Главная/Блог/Предотвращение утечек данных

Как предотвратить утечку данных через мессенджеры: практическое руководство

16 марта 2026 · 20 мин чтения

В январе 2026 года в открытый доступ попала внутренняя переписка одного из крупных российских ритейлеров. 14 000 сообщений, включая финансовые отчёты, планы по сокращению персонала и переговоры о поглощении конкурента. Источник утечки — корпоративный чат в Telegram, из которого менеджер среднего звена пересылал информацию «для удобства» на личный аккаунт.

Ущерб оценили в 120 млн рублей: падение акций, сорванная сделка, судебные иски. При этом стоимость внедрения защищённого мессенджера с DLP-функциями для компании из 3 000 сотрудников составила бы около 3 млн рублей в год.

Эта статья — не про страшилки. Она про конкретные действия: какие каналы утечек существуют, как работает DLP в мессенджерах и что вы можете сделать прямо сейчас, чтобы защитить корпоративную переписку.

Масштаб проблемы в цифрах

Данные из отчётов за 2025 год по российскому рынку:

Последние две цифры — самые важные. Между моментом утечки и моментом обнаружения проходит почти год. За это время данные успевают распространиться так широко, что контролировать их уже невозможно.

Почему мессенджеры — главный канал утечек

Электронная почта контролируется DLP-системами уже 15 лет. USB-порты блокируются. Облачные хранилища — под мониторингом. А мессенджеры? Мессенджеры остались слепым пятном.

Причина простая: большинство компаний используют для работы те же мессенджеры, что и для личного общения. Telegram, WhatsApp, Viber. Контролировать трафик этих приложений технически невозможно — он зашифрован. Внедрить DLP-агент в чужое приложение — нельзя. Запретить использование — можно попробовать, но безуспешно (смотрите нашу статью про BYOD и безопасность).

Единственное надёжное решение — использовать корпоративный мессенджер, который поддерживает DLP-функции на уровне платформы.

Каналы утечек: как данные уходят

Прежде чем защищаться, нужно понять, как именно утекают данные. Вот полная карта каналов утечки через мессенджеры:

Канал 1: Пересылка сообщений

Самый очевидный и самый частый. Сотрудник пересылает рабочее сообщение в личный чат, другу, конкуренту. В Telegram это делается одним нажатием — «Переслать». Без следов, без логов.

Защита: запрет пересылки сообщений из рабочих каналов за пределы корпоративного мессенджера.

Канал 2: Копирование текста

Выделить, скопировать, вставить в другое приложение. Проще некуда. Скопированный текст попадает в буфер обмена, откуда доступен любому приложению на устройстве.

Защита: запрет копирования из рабочих чатов (на уровне приложения или контейнера).

Канал 3: Скриншоты и запись экрана

Скриншот переписки — мгновенный способ зафиксировать информацию. На Android можно программно блокировать скриншоты (флаг FLAG_SECURE). На iOS — только обнаружить факт скриншота и уведомить администратора.

Защита: блокировка скриншотов + уведомление при попытке + водяные знаки на экране (имя пользователя полупрозрачным текстом).

Канал 4: Загрузка файлов

Сотрудник скачивает файл из корпоративного чата на устройство, а затем отправляет через личный мессенджер, почту или загружает в облако.

Защита: запрет скачивания файлов на устройство. Файлы просматриваются только внутри мессенджера, без возможности сохранения.

Канал 5: Фотографирование экрана

Самый примитивный и самый трудный для предотвращения канал. Сотрудник фотографирует экран другим телефоном. Техническая защита: водяные знаки с идентификатором пользователя. Если фото всплывёт — будет видно, кто его сделал.

Защита: невидимые водяные знаки + политика «нулевого доверия к фото экрана» + персональная ответственность.

Канал 6: Экспорт чатов

Telegram позволяет экспортировать историю чата в JSON или HTML. За пять минут можно выгрузить всю переписку за годы. В корпоративном мессенджере этой функции быть не должно.

Защита: отсутствие функции экспорта + мониторинг массовых запросов к API.

Канал 7: API и боты

Если мессенджер имеет открытый API без ограничений, злоумышленник (или уволенный сотрудник, сохранивший токен) может выкачать данные программно. Скрипт на Python, 50 строк кода, 10 минут — и вся переписка у него на диске.

Защита: ограничения на API-токены, мониторинг аномальной активности, автоматический отзыв неиспользуемых токенов.

