Сквозное шифрование в мессенджере: что оно защищает, а что нет

Сквозное шифрование защищает содержимое переписки от перехвата на пути между устройствами — провайдер связи, владелец сервера мессенджера или человек в сети не прочитают текст сообщения. Оно не защищает от утечки на самом телефоне, от метаданных о том, кто и когда с кем переписывался, от компрометации аккаунта и от того, что сотрудник сам перешлёт переписку третьему лицу.

Что на самом деле шифрует сквозное шифрование в мессенджере

Термин end-to-end encryption означает, что ключи шифрования хранятся только на устройствах отправителя и получателя. Сервер мессенджера видит зашифрованный набор байтов и передаёт его дальше, не имея возможности прочитать содержимое — даже по официальному запросу или при взломе самого сервера. Это защищает текст, голосовые сообщения и файлы от перехвата в канале связи: провайдер интернета, оператор мобильной связи, администратор дата-центра или атакующий с доступом к трафику получат только шифротекст. Значок «сообщения защищены» рядом с чатом подтверждает именно это — и ничего больше.

Здесь есть разница между потребительскими мессенджерами и мессенджером, который компания строит под себя. В первом случае протокол, сервер и политику хранения метаданных контролирует внешний разработчик, а бизнес может только доверять его публичным заявлениям о шифровании. Во втором случае сервер, ключи и журналы доступа принадлежат компании, и она сама решает, что логировать. Для бизнеса, который передаёт через мессенджер закупочные цены, договоры или персональные данные клиентов, это не техническая деталь, а вопрос, кто в итоге отвечает за утечку.

Что видно даже при включённом шифровании

Мессенджер и его сервер по-прежнему видят метаданные: кто с кем переписывается, как часто, в какое время и с какого устройства. По этим данным легко восстановить структуру отдела продаж, узнать, что менеджер общается с конкурентом, или вычислить момент, когда сотрудник начал переговоры о новой работе. Видны размер и тип пересылаемых файлов, список участников группового чата, статус прочтения. А после того как сообщение расшифровано на экране телефона, оно уже никак не защищено: скриншот, пересылка в другой чат, синхронизация с незашифрованным облачным бэкапом — всё это происходит вне контура шифрования.

Почему возникает иллюзия полной защиты у компаний, выбравших мессенджер с E2E

Менеджер отдела продаж присылает клиенту прайс-лист с закупочными ценами через мессенджер, где рядом с именем собеседника стоит пометка о защищённой переписке. Тем же вечером он пересылает всю переписку за месяц себе на личный телефон — так удобнее готовиться к отпуску. Через две недели он увольняется в компанию-конкурента, а прайс с закупочными ценами остаётся в чате на телефоне, который отдел безопасности никогда не видел.

Шифрование честно выполнило свою работу — никто не перехватил сообщение по дороге. Но утечка случилась не в канале связи, а после расшифровки, там, где у компании нет ни контроля, ни видимости. Иллюзия защищённости возникает именно из-за того, что бейдж «зашифровано» читается как «безопасно», хотя описывает только один из десятка возможных путей утечки.

Для компании это не абстрактный риск. Закупочные цены у конкурента — это потерянная маржа на следующих тендерах. База клиентов, скопированная перед увольнением, — это упущенные повторные продажи и, если в базе есть личные данные физлиц, потенциальные претензии по 152-ФЗ о защите персональных данных.

Как исправить типичные ошибки в переписке и хранении корпоративных данных

В малом и среднем бизнесе в Москве чаще всего работает не корпоративный, а личный номер сотрудника — переписка с клиентами ведётся с телефона, который компания не контролирует. Прайсы, счета и данные клиентов менеджеры копируют из 1С вручную и вставляют текстом в чат, потому что так привычнее, чем открывать учётную систему при клиенте.

• ✓перевести переписку с клиентами на корпоративные аккаунты, привязанные к рабочему номеру или домену компании, а не к личному телефону;
• ✓включить обязательную двухфакторную аутентификацию и единый вход, чтобы кража пароля не открывала доступ ко всей истории переписки;
• ✓завести аудит-лог: кто из сотрудников экспортировал файл, переслал переписку или зашёл с нового устройства;
• ✓исключить ручное копирование цен и данных клиентов из 1С в чат — данные должны попадать к клиенту напрямую из учётной системы.

Последний пункт закрывается один раз и почти всегда доработкой прикладного решения: скрипт выгружает счёт или коммерческое предложение из базы и отправляет его через контролируемый канал без участия менеджера. Мы делаем такие интеграции как доработку 1С — обычно поверх уже работающей 1С:Управления торговлей, где хранятся цены, остатки и карточки клиентов.

