Угрозы корпоративной безопасности: 10 схем обмана и саботажа со стороны маркетологов
Современный маркетинг практически полностью держится на информационных технологиях: рекламных кабинетах, пикселях отслеживания, системах управления базами клиентов (CRM), почтовых рассыльщиках и доменах. Передача управления этой сложной цифровой инфраструктурой наемному директору по маркетингу или внешнему агентству без жесткого контроля прав доступа создает колоссальные риски для компании. Если владелец бизнеса не понимает, какими именно активами он владеет и как распределены технические права, это ведет к неизбежным потерям. В лучшем случае компания теряет деньги на неэффективной рекламе, в худшем — полностью лишается своей IT-инфраструктуры, сайтов, баз данных и репутации.
10 классических схем обмана со стороны подрядчиков
Недобросовестные исполнители и неконтролируемые руководители отделов маркетинга используют множество лазеек для скрытой монетизации ресурсов компании или прямого вредительства. Ниже представлены десять наиболее распространенных схем:
- Ретаргетинг на конкурентов: подрядчик настраивает пиксель отслеживания (специальный программный код, фиксирующий поведение посетителей на сайте) на корзину или страницу оформления заказа, а затем использует собранную теплую аудиторию для показа рекламы прямым конкурентам.
- Перенос трафика: использование данных о посетителях основного сайта для настройки рекламных кампаний других клиентов подрядчика в той же нише.
- Кража контактов: сбор номеров телефонов входящих и исходящих звонков через интеграцию с телефонией компании или платформы управления данными (DMP) для последующей перепродажи сторонним кол-центрам.
- Перекрестный спам: использование корпоративной базы адресов электронной почты (email-базы) для рассылки предложений других компаний.
- Использование баз в сторонней рекламе: загрузка списков клиентов компании в рекламные кабинеты (Яндекс Аудитории, VK Реклама) для оптимизации чужих объявлений.
- Шаблонный дизайн под видом уникального: продажа готовых одностраничных сайтов (лендингов) с минимальной заменой текстов по цене индивидуальной веб-разработки.
- Копирование стратегий: продажа типовых маркетинговых планов и аналитических отчетов с простой заменой названий компаний.
- Слив связок: передача успешных рекламных объявлений, настроек таргетинга и креативов конкурентам за дополнительную плату.
- Мотивированный трафик: имитация выполнения показателей эффективности (KPI) с помощью привлечения пользователей со специальных бирж, которые совершают целевые действия на сайте за вознаграждение, но никогда ничего не купят.
- Продажа наработок конкуренту: прямая передача всей аналитики, настроек кабинетов и планов продвижения главному рыночному сопернику за фиксированную сумму при уходе.
Сценарии саботажа при увольнении
Конфликтное расставание с подрядчиком или директором по маркетингу часто перерастает в открытый саботаж, если все критически важные доступы были завязаны на личные аккаунты этого специалиста. Маркетолог может удалить базы клиентов, заблокировать рекламные кабинеты, стереть файлы с облачных дисков или уничтожить доступы к подрядчикам.
Особую опасность представляет скрытый технический саботаж, который сложно обнаружить сразу. Примером из практики является подмена букв в адресах веб-страниц (URL): уходящий сотрудник заменил несколько сотен русских букв «с» на идентичные по написанию латинские символы «c» в ссылках на сайте. В результате более 5 000 страниц мгновенно выпали из индекса поисковых систем (сайты перестали корректно распознаваться роботами), а органический поисковый трафик из Яндекса упал в 5 раз. Еще одним сценарием является репутационный саботаж — массовая рассылка фишинговых писем с вредоносными ссылками от лица компании через корпоративный почтовый сервис.
Пренебрежение правилами безопасности обходится бизнесу очень дорого. Например, в 2016 году известный маркетолог Дмитрий Петроченков из-за избыточного доверия к уходящему партнеру потерял 44% своего клиентского портфеля и лишился около 80 миллионов рублей годовой выручки.