Реальные кейсы утечек через мессенджеры

Кейс 1: Банковский сектор

Сотрудник банка из топ-10 пересылал данные клиентов через Telegram-бот, который автоматически записывал информацию в Google Sheets. Схема работала 8 месяцев. За это время утекли данные 15 000 клиентов: ФИО, номера счетов, остатки. Обнаружили случайно — клиент получил спам-звонок с информацией, которую знал только банк.

Причина: отсутствие DLP и мониторинга в корпоративных коммуникациях. Сотрудник использовал личный телефон.

Ущерб: штраф регулятора 10 млн рублей + компенсации клиентам + репутационный ущерб.

Кейс 2: Технологическая компания

Разработчик перед увольнением экспортировал всю историю корпоративного Slack (был доступ к Workspace Export). В экспорте оказались: исходные коды, архитектурная документация, ключи API, обсуждения стратегии продукта. Через два месяца на рынке появился конкурент с подозрительно похожим продуктом.

Причина: права на экспорт не были ограничены. Процедура увольнения не включала отзыв доступа до последнего рабочего дня.

Ущерб: потеря конкурентного преимущества, судебный процесс длительностью 2 года.

Кейс 3: Производственная компания

Коммерческий директор перед переходом к конкуренту добавил личный email в корпоративный мессенджер как второй аккаунт. В течение месяца пересылал себе ключевые документы: прайсы, условия контрактов, список поставщиков. IT-отдел не мониторил добавление новых аккаунтов.

Причина: мессенджер позволял привязку произвольных email-адресов без одобрения администратора.

Ущерб: 30% ключевых клиентов ушли к конкуренту в течение полугода.

Что такое DLP и как это работает

DLP (Data Loss Prevention) — система предотвращения утечек данных. Не путайте с антивирусом (защита от внешних угроз) — DLP защищает от внутренних угроз, когда данные пытается вынести тот, кто имеет к ним легитимный доступ.

Три уровня DLP

Data at Rest (данные в хранении). Сканирование хранилищ на наличие конфиденциальной информации. Пример: DLP-система обнаруживает, что в общем канале «Маркетинг» лежит файл с номерами банковских карт клиентов. Файл автоматически перемещается в закрытый канал с ограниченным доступом.

Data in Motion (данные в передаче). Анализ трафика в реальном времени. Пример: сотрудник пытается отправить файл с пометкой «Конфиденциально» внешнему адресату. DLP блокирует отправку и уведомляет ИБ-отдел.

Data in Use (данные в обработке). Контроль действий пользователя с данными. Пример: сотрудник пытается скопировать содержимое конфиденциального документа — операция блокируется.

Методы обнаружения

По ключевым словам и регулярным выражениям. Система ищет в сообщениях паттерны: номера паспортов (XXXX XXXXXX), банковские карты (XXXX-XXXX-XXXX-XXXX), ИНН, СНИЛС. Простой метод, но эффективный для структурированных данных.

По меткам (тегам). Документы маркируются уровнем конфиденциальности. DLP проверяет, может ли пользователь отправить документ с данной меткой данному получателю.

По цифровым отпечаткам (fingerprints). DLP создаёт «отпечатки» конфиденциальных документов. Даже если сотрудник скопирует часть документа или изменит форматирование — система узнает его по отпечатку.

Машинное обучение. ML-модели обучаются на примерах конфиденциальных и обычных данных. Умеют обнаруживать утечки, которые не ловятся правилами: нестандартные форматы, парафразированный текст, данные на изображениях.

DLP-политики для мессенджера

DLP в мессенджере отличается от DLP в почте. Мессенджер — это real-time коммуникация. Задержка в секунду при отправке сообщения раздражает. Задержка в 10 секунд — неприемлема. Поэтому DLP-проверки должны быть мгновенными.

Политика 1: Классификация каналов

Разделите каналы на уровни конфиденциальности:

Политика 2: Контроль файлов

Правила для файлов в мессенджере:

Политика 3: Контроль текста

Автоматические правила для текста сообщений:

Политика 4: Поведенческий анализ

Мониторинг аномального поведения пользователей:

Технические меры защиты

Шифрование

Шифрование — первая линия обороны. Но не единственная. Распространённое заблуждение: «у нас шифрование, значит, мы защищены». Шифрование защищает от перехвата данных извне. Оно не защищает от того, что авторизованный пользователь скопирует данные.

