Утечка данных: как одна ошибка может стоить компании миллионы рублей
К персональным данным относятся практически любые сведения, которые бизнес собирает о своих постоянных и потенциальных покупателях. Эти данные – важный актив для бизнеса. Именно они позволяют безошибочно выявлять интересы и поведенческие паттерны клиентов – а значит дают возможность прицельно воздействовать на аудиторию. Грамотная работа такими данными помогает сформировать у клиентов лояльность, а от этого напрямую зависит устойчивость бизнеса.
При этом доверие, завоеванное годами, может разрушиться за один день. Письмо с конфиденциальными данными, ошибочно отправленное не на тот адрес, открытый доступ к таблице или случайный слив информации о заказах грозят компании громкими жалобами, многомиллионными штрафами, долгими судебными разбирательствами, резким падением продаж и даже уголовной ответственностью.
О том, чем может обернуться утечка ПДн для бизнеса, где компании чаще всего теряют контроль над персональными данными клиентов и как они могут защититься – в этой статье.
Какие риски несет утечка персональных данных
Закон о персональных данных ФЗ-152 существует с 2006 года. Но до недавнего времени штрафы по нему были незначительные. С 30 мая 2025 года вступили в силу новые правила: требования по защите ПДн ужесточились, а размеры штрафов увеличились в десятки раз.
Например, если не уведомить Роскомнадзор о факте утечки в течение 24 часов с момента ее обнаружения, организациям и ИП грозит штраф от 1 до 3 миллионов рублей. Это штраф за неуведомление об утечке. Отдельно придется заплатить и за саму утечку – здесь размер штрафа зависит от объема переданных данных. Он может достигать 15 миллионов рублей при первом нарушении и до 3% от годового оборота – при повторном. Наказывать будут без предупреждений.
Мы в Sendsay давно говорим, как важно заботиться о персональных данных: выбирать надежных поставщиков, проверять наличие сертификата соответствия ФЗ-152, использовать возможности шифрования трафика и разделения доступа по ролям. Безопасность клиентских данных должна быть в приоритете. Ведь чем больше у злоумышленников сведений о конкретных людях, тем успешнее их мошеннические схемы.
Законодательство становится все жестче по отношению к операторам ПДн, что неудивительно: масштабы утечек персональных данных в России только растут. По данным InfoWatch, общий объем утекших записей в 2024 году превысил 1,5 миллиарда – это на 30% больше, чем за год до этого.
Сводная статистика по утечкам из организаций в России и СНГ. Источник: Positive Technologies
Чем масштабнее утечка, тем больше проблем она за собой влечет. И все эти проблемы в конечном счете ударяют по финансовой стороне. С этой категории рисков и начнем.
Финансовые потери. При утечке данных компанию может оштрафовать государство. Сумма штрафа зависит от объема утекших данных, их категории и истории нарушений у компании. А еще дополнительные штрафы будут начислены, если компания не уведомит вовремя Роскомнадзор о проблеме и не предоставит результаты внутреннего расследования в течение следующих 72 часов.
Кроме того, бизнес несет ответственность перед теми, чьи данные попали в открытый доступ. Пострадавшие могут взыскать сумму морального и материального ущерба.
Еще в финансовые потери можно включить расходы на устранение последствий утечки. Бизнесу предстоит разобраться в причинах и не допустить повторения таких ситуаций. Для этого придется пересмотреть архитектуру защиты: провести аудит, заменить технические средства защиты, отказаться от привычных, но уязвимых решений. Это дорого и занимает месяцы.
Репутационные потери. Очевидный риск – потеря доверия партнеров и клиентов. Все больше людей начинает задумываться о том, как компании используют их данные, как долго их хранят и насколько надежно защищают. Недавнее исследование Twilio показало, что потребители называют качественную защиту своих данных самым надежным способом завоевать их доверие.
Источник: twilio
Правовые последствия. После утечки компанию почти гарантированно ждет проверка от Роскомнадзора. В ряде случаев также подключаются прокуратура, Следственный комитет и ФСБ – особенно если затронуты специальные категории данных (например, сведения о здоровье, биометрия, данные детей, военная служба и так далее, в случае таких нарушений предусмотрено до 6 лет лишения свободы). Если в ходе расследования установят, что утечка произошла по вине конкретного сотрудника, его могут привлечь к дисциплинарной, административной или даже уголовной ответственности.
Также к правовым последствиям можно отнести судебные иски от пострадавших. Клиенты и сотрудники могут требовать компенсации.
