Контроль Telegram и «Макс», перехват «Одноклассников» и подбор чужих паролей. Как в ИТ устраивают охоту на своих

Изучение рынка

ПАО «Ростелеком» объявило подрядчикам, что анализирует рынок систем предотвращения утечек конфиденциальной информации. Компания проводит «анализ рынка для закупки и внедрения» расширенной DLP-системы на условиях бессрочной лицензии, говорится в техзадании, опубликованном на сайте закупок «Росэлторг». Предложения от потенциальных разработчиков принимались до 14 сентября 2026 г., но в рамках данного этапа (RFI) компания официально победителя не выбирает.

«Защита от утечек чувствительной и конфиденциальной корпоративной информации — один из приоритетов службы безопасности "Ростелекома", как и любой другой крупной корпорации. Цель объявленной процедуры запроса предложений — это мониторинг рынка профильных решений», — пояснили CNews в пресс-службе оператора. При этом в компании не уточнили, планируют ли совершенствовать свои методы контроля, или намерены расширять работу на внешнем рынке.

Photo by Dimitri Karastelev on Unsplash

"Ростелеком" опубликовал техзадание со схемой блокировок активности нерадивых сотрудников

Компанией определено количество контролируемых системой пользователей — не менее 5 тыс. человек с возможностью наращивать производительность. В самом «Ростелекоме» работает около 120 тыс. сотрудников.

В рамках закупки «Ростелеком» в техническом задании подробно описал работу современной системы, которая способна масштабно следить за тысячами сотрудников и их цифровой активностью. В ее задачи входит обеспечение защиты конфиденциальных данных во время использования, хранения и перемещения, выявление признаков действий сотрудников, наносящих экономический и репутационный ущерб организации, и внутреннего мошенничества, выявление случаев неправомерного доступа к конфиденциальной информации, проведение расследований.

Это не только классические задачи DLP-системы с выявлением информации по ключевым словам и ее блокировкой, но и «умное поведение». Например, система сама ищет аномалии в поведении (резкий рост активности) и формирует «группы риска» среди сотрудников без предварительной настройки шаблонов. Также это не просто табличные отчеты, а визуальное построение графов коммуникаций — кто, с кем, на какие темы общался и какими файлами обменивался, а также продвинутые механизмы подбора паролей к архивам пользовательских файлов прямо «на лету» по словарю.

Система должна обеспечивать контроль над процессом передачи защищаемой информации за пределы сегментов корпоративной вычислительной сети посредством перехвата и анализа данных, переданных на внешние устройства, локальные сетевые ресурсы, облачные хранилища, локальные и сетевые принтеры, сеть Интернет. Система должна поддерживать работу на уровне рабочих станций, отслеживать факты хранения данных на внутренних сетевых файловых ресурсах и рабочих станциях.

Что контролируют айтишники, если речь идет о своих

Внутри системы должны находиться несколько модулей, каждый из которых отвечает за перехват и анализ различных сервисов. Содержание модулей раскрыто в техническом задании, приложенном к запросу на анализ рынка.

Первым упоминается модуль использования мессенджеров и социальных сетей. Речь идет о «перехвате и анализе» текстовых сообщений и файлов, переданных с использованием мессенджеров и средств коммуникации, включая их веб-версии (не ограничиваясь, «Макс», «Агент Mail.ru», «Яндекс-Телемост», Telegram), а также в популярных социальных сетях («ВКонтакте», «Мой Мир@Mail.ru», «Одноклассники» и др.). Она также должна предусматривать возможность ограничения перехвата по отдельным учетным записям пользователей и каналам коммуникаций. Причем в вопросе контроля за Telegram и «Макс» компания подчеркнула важность отслеживания именно веб-версий.

Как пояснил CNews руководитель направления информационной безопасности ГК «Корус Консалтинг» Олег Андреев, в большинстве компаний запрещена установка стороннего ПО на корпоративные устройства, в связи с чем сотрудники пользуются веб-версиями мессенджеров. Также при установке десктопной версии мессенджера переписка и файлы пользователя хранятся на локальном устройстве, что дает больше возможности для перехвата нарушений системами DLP. Таким образом, использовать веб-версии проще, в том числе злоумышленникам, которые всевозможными путями стараются скрыть свои действия.

Модуль контроля FTP-соединений предусматривает перехват и анализ исходящих и входящих файлов, переданных по FTP-соединению, а также переданных по зашифрованному SSL-соединению. Он предоставляет возможность настройки ограничения по размеру перехватываемых файлов, возможность поиска по тексту и атрибутам файлов, переданных по протоколу FTP(S), в том числе с применением шаблонов.