Минимальный набор:

Подробнее о подходе b8q к шифрованию — на странице безопасности.

Контроль доступа

Принцип минимальных привилегий: сотрудник имеет доступ только к тем каналам и данным, которые нужны для его работы. Не больше.

Аудит-логи

Каждое действие пользователя логируется:

Логи хранятся минимум 1 год. Доступ к логам — только у ИБ-отдела, не у обычных администраторов. Это важно: если администратор — источник утечки, логи не должны быть ему доступны.

Retention-политики

Автоматическое удаление сообщений по расписанию:

Чем меньше данных хранится — тем меньше может утечь. Простая математика.

Организационные меры

Технология без людей не работает. 79% утечек — человеческий фактор. Это значит, что организационные меры не менее важны, чем технические.

Политика информационной безопасности

Документ, который описывает правила работы с конфиденциальной информацией в мессенджере. Подробнее о том, как составить такую политику, мы писали в отдельной статье.

Ключевые пункты:

Обучение сотрудников

Формат: 30-минутный онлайн-курс при приёме на работу + ежеквартальный 10-минутный тест. Содержание:

Не делайте курс формальностью. Используйте реальные кейсы из отрасли, а не абстрактные «рекомендации». Проводите симуляции: отправьте тестовое фишинговое сообщение и посмотрите, кто на него среагирует.

Классификация данных

Если сотрудник не знает, что считается конфиденциальным, — он не сможет это защитить. Введите простую систему меток:

Инсайдерские угрозы

Инсайдер — самая опасная угроза, потому что у него есть легитимный доступ. DLP-система для него — не стена, а забор, который можно обойти, если очень постараться.

Три типа инсайдеров

Случайный. Не хотел вредить, просто не подумал. Переслал рабочий файл на личную почту, чтобы доработать дома. Забыл выйти из корпоративного мессенджера на общем компьютере. Отправил конфиденциальный документ не тому человеку.

Злонамеренный. Целенаправленно крадёт данные. Обиженный сотрудник перед увольнением, инсайдер, работающий на конкурента, или человек, решивший продать информацию на чёрном рынке.

Скомпрометированный. Легитимный пользователь, чьи учётные данные украдены. Фишинг, подбор пароля, вредоносное ПО. С точки зрения системы — это обычный пользователь. Но за клавиатурой — злоумышленник.

Как противодействовать

Случайным инсайдерам: DLP-предупреждения перед отправкой конфиденциальных данных. Не блокировка, а предупреждение: «Вы уверены? Этот файл содержит персональные данные. Отправка за пределы компании запрещена». В 90% случаев человек остановится — он просто не думал.

Злонамеренным инсайдерам: мониторинг аномального поведения (UEBA), ограничение доступа по принципу минимальных привилегий, водяные знаки для отслеживания источника утечки, быстрый отзыв доступа при увольнении.

Скомпрометированным аккаунтам: 2FA, мониторинг необычных входов (новое устройство, новая геолокация, нерабочее время), автоматическая блокировка при подозрительной активности.

Как обнаружить утечку

287 дней — среднее время обнаружения. Это недопустимо. Как сократить этот срок?

Индикаторы утечки

Признаки, которые должны насторожить:

Автоматический мониторинг

Настройте автоматические алерты в SIEM или в самом мессенджере:

Honeytoken (ловушки)

Продвинутая техника: создайте фейковые конфиденциальные файлы с уникальными маркерами и разместите их в рабочих каналах. Если файл всплывёт за пределами компании — вы точно знаете, из какого канала произошла утечка, и можете сузить круг подозреваемых.

Пример: файл «Зарплатная ведомость Q1 2026.xlsx» с фейковыми данными и уникальным идентификатором в метаданных. Размещён в канале «Бухгалтерия», доступ у 8 человек. Если файл появится в даркнете — источник определяется за минуты.

Реагирование на инцидент

Утечка произошла. Что делать? Пошаговый план:

Первые 30 минут

  1. Подтвердить инцидент. Это реальная утечка или ложное срабатывание?
  2. Определить масштаб. Какие данные утекли? Объём? Уровень конфиденциальности?
  3. Остановить утечку. Заблокировать учётную запись подозреваемого, отключить доступ к каналу, заморозить экспорт данных.
  4. Сохранить улики. Зафиксировать логи, скриншоты, метаданные. Не удалять ничего.

Первые 24 часа

  1. Уведомить руководство. CEO, CTO, юрист, руководитель ИБ.
  2. Начать расследование. Кто, когда, как, зачем. Аудит-логи — главный источник информации.
  3. Оценить ущерб. Что именно утекло? Кто пострадал? Какие обязательства возникают?
  4. Привлечь юриста. Для оценки обязательств по ФЗ-152, подготовки уведомления в Роскомнадзор (если утекли ПДн).

Первая неделя

  1. Уведомить Роскомнадзор (в течение 24 часов, если утекли персональные данные — по ФЗ-152).
  2. Уведомить пострадавших (если утекли их персональные данные).
  3. Завершить расследование. Зафиксировать причины, виновных, хронологию.
  4. Принять меры. Дисциплинарные — к виновным. Технические — чтобы повторение стало невозможным.
  5. Подготовить отчёт. Для руководства, юристов, регуляторов.

Архитектура безопасного мессенджера

Не каждый мессенджер подходит для работы с конфиденциальными данными. Вот архитектурные требования, которые должны быть реализованы на уровне платформы.

Self-hosted развёртывание

Данные хранятся на серверах компании, а не у вендора. Физический контроль — лучший контроль. Подробнее об этом — в статье про self-hosted мессенджеры.

Zero-trust архитектура

Каждый запрос проверяется, даже из внутренней сети. Нет «доверенных» зон. Аутентификация при каждом действии. Это затратнее, но надёжнее.

Микросервисная архитектура

Компрометация одного сервиса не даёт доступ к остальным. Сервис чатов, сервис файлов, сервис аутентификации — изолированы друг от друга. Для доступа к каждому нужна отдельная авторизация.

Минимальное хранение

Чем меньше данных на сервере — тем меньше может утечь. Retention-политики, автоудаление, регулярная ротация ключей шифрования.

Чек-лист: 20 мер против утечек

Пройдитесь по списку и отметьте, что уже реализовано, а что требует внимания:

  1. Используется корпоративный мессенджер (не Telegram/WhatsApp для рабочих чатов)
  2. TLS 1.3 для всех коммуникаций
  3. Шифрование данных at rest
  4. Двухфакторная аутентификация для всех пользователей
  5. Запрет пересылки сообщений за пределы мессенджера
  6. Запрет копирования из конфиденциальных каналов
  7. Блокировка скриншотов в конфиденциальных чатах
  8. Контроль загрузки и скачивания файлов
  9. Водяные знаки на конфиденциальных документах
  10. Классификация каналов по уровню конфиденциальности
  11. RBAC — доступ по ролям
  12. Интеграция с LDAP/AD
  13. Аудит-логи всех действий пользователей
  14. Retention-политики (автоудаление старых данных)
  15. Мониторинг аномальной активности
  16. Автоматическое обнаружение ПДн в сообщениях
  17. Процедура отзыва доступа при увольнении (до 1 часа)
  18. Политика ИБ, подписанная всеми сотрудниками
  19. Регулярное обучение (при найме + ежеквартально)
  20. План реагирования на инциденты (протестированный)

Если реализовано менее 10 пунктов — риск утечки высокий. 10-15 — средний. 15-20 — контролируемый. Ни одна система не гарантирует 100% защиты, но каждый реализованный пункт кратно снижает вероятность инцидента.

Заключение

Утечки данных через мессенджеры — проблема не технологическая, а системная. Нельзя решить её одним продуктом или одной политикой. Нужна комбинация технических средств, организационных мер и обученных людей.

Три шага, с которых стоит начать прямо сейчас:

  1. Замените публичные мессенджеры на корпоративный. Это закроет основной канал утечек. Один день на внедрение, и 80% рисков снижаются.
  2. Включите базовые DLP-функции. Запрет пересылки наружу, контроль файлов, аудит-логи. Не сложно, не дорого, но кардинально повышает защиту.
  3. Обучите людей. 30-минутный вебинар + одностраничная памятка. Этого достаточно, чтобы предотвратить случайные утечки.

b8q поддерживает DLP-функции на уровне платформы: контроль пересылки, шифрование TLS 1.3, аудит-логи, управление правами доступа, self-hosted развёртывание для полного контроля над данными. Посмотрите полный список возможностей или запросите демо, чтобы увидеть всё в действии.

Защитите корпоративную переписку

b8q — мессенджер с DLP-функциями, шифрованием и полным контролем над данными.

Запросить демо Узнать о безопасности