Чек-лист по IT-безопасности для владельца бизнеса
Для предотвращения подобных инцидентов Федеральная торговая комиссия США (FTC) рекомендует внедрять строгие правила контроля за тем, кто именно использует корпоративные устройства и имеет доступ к корпоративной информации. В основе современной безопасности лежит подход CISA (Агентства по кибербезопасности и инфраструктуре США) под названием IAM (управление идентификацией и доступом), базирующийся на принципе наименьших привилегий: каждый сотрудник или подрядчик должен иметь только те права доступа, которые строго необходимы для выполнения его текущей работы.
Ниже представлен пошаговый чек-лист для защиты активов компании:
- DNS и доменные имена: домен и управление DNS-записями (настройками адресации сайта) должны быть зарегистрированы строго на юридическое лицо компании или лично на ее владельца. Доступ к регистратору домена нельзя передавать сторонним лицам.
- Сайт и CMS (система управления контентом): главный административный доступ к сайту должен принадлежать владельцу бизнеса. Подрядчикам выдаются временные ограниченные роли (например, редактор или разработчик). Необходимо настроить журнал изменений, фиксирующий, кто и когда менял файлы шаблонов, редиректы или robots.txt.
- Рекламные кабинеты и веб-аналитика: все аккаунты в Яндекс Директе, VK Рекламе и Google Ads должны создаваться внутри корпоративного профиля компании. Подрядчики подключаются к ним как внешние пользователи или агентские аккаунты. Рекламные пиксели и аудитории должны принадлежать компании.
- CRM и базы данных: в системе управления клиентами необходимо отключить возможность массового экспорта данных для всех сотрудников, кроме высшего руководства. Любая выгрузка базы должна фиксироваться в системном журнале.
- Корпоративная почта и рассыльщики: настройте для домена специальные записи SPF, DKIM и DMARC (технические стандарты защиты почты от подделки), чтобы никто не мог отправлять письма от вашего имени. Каждый сотрудник должен использовать уникальную личную почту, а не общие ящики.
- Резервное копирование: настройте регулярное автоматическое резервное копирование (бэкапы) сайта, баз данных и CRM-системы на независимое облачное хранилище, доступ к которому есть только у владельца. Регулярно проверяйте возможность быстрого восстановления данных из копии.
- Двухфакторная аутентификация: включите требование обязательного подтверждения входа по SMS или через приложение-аутентификатор на всех критических сервисах (хостинг, домен, CRM, корпоративные почты).
Порядок действий при смене подрядчика (Offboarding)
При увольнении сотрудника или расторжении договора с агентством необходимо провести процедуру отзыва доступов (access review):
- Блокировка учетных записей: немедленно отключите личные почтовые адреса специалиста в корпоративном домене.
- Смена паролей: обновите пароли на всех общих сервисах, к которым у специалиста был доступ.
- Отзыв API-токенов: деактивируйте все ключи доступа и токены, которые использовались для интеграции сервисов уволенным сотрудником.
- Проверка пикселей: убедитесь, что в рекламных кабинетах и на сайте не установлены посторонние коды отслеживания и не добавлены сторонние рекламные кабинеты для сбора аудитории.
- Юридический аудит: зафиксируйте в договоре с подрядчиком права компании на все созданные креативы, тексты, стратегии и базы данных, а также финансовую ответственность за нарушение конфиденциальности.
Безопасная модель управления инфраструктурой не мешает маркетологам качественно выполнять свою работу. Она лишь страхует бизнес от ситуации, когда один человек или внешнее агентство становится монопольным владельцем всех коммерческих активов компании.
Дополнительные официальные руководства по безопасности доступны на портале Федеральной торговой комиссии США (FTC) в разделах Cybersecurity for Small Business и Protecting Personal Information Guide, а также в рекомендациях CISA по внедрению Identity and Access Management.