Если вы узнали, что с сайта утекли данные клиентов — заявки, телефоны, почты, заказы, — действуйте в таком порядке: остановите утечку и сохраните следы, оцените, какие данные и чьи затронуты, уведомите Роскомнадзор в установленные законом сроки, затем устраните причину и при необходимости предупредите клиентов. По 152-ФЗ о выявленном инциденте с персональными данными оператор обязан сообщить в Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Ниже — пошаговый план для владельца сайта. Это не юридическая консультация: в серьёзных случаях подключайте юриста.
Как обычно утекают данные с сайтов малого бизнеса
Крупные утечки обсуждают в новостях, но у небольших компаний сценарии проще и прозаичнее:
- Взлом сайта через устаревшую CMS, плагин или тему, после чего злоумышленник выгружает базу данных.
- Открытые файлы: выгрузки заявок в CSV или Excel, резервные копии базы, лежащие в публичной папке сайта.
- Слабые или утёкшие пароли от админки, хостинга, CRM, почты.
- Доступ бывших сотрудников и подрядчиков, которым забыли закрыть учётные записи.
- Сторонние сервисы: форма, чат или CRM, через которые проходят заявки, сами допустили утечку.
- Ошибки настройки: страница со списком заказов доступна без авторизации или проиндексирована поисковиком.
О том, что данные утекли, владелец часто узнаёт со стороны: клиенты жалуются на звонки мошенников, которые знают детали заказа, в сети появляется выгрузка, приходит письмо от исследователя безопасности или требование выкупа.
Шаг 1. Остановите утечку, но не уничтожайте следы
Первая задача — закрыть дыру, вторая — сохранить доказательства, чтобы потом понять, что произошло.
- Смените пароли от админки сайта, хостинга, базы данных, FTP или SSH, почты, CRM. Для всех сотрудников и подрядчиков, а не только для себя.
- Закройте публичный доступ к найденным файлам с данными и уязвимым страницам. Если источник неизвестен, а утечка продолжается, — временно переведите сайт в режим обслуживания.
- Отзовите лишние доступы: удалите неизвестных пользователей в админке, отключите старые ключи API и интеграции.
- Сделайте копию текущего состояния сайта, базы и журналов сервера до любых чисток. Попросите хостинг сохранить логи за максимальный доступный период.
Совет: не начинайте с «удалить всё и восстановить из бэкапа». Так вы уничтожите следы и не узнаете, как именно произошёл взлом, — а значит, он может повториться.
Если есть признаки взлома сайта, параллельно пройдите по инструкции что делать, если сайт взломали.
Шаг 2. Оцените масштаб: что, чьё и за какой период
Для уведомления регулятора и для решений о клиентах нужно понимать масштаб. Ответьте на вопросы и запишите ответы:
- Какие категории данных затронуты: имена, телефоны, почты, адреса, данные заказов, паспортные данные, платёжная информация?
- Сколько примерно людей затронуто?
- За какой период накоплены данные, которые утекли?
- Как произошла утечка и когда, предположительно, началась?
- Продолжается ли она сейчас?
| Источник утечки | Где искать подтверждение | Первое действие |
|---|---|---|
| Взлом CMS или плагина | Логи сервера, новые файлы, изменённые даты, неизвестные админы | Обновить CMS и плагины, удалить вредоносный код, сменить ключи |
| Открытый файл с выгрузкой или бэкапом | Журнал доступа к файлу, поиск по сайту и в поисковиках | Удалить файл из публичной папки, запросить удаление из индекса |
| Скомпрометированный пароль | История входов в админку, хостинг, CRM | Сменить пароли, включить двухфакторную аутентификацию |
| Сторонний сервис (CRM, чат, формы) | Уведомления сервиса, журнал доступа в кабинете | Запросить у сервиса информацию об инциденте |
| Бывший сотрудник или подрядчик | Список учётных записей и их последняя активность | Закрыть доступы, зафиксировать факты |
Шаг 3. Уведомите Роскомнадзор
Если вы собираете на сайте персональные данные (а любая форма заявки с именем и телефоном — это сбор персональных данных), вы являетесь оператором персональных данных. При неправомерной передаче (предоставлении, распространении, доступе) персональных данных закон требует от оператора:
- В течение 24 часов с момента выявления инцидента уведомить Роскомнадзор: что произошло, предполагаемые причины, предполагаемый вред, принятые меры, контактное лицо.