Модуль контроля HTTP-трафика — это перехват и анализ сообщений, отправленных либо полученных при помощи почтовых веб-сервисов по протоколу HTTP(S). Компания перечисляет такие ресурсы, как Mail.ru и Yandex, но могут быть и другие. Кроме того, это возможность фильтрации запросов, генерируемых браузерами «Яндекс», Chrome и Firefox. Предполагается создание и гибкая настройка фильтров по параметрам HTTP-запроса для исключения из перехвата определенной исходящей и входящей информации по установленным правилам, возможность создания «белых» и «черных» списков, настройки фильтрации перехвата данных по MIME-типам по ряду предустановленных правил и правил, созданных администратором системы.

В рамках модуля ожидается реализация возможности перехвата, блокировки и фильтрации GET/POST/PUT-запросов, отправленных пользователями в популярные поисковые системы, в том числе Google, «Яндекс», «Рамблер» и Yahoo. Также требуются перехват и анализ сообщений и файлов, отправляемых в блоги, форумы, файлообменные сервисы и иные веб-службы, перехват входящих и исходящих данных веб-коммуникаций (переписки в чатах, публикация статусов, комментарии) на популярных веб-ресурсах («ВКонтакте», «Одноклассники» и т. д.). В списке также перехват входящих и исходящих электронных писем и вложений, переданных либо полученных через почтовые веб-сервисы, сообщений и файлов, переданных в веб-клиентах мессенджеров, возможность поиска по тексту и атрибутам сообщений и файлов, переданных по протоколу HTTP(S).

Также предусмотрен модуль контроля печати, который перехватывает все попытки отправить документ на какой-либо принтер, в том числе виртуальный, а также модуль контроля внешних устройств и накопителей. Например, настройка частичного сохранения теневой копии для больших файлов (опционально, например, сохранять только первые 100 МБ), возможность создания правил контроля доступа к устройствам для конкретных сотрудников за конкретными ПК.

В техзадании описаны модуль контроля событий на мониторах и действий сотрудников, который позволяет снимать скриншоты с экранов, и модуль контроля данных, вводимых с клавиатуры. В списке также модуль контроля буфера обмена, облачных хранилищ данных, сетевых ресурсов и мониторинга рабочих станций.

Система должна иметь возможность контроля использования USB, устройств беспроводной связи Wi-Fi, CD/DVD-дисководов, устройств с интерфейсом Bluetooth, PCMCIA. Даже если компьютер отключен от сети, анализ работы и содержимого продолжится, а данные будут переданы в удобный момент.

Итогом работы системы должна стать блокировка передачи конфиденциальной информации за пределы корпоративной вычислительной сети по любому из каналов передачи (запрет пересылки определенного файла, уведомление пользователя и администратора и т. д.) по предустановленным правилам.

Умные функции

Отмечается, что система у пользователя должна работать в скрытом режиме. «С целью повышения скрытности у администратора системы должна быть возможность переименования процессов агента, видимых пользователю, при запуске консоли командной строки и иных средств мониторинга системных ресурсов на ПК», — следует из документации.

Особенностью системы станет ее способность не просто блокировать данные, но и анализировать их.

Планируется создавать отчет по действиям пользователя, представляющий собой взаимосвязи (построение графа для анализа связей сотрудников) с другими пользователями, как внутри, так и вне организации, по всем каналам передачи информации, с контролем всех передаваемых файлов и сообщений, с отображением интенсивности обмена, с возможностью перехода к интересующей информации.

Если сотрудник пытается отправить зашифрованный архив с паролем, система сама попытается подобрать к нему пароль по словарю и проверить содержимое.

Сезонная выручка и высокие ставки: как ИТ-компаниям управлять ликвидностью Бизнес

«Система должна в автоматическом режиме раскрывать защищенные архивы путем подбора пароля из подключенного словаря», — следует из технического задания.

Кроме того, у системы появится функция распознавания текста (OCR). Программа «видит» и читает текст на фото, скриншотах и сканированных документах. В систему также встроен виртуальный ассистент, которому можно задавать вопросы обычным человеческим языком.

Отечественная база

Система должна разворачиваться на серверах с поддержкой российской операционной системы RedOS. На рабочих компьютерах сотрудников поддерживаются как Windows 10/11, так и российская система «Альт Рабочая станция». Сама DLP-система должна иметь сертификат ФСТЭК РФ на соответствие требованиям доверия (уровень не ниже 4-го). Программное обеспечение должно поддерживать возможность установки, обновления и удаления клиентской части средствами центров управления приложениями «Аврора», Microsoft SCCM, Kaspersky.

Собранные данные будут аккумулироваться в СУБД PostgreSQL не ниже 15-й версии. Входить в систему предполагается через веб-консоль.