Что делать, если утечка данных через мессенджер повторяется

Если один и тот же сценарий — уволенный сотрудник уносит переписку с клиентами — случается второй и третий раз, дело не в мессенджере. Дело в процессе увольнения: доступ к чатам отзывается вручную, кто-то в HR должен вспомнить и попросить айтишника, а телефон бывший сотрудник уже унёс домой. Если так происходит третий раз подряд, повторение — это симптом отсутствующего регламента, а не невезения.

Решение — сделать отзыв доступа частью чек-листа увольнения, а не отдельным поручением: единая админ-панель, из которой сотрудника разом убирают из всех рабочих групп; MDM-профиль, позволяющий удалённо стереть корпоративные данные с личного устройства, не затрагивая личные фото и приложения; ежеквартальная сверка списка участников чувствительных чатов с текущим штатным расписанием. Если переписка компании завязана на устаревшую версию 1С с открытыми интеграционными точками, начать стоит с обновления 1С — часть утечек происходит не через мессенджер, а через дыру в API, на которую давно вышел патч.

Отдельно стоит различать утечку из-за архитектуры мессенджера и утечку из-за отсутствия процесса на стороне компании: ответственность за защиту персональных данных клиентов лежит на компании как операторе данных, а не на разработчике чата, даже если технически данные ушли через сторонний сервис.

Как предотвратить утечку переписки, файлов и клиентской базы

Профилактика дешевле разбора инцидента. Для компании на 20–150 сотрудников в Москве набор мер укладывается в несколько понятных правил, которые можно внедрить за одну-две недели без остановки текущей работы отдела продаж.

• ✓запретить синхронизацию рабочих чатов с личными облачными бэкапами — большинство утечек «через шифрованный мессенджер» на деле происходят через незашифрованную резервную копию;
• ✓ограничить пересылку файлов из рабочих групп во внешние чаты на уровне политики MDM;
• ✓подключить учётную систему напрямую к каналу уведомлений клиента, чтобы цены и остатки не проходили через буфер обмена сотрудника;
• ✓для компаний с оборотом, требующим 1С:ERP, вынести контроль доступа к клиентским данным на уровень ERP, а не оставлять его на совести конкретного менеджера.

Сколько стоит закрыть эти риски и что входит в сопровождение

Настройка MDM, двухфакторной аутентификации, аудит-лога и регламента увольнения — это разовая работа сисадмина, а не абстрактная перестройка процессов. Сопровождение 1С и системное администрирование стоят от 3800 руб/час, обычная настройка контроля доступа для компании на 30–50 сотрудников занимает 8–15 часов. Отдельно оценивается доработка 1С под автоматическую отправку документов клиенту — стоимость зависит от того, сколько типов документов нужно закрыть.

Если стандартные мессенджеры не устраивают компанию по требованиям безопасности — например, нужен полностью контролируемый канал без стороннего сервера между сотрудником и клиентом, — мы разрабатываем корпоративные мобильные приложения под такие сценарии с нуля: от 500 000 руб. Это отдельный проект с собственным сервером и моделью доступа, а не переписка поверх чужого мессенджера, поведение которого компания не контролирует.

❓ Частые вопросы

Если мессенджер пишет «сообщения защищены», значит переписка компании в безопасности?

Нет. Пометка о защите означает, что сообщение нельзя перехватить по дороге между устройствами. Она не защищает от утечки на телефоне сотрудника, от скриншотов, пересылки третьим лицам, компрометации пароля или незашифрованного облачного бэкапа переписки — а именно так чаще всего уходят данные компании.

Можно ли узнать, кто и с кем переписывается, если сообщения зашифрованы?

Да. Сервер мессенджера видит метаданные даже при сквозном шифровании: список контактов, частоту и время сообщений, участников групп, размер файлов. По этим данным восстанавливается структура переговоров с клиентом или конкурентом без чтения самого текста.

Что делать с перепиской уволенного сотрудника, если она велась в мессенджере с личного телефона?

Если переписка велась не с корпоративного аккаунта, компания технически не может её изъять или удалить — данные остаются на личном устройстве. Единственная защита — заранее перевести общение с клиентами на корпоративные учётные записи с админ-панелью и правом дистанционно отозвать доступ при увольнении.

Обязана ли компания защищать переписку с клиентами по 152-ФЗ, если в мессенджере уже есть шифрование?

Да. Шифрование канала не снимает с компании статус оператора персональных данных. Если в переписке есть ФИО, телефон или адрес клиента, требования 152-ФЗ по защите этих данных действуют независимо от того, зашифрован мессенджер или нет — ответственность несёт компания.

Сколько стоит настроить контроль корпоративной переписки для небольшой компании?

Базовая настройка — корпоративные аккаунты, двухфакторная аутентификация, аудит-лог и регламент отзыва доступа — это работа сисадмина по цене от 3800 руб/час, для компании на 30–50 сотрудников обычно 8–15 часов.