Операционные сбои. Утечки данных часто сопровождаются кибератаками. Получив доступ к важным данным, злоумышленники могут удалить их с серверов компании, и, тем самым, остановить бизнес-процессы. Например, в мае 2024 года во время хакерской атаки на сервисы компания СДЭК была вынуждена приостановить работу на три дня. Эксперты оценили убытки от простоя в 300–400 миллионов рублей – это без учета упущенной выгоды и пострадавшей репутации.
Угрозы безопасности. Оказавшиеся в открытом доступе персональные данные перехватываются хакерами для последующих атак. После первой, даже случайной, утечки вероятность второй резко возрастает, так как киберпреступники начинают проверять на прочность техническую защиту компании. А если утечка вызвана взломом, велика вероятность, что злоумышленники получили доступ не только к ПДн, но и к внутренним сервисам компании:
-
CRM/ERP-системам;
-
почте, мессенджерам, файловым хранилищам;
-
тестовым и рабочим базам данных.
Даже временный контроль над такими системами может привести к новым утечкам, удалению данных, закладке вредоносного ПО или подмене информации.
Почему происходят утечки: основные причины
Утечки персональных данных – это не всегда результат взлома или целенаправленной атаки. Чаще виноваты неосторожность, спешка, устаревшие системы или слабый контроль.
Согласно опросу в рамках исследования экспертно-аналитического центра InfoWatch в 2024 году
Вот основные зоны риска, где компании чаще всего теряют персональные данные.
Человеческий фактор. Менеджер случайно пересылает таблицу с клиентской базой не тому адресату, бухгалтер открывает фишинговое письмо, а стажер выгружает данные в облачный документ с публичной ссылкой.
Корень проблемы – не в злонамеренности, а в отсутствии четких правил, контроля доступа и цифровой гигиены. Без регулярного обучения и технических ограничений даже добросовестные сотрудники совершают критичные ошибки.
Устаревшие или незащищенные системы. Незашифрованные почтовые клиенты, CRM без двухфакторной аутентификации, устаревшие платформы открывают доступ к конфиденциальным данным. Особенно остро стоит вопрос безопасности там, где бизнес опирается на связку сервисов, например: CRM + мессенджеры + сервисы email-рассылок, но не обеспечивает единый контроль доступа и мониторинг активности.
Облачные хранилища и съемные носители. Они удобны для бизнеса, пока доступ под контролем. Но файлы могут стать общедоступными по ошибке, если открытая ссылка попадет в интернет. Флешки и внешние диски тоже надежны до тех пор, пока к ним ограничен доступ: потерянный носитель с незашифрованной клиентской базой – это прямая утечка.
Подрядчики и внешние специалисты. Фрилансеры, агентства, интеграторы могут получить доступ к внутренним системам: для настройки рассылки, обновления сайта, импорта клиентской базы. Если в договоре с подрядчиком не прописаны правила обращения с персональными данными, вся ответственность за утечку ляжет на плечи заказчика.
Как наказывают за утечки: реальные кейсы и штрафы
Утечка из-за технической уязвимости. В 2024 году интернет-магазин Kuchenland Home дважды нарушил закон о ПДн, допустив ошибку в настройке сайта. По некоторым сведениям, эта уязвимость привела к утечке более 400 тысяч записей.
Ответственность понесли и компания, и ее директор. На основании ч. 1.1 ст. 13.11 КоАП РФ, штраф за первое нарушение составил 60 000 рублей для компании и 10 000 рублей для генерального директора, а за повторное – 70 000 рублей и 15 000 рублей, соответственно.
С учетом масштаба утечки аналогичное нарушение, выявленное после 30 мая 2025 года, может стоить компании до 5–10 миллионов рублей за первое нарушение и до 3% от годового оборота – за повторное.
Утечка по вине подрядчика. В январе 2025 года «Ростелеком» сообщил об утечке данных из инфраструктуры одного из своих подрядчиков, который обслуживал интернет-ресурсы компании. В сеть попали 154 тысячи адресов электронной почты и 101 тысяча номеров телефонов. Тогда «Ростелеком» порекомендовал пользователям сбросить пароли и включить двухфакторную аутентификацию.
Случись это после 30 мая 2025 года, то для первого раза штраф за утечку мог составить до 15 миллионов рублей. Повторное нарушение стоило бы «Ростелекому» уже от 1 до 3% от годового оборота. И еще 3 миллиона рублей пришлось бы заплатить за то, что компания не сообщила в Роскомнадзор о факте утечки в течение 24 часов с момента ее обнаружения.
Утечка специальных данных из-за человеческого фактора. К данным этой категории относятся: расовая и национальная принадлежности, политические взгляды, религиозные или философские убеждения, состояние здоровья и так далее. Для нарушения закона достаточно перепутать файлы с результатами анализов или случайно передать третьему лицу данные из этой категории.
Так, несколько лет назад житель Красноярска с удивлением обнаружил расширенную версию своей истории болезни на сайте медицинского вуза. Историю опубликовала студентка медуниверситета, которая проходила в больнице практику. Причем в открытом доступе оказалось больше подробностей, чем в выписке, которую отдали на руки пациенту. Суд взыскал с больницы 50 000 рублей в пользу пострадавшего.
Если бы этот инцидент произошел после 30 мая 2025 года, то мог бы повлечь за собой штраф в размере от 1 до 1,3 миллиона рублей. Для коммерческих учреждений штраф мог составить от 10 до 15 миллионов рублей.
Утечка из-за злонамеренных действий сотрудника. Один из сотрудников «ОЗОН Банка» с мая по август 2023 года передавал третьим лицам персональные данные клиентов. Оплату он получал в криптовалюте и затем конвертировал ее в российский рубль – так ему удавалось скрывать источники средств. Суд признал сотрудника банка виновным: выписал ему штраф 50 000 рублей и назначил условный срок – 1,5 года.
С 30 мая 2025 года наказание за аналогичное преступление станет гораздо строже: штраф – до 1 млн рублей или в размере иного дохода за период до 3 лет и лишение свободы – до 6 лет.
Как защититься от утечек: практические шаги для бизнеса
Чтобы снизить риск утечки персональных данных, важно сочетать технические, организационные и правовые меры. Вот базовый план действий:
Проведите аудит всех точек обработки данных. Уточните, какие данные вы собираете, где они хранятся, кто имеет к ним доступ. Проверьте формы на сайте, заявки, письма, сервисы, в том числе сторонние. Это поможет выявить слабые места – например, устаревшие CRM, открытые облачные папки или слабые пароли. Все точки должны быть задокументированы и защищены.
Назначьте ответственного за работу с ПДн. Это может быть специалист по информационной безопасности, юрист или специально обученный сотрудник. Его задача – следить за соблюдением требований закона, внутренними регламентами и реагировать на инциденты.
Внедрите правила информационной безопасности. Установите сложные пароли и регулярно их меняйте. Обеспечьте разграничение доступа по ролям, подключите двухфакторную авторизацию и безопасный удаленный доступ. Настройте журналы действий пользователей – чтобы было видно, кто и когда обращался к ПДн.
Обучите сотрудников основам цифровой безопасности. Проводите регулярные короткие тренинги: как отличить фишинг, что делать при подозрении на утечку, как пользоваться облачными сервисами и мессенджерами безопасно. Все это помогает снизить долю утечек, вызванных человеческим фактором.
Обновите регламенты и договоры. Проверьте, есть ли в ваших документах политика обработки ПДн, положение об информационной безопасности и соглашения с подрядчиками. Все договоры с внешними исполнителями должны содержать пункт о защите ПДн и ответственности за их утечку – это ваша юридическая страховка.
Подготовьте план реагирования на инциденты. Заранее опишите порядок действий на случай утечки. Распределите роли: кто будет составлять уведомление в Роскомнадзор, а кто сообщать пострадавшим об инциденте. Продумайте форматы оповещения своих клиентов: электронное письмо, сообщение в Telegram, контрастная плашка на сайте или в приложении. Ваши действия в первые 48 часов – критически важны.
Профилактика лучше, чем реакция
Проще и дешевле внедрить защиту заранее, чем устранять последствия. Утечка обойдется бизнесу намного дороже, чем простые меры безопасности.
Если в компании нет системы защиты, утечка персональных данных – вопрос времени. Пренебрегать правилами цифровой гигиены – значит сознательно рисковать доверием клиентов, деньгами и будущим бизнеса.
Безопасность ПДн требует внимания, ресурсов и дисциплины. Проводите регулярные проверки, введите понятные правила, контролируйте доступ и обучайте сотрудников – все это будет работать только в комплексе. Такая системная профилактика поможет обезопасить ваш бизнес.
Оригинал статьи на SEOnews