- В течение 72 часов сообщить о результатах внутреннего расследования и, если они установлены, о лицах, чьи действия привели к инциденту.
Уведомление подаётся через портал персональных данных Роскомнадзора. Точный порядок и форму уточняйте на официальном сайте ведомства на момент инцидента: процедуры периодически меняются. Общие требования закона к сайтам мы разбирали в статье требования 152-ФЗ к сайту.
Совет: сроки считаются с момента выявления инцидента, поэтому фиксируйте дату и время, когда вы узнали об утечке. Неполное, но своевременное уведомление лучше идеального, но опоздавшего — первичное сообщение можно дополнить по итогам расследования.
За нарушения в сфере персональных данных предусмотрена ответственность. Конкретные последствия зависят от обстоятельств, поэтому при крупной утечке или утечке чувствительных данных стоит сразу привлечь юриста, специализирующегося на персональных данных.
Шаг 4. Решите, как сообщить клиентам
Даже когда закон прямо не требует уведомлять каждого, честное сообщение клиентам снижает вред: люди будут осторожнее со звонками «от вашей компании».
- Коротко опишите, что произошло и какие данные затронуты, без технических деталей и без преуменьшения.
- Объясните, что вы уже сделали.
- Дайте конкретные рекомендации: не сообщать коды из СМС, не переходить по ссылкам из подозрительных сообщений, перезванивать только по официальному номеру компании.
- Укажите, куда обращаться с вопросами.
Утечки часто становятся репутационной проблемой: появляются отзывы, обсуждения, публикации. Готовьте ответы заранее и отвечайте на отзывы спокойно и по существу.
Шаг 5. Устраните причину
После того как утечка остановлена и регулятор уведомлён, наступает время системных исправлений.
Технические меры
- Обновите CMS, плагины, темы; удалите неиспользуемые.
- Включите двухфакторную аутентификацию в админке, хостинге, почте, CRM.
- Уберите выгрузки и резервные копии из публичных папок; храните бэкапы в закрытом месте.
- Не храните на сайте больше данных, чем нужно: старые заявки можно передавать в CRM и удалять с сайта.
- Ограничьте доступ к админке по IP-адресам или дополнительной авторизации, если это возможно.
- Настройте журналирование входов и изменений.
Организационные меры
- Составьте список всех, у кого есть доступ к данным, и пересматривайте его регулярно.
- Закрывайте доступы сразу при уходе сотрудника или окончании работы с подрядчиком.
- Проверьте, что политика обработки персональных данных и согласия в формах соответствуют реальным процессам.
- Опишите порядок действий при инциденте: кто отвечает, кто уведомляет регулятора, где хранятся контакты.
Мы в Pear Advert после подобных инцидентов у клиентов обычно начинаем с аудита: какие данные собирает сайт, где они хранятся, кто к ним имеет доступ и какие компоненты устарели. Чаще всего проблема находится в первые часы проверки.
Частые вопросы
У меня только форма обратной связи. Это тоже персональные данные?
Да. Имя, телефон и почта, по которым можно определить человека, относятся к персональным данным. Владелец сайта, который их собирает, является оператором.
Если утекли данные через стороннюю CRM, кто отвечает?
Перед клиентами и регулятором ответственность в первую очередь несёт оператор — то есть ваша компания, даже если обработку вы поручили сервису. Поэтому важно, какой договор заключён с сервисом и что в нём сказано о защите данных.
Нужно ли уведомлять Роскомнадзор, если утечка небольшая?
Закон не делает исключений по количеству записей для обязанности уведомить о неправомерной передаче персональных данных. Если сомневаетесь, был ли инцидент, проконсультируйтесь с юристом как можно скорее, чтобы не пропустить срок.
Можно ли удалить утёкшие данные из интернета?
Полностью — как правило, нет. Можно попросить удалить их с конкретных площадок и из поисковой выдачи, если они проиндексированы. Главное — не допустить новой утечки и предупредить клиентов.
Итог
При утечке персональных данных остановите её, сохранив следы, оцените масштаб, уведомите Роскомнадзор в течение 24 и 72 часов, предупредите клиентов и устраните причину — технически и организационно. Сделайте выводы, чтобы ситуация не повторилась.
Если не хотите разбираться сами — подключите поддержку сайта в Pear Advert: проведём проверку безопасности, закроем уязвимости и поможем выстроить порядок работы с данными. Для доработки форм и хранения заявок подойдёт доработка сайта.
