Бесплатный VPN на телефоне менеджера обошёлся компании в клиентскую базу
Во время аудита ИТ-инфраструктуры оптовой компании я нашёл источник утечки, о котором никто даже не подозревал — обычное бесплатное приложение для обхода блокировок, установленное менеджерами по продажам «для удобства».
Ко мне обратился владелец региональной оптовой компании: несколько крупных клиентов один за другим перешли к конкуренту, причём предложили им цены буквально на процент ниже, чем у нас. Совпадение казалось подозрительным, но доказательств не было. Меня попросили проверить, не сливает ли кто-то из сотрудников информацию.
Где искали не там
Первым делом проверили доступы в CRM и склад: кто заходил, когда, с каких устройств. Всё выглядело чисто — сотрудники работали в рамках своих ролей, подозрительных выгрузок не было. Но при анализе трафика с рабочих телефонов торговых представителей всплыла странность: часть данных уходила на серверы, не относящиеся ни к одному из корпоративных сервисов.
Дыра оказалась в кармане у каждого менеджера
Выяснилось, что несколько сотрудников поставили на личные телефоны бесплатное VPN-приложение — просто чтобы быстрее открывать сайты поставщиков и мессенджеры, которые периодически подтормаживали. Через эти же телефоны они заходили в мобильную версию CRM, проверяли остатки и закупочные цены прямо со склада или у клиента.
Проблема в том, что бесплатный VPN не работает бесплатно в прямом смысле — он зарабатывает на пользователях, продавая или анализируя их трафик. Весь интернет-обмен, включая логины, пароли и содержимое открываемых страниц, проходил через сервера сторонней компании, о которой никто ничего не знал. Закупочные цены, номера клиентов, объёмы заказов — всё это в открытом виде утекало наружу вместе с обычным трафиком.
> Мы никого не взламывали и не воровали пароли — люди сами каждый день добровольно передавали всё интересующее третьей стороне через приложение, которое сами же и установили.
Во сколько это обошлось
Посчитать точный ущерб сложно, но порядок цифр понятен: компания потеряла трёх крупных клиентов с совокупным годовым оборотом около 9 миллионов рублей — конкурент просто предложил чуть более выгодные условия, зная реальную закупочную цену. Это не считая репутационных издержек и времени, потраченного на разбирательства внутри команды, где несколько месяцев подозревали в сливе своих же сотрудников.
Что сделали
- Запретили установку сторонних VPN и прокси-приложений на устройствах, с которых есть доступ к CRM и складским системам
- Настроили доступ к рабочим сервисам только через корпоративное защищённое соединение на отечественном решении
- Ограничили мобильный доступ ролями: менеджеры видят своих клиентов и цены, а не всю базу целиком
- Настроили руководителю уведомление в мессенджер при попытке входа с нового или неизвестного устройства
Внедрение заняло меньше недели и обошлось в разы дешевле одного потерянного клиента из тех трёх, что ушли к конкуренту. При этом никакого давления на сотрудников не потребовалось — большинство даже не подозревали, что бесплатное приложение работает не в их интересах.
После этого случая я всегда включаю проверку личных устройств сотрудников в базовый аудит — даже если формально компания не разрешала на них ничего рабочего устанавливать. На практике разрешает жизнь, а не должностная инструкция.
А у вас в компании кто-то проверял, какими приложениями пользуются сотрудники на телефонах, с которых заходят в рабочие системы?