Мнение экспертов

У «Ростелекома» есть собственное DLP-решение — Dozor от дочерней компании «Солар», напомнил CNews Олег Андреев, руководитель направления информационной безопасности ГК «Корус Консалтинг», поэтому размещение технического задания в закупке может говорить об изучении рынка в маркетинговых целях, чтобы оценить ценовую политику и решения других вендоров. В результате компания либо скорректирует свои предложения, либо подтвердит, что аналогов их решения нет.

По словам Андреева, на российском рынке сейчас есть ряд решений от известных вендоров, наряду с Solar, которые относятся к классу DLP. При этом функционал у всех примерно одинаковый, но есть большая разница в ценовой политике, ресурсоемкости и других факторах. Так что выбрать есть из чего, даже с учетом жестких требований в ТЗ, отметил эксперт.

Как пояснил Дмитрий Красников, руководитель направления Big Data и BI К2Тех, одно дело — согласованная передача материалов подрядчику, другое — выгрузка клиентской базы в личное облако перед увольнением. Файл может выглядеть одинаково, а обстоятельства и цели совершенно разные.

«При этом сейчас рабочие процессы в компаниях сильно меняются. К привычной почте добавляются облачные документы, нейросети, совместная аналитика с партнерами. Поэтому компаниям приходится регулярно пересматривать, какие сценарии уже учитывает их защита, а какие появились незаметно для нее», — уточнил эксперт.

Почему бизнес переходит от замены техники к построению инфраструктуры Импортонезависимость

По словам руководителя департамента специальных сервисов Infosecurity (входит в «Софтлайн Решения», ГК Softline) Константина Мельникова, в данном случае речь может идти о контроле за утечками персональных данных.

«С 30 мая 2025 г. ответственность за нарушения при обработке персональных данных существенно ужесточена, а за повторные утечки предусмотрены оборотные штрафы до 3% годовой выручки», — заявил Константин Мельников.

По его словам, для холдинга масштаба от 5 тыс. пользователей защита от утечек — это уже вопрос управления финансовым риском. В портфеле решений «Ростелекома» имеются схожие решения, закрывающие такую потребность, поэтому речь явно не идет о знакомстве с новым для компании классом технологий.

При этом российский рынок подобных решений достаточно зрелый и полностью импортозамещен: по оценкам вендоров, его объем вырос в 2025 г. до 17 млрд руб. с прогнозом роста на 40-50% в 2026 г., добавил Мельников.

Утечки информации как бич

По словам Андреева, только в начале 2026 г. в России в открытый доступ ушло более 500 млн записей, а общий объем за предыдущие несколько лет составил более 4 миллиардов записей (данные F.A.C.C.T.). В 2024 г. Россия даже возглавила рейтинг стран по количеству объявлений о продаже баз данных компаний в даркнете, сообщали аналитики Positive Technologies. Основными источниками утечек становятся госсектор, ритейл и финтех, но операторы связи также регулярно фигурируют в сводках.

Одно из самых громких дел связано с «НПК Кронос-информ», писал TAdviser, в феврале 2026 г., когда апелляция вынесла решение о незаконной продаже персональных данных абонентов «Мегафона».

Установлено, что сразу несколько крупных российских компаний приобретали нелегально полученные конфиденциальные сведения у ИТ-фирм «НПК Кронос-информ» и «МБКИ». Руководством этих двух организаций было принято решение о поиске сотрудников «Мегафона», готовых за денежное вознаграждение предоставлять личные данные абонентов. Задачи поиска таких работников были возложены на Наталью Принцеву, которая занимала должности заместителя начальника информационно-аналитических отделов «НПК Кронос-информ» и «МБКИ».

В свою очередь, Принцева обратилась к ранее знакомому Александру Тришину, специалисту в области работы с информацией, который рассказал, что имеет возможность получать данные абонентов «Мегафона» и готов за денежное вознаграждение привлечь для этих целей необходимое количество сотрудников указанного оператора, писал TAdviser. Впоследствии Тришин привлек двух работников салонов связи «Мегафона», имеющих доступ к информационно-биллинговым системам оператора.

В числе заказчиков незаконных услуг, как сказано в материалах дела, были «Мечел», Металлинвестбанк, «Теплоэнергоремонт», «Энвижн групп», «Агропром кредитный банк» и «Интегрированный бизнес». Суд приговорил фигурантов к реальным срокам и принудительному лечению у психиатра.

В ноябре 2024 г. глава «Ростелекома» Михаил Осеевский заявлял, что персональные данные всех россиян уже утекли в Сеть.

«Если мы зайдем в даркнет, то там есть консолидированная украинскими спецслужбами или хакерами информация по каждому из нас. Я по себе [даже] просил», — сказал топ-менеджер на межотраслевой конференции «Безопасность клиента на первом месте» (цитата по ТАСС).

Осеевский добавил, что такая ситуация создает возможность «для различного рода способов проникновения в нашу жизнь».