляторної рамки, реалістичних строків. Щоб ланцюг авторизації, закладений у законі, замкнувся не на кінцевому користувачі, а на тих, хто несе свою інституційну роль. Не більше і не менше.
Понад десять років – це достатньо часу, щоб задача була розв’язана. Грудень 2024-го це достатньо болюче нагадування, щоб не повторити пройдене. Очевидне у 2026 році ігнорувати не можна. Ми, нотаріуси, готові робити свою частину. Чекаємо на партнерів з боку держави.
