Как защитить бизнес в сети от кибермошенничества: правовые меры для компании

Как защитить онлайн-бизнес от кибермошенничества — один из самых острых вопросов для любой компании, которая принимает заказы через сайт, ведет продажи через личный кабинет, обрабатывает персональные данные, использует расчетные счета с удаленным доступом, ведет переписку с покупателями и подрядчиками, а также подписывает документы электронной подписью. Даже небольшое дело в сети сегодня зависит не только от хорошего товара и рекламы, но и от того, насколько грамотно выстроена правовая защита. В рамках категории «Интернет-право» и услуги «Юридическое сопровождение компаний и бизнеса в сети» задача юриста состоит не только в подготовке бумаг, но и в создании такой правовой системы, которая позволит заранее снизить риск хищения денег, подмены реквизитов, утечки сведений и спора с клиентами, банком, работником или подрядчиком.

Законодательная основа для такой защиты уже существует. Общие правила о защите информации установлены законом «Об информации, информационных технологиях и о защите информации», режим персональных данных — законом «О персональных данных», режим коммерческой тайны — законом «О коммерческой тайне», а отношения при использовании электронной подписи — законом «Об электронной подписи». Если же мошеннические действия уже совершены, могут применяться положения Уголовного кодекса Российской Федерации о мошенничестве в сфере компьютерной информации и о неправомерном доступе к компьютерной информации. 

Почему бизнес в сети уязвим

Главная слабость бизнеса в сети состоит в том, что одно и то же лицо часто совмещает несколько ролей. Руководитель распоряжается счетом, ведет деловую переписку, утверждает платежи, подписывает документы электронной подписью, получает сообщения от банка и при этом не всегда разграничивает доступ между работниками. В такой модели достаточно одной ошибки — открыть вредоносное письмо, передать код подтверждения, использовать один пароль на нескольких службах или доверить электронную подпись постороннему лицу, — чтобы компания потеряла деньги или доступ к важным сведениям.

Особенно опасны ситуации, когда в компании отсутствуют внутренние правила: кто может утверждать платежи, кто вправе менять реквизиты поставщика, как проверяется новый контрагент, где хранятся ключи электронной подписи, как оформляется доступ работника к базе покупателей, кто отвечает за сайт, доменное имя и переписку с платежным посредником. Если такие вопросы не урегулированы, то после инцидента становится очень трудно доказать, где была вина работника, подрядчика, самого руководителя или внешнего злоумышленника. Именно поэтому в рамках направления «Юридическое сопровождение компаний и бизнеса в сети» большое значение имеет не только спор после хищения, но и предупредительная правовая работа.

Какие схемы кибермошенничества встречаются чаще всего

Когда предприниматели спрашивают, как защитить онлайн-бизнес от кибермошенничества, они обычно думают только о взломе сайта. На практике угроз значительно больше.

Подмена платежных реквизитов

Мошенник получает доступ к деловой переписке и отправляет покупателю или самой компании письмо с новыми банковскими реквизитами. Если бухгалтерия или менеджер не проверяют смену реквизитов по отдельному каналу связи, деньги уходят не настоящему контрагенту, а злоумышленнику. Затем начинается сложный спор: банк, контрагент, компания и работники по-разному оценивают, кто допустил ошибку.

Хищение доступа к расчетному счету

Опасность возникает, когда злоумышленники получают коды подтверждения, сведения о банковской карте, удаленный доступ к устройству либо убеждают работника провести платеж под предлогом срочности. Банк России постоянно предупреждает, что нельзя передавать посторонним финансовые сведения и коды подтверждения, а также нельзя доверять звонкам и сообщениям от лиц, которые представляются работниками банка или государственных органов. 

Компрометация электронной подписи

Для бизнеса это один из самых тяжелых сценариев. Если ключ электронной подписи попадает к другому лицу, от имени компании могут подать документы, изменить сведения, подписать отчетность или иные юридически значимые бумаги. Федеральная налоговая служба прямо указывает, что ключевой носитель нельзя передавать третьим лицам даже тем, кому вы доверяете, а при утрате носителя или компрометации ключа нужно оперативно обратиться в удостоверяющий центр и отозвать сертификат. 

Утечка персональных данных клиентов

Для магазина, службы доставки, образовательной площадки, клиники, службы подписки или иного дела в сети утечка персональных данных — это не только удар по доверию покупателей, но и правовой риск. Закон о персональных данных требует от оператора обеспечивать защиту прав граждан при обработке их данных, а Роскомнадзор разъясняет: если произошла неправомерная или случайная передача либо доступ к персональным данным, повлекшие нарушение прав субъектов, оператор обязан сообщить об инциденте в течение двадцати четырех часов, а результаты внутреннего расследования — в течение семидесяти двух часов. 

Ложная страница магазина или службы оплаты

Мошенники копируют внешний вид сайта, страницы оплаты или переписки компании и собирают деньги или сведения о картах покупателей. Для бизнеса это грозит двойным ущербом: прямыми претензиями клиентов и репутационными потерями. Если у компании не оформлены правила работы с доменным именем, товарным знаком, пользовательскими условиями и порядком приема платежей, защита усложняется.

Какие правовые меры должен внедрить бизнес

Вопрос о том, как защитить онлайн-бизнес от кибермошенничества, нельзя решить одним приказом. Нужна система документов, правил и доказательств. В категории «Интернет-право» такая защита обычно строится из нескольких блоков.

Первый блок. Персональные данные

Если компания собирает имена, телефоны, адреса доставки, сведения о заказах, электронную почту, жалобы и обращения клиентов, она, как правило, выступает оператором персональных данных. Это означает, что нужно определить цели обработки, состав собираемых данных, правовые основания обработки, порядок хранения, перечень лиц с доступом и внутренние меры защиты. На портале Роскомнадзора действуют формы уведомлений для операторов, а в реестре размещаются сведения об операторах персональных данных. 

Второй блок. Коммерческая тайна

Если вы хотите действительно защищать клиентскую базу, внутренние правила продаж, сведения о поставщиках, ценовых моделях, способах продвижения и иных важных сведениях, одного устного запрета мало. Закон о коммерческой тайне регулирует отношения, связанные с установлением и прекращением режима коммерческой тайны. Это означает, что компания должна письменно определить перечень защищаемых сведений, круг допущенных лиц, порядок хранения, маркировку документов, обязанности работников и подрядчиков, а также ответственность за разглашение. Без такого режима потом трудно взыскать убытки с недобросовестного работника или исполнителя. 

Третий блок. Электронная подпись и полномочия

Закон об электронной подписи регулирует гражданско-правовые сделки и иные юридически значимые действия с использованием подписи. Для компании критически важно, чтобы подпись была привязана к конкретному лицу, а не «ходила по офису». Если документ должен подписывать работник, у него должен быть свой ключ и надлежащая доверенность, а не ключ руководителя. Такой подход прямо поддерживается разъяснениями налоговой службы. 

Четвертый блок. Договоры и внутренняя ответственность

Нужно заранее распределить, кто отвечает за сайт, кто обслуживает платежную часть, кто хранит резервные копии, кто администрирует почту, кто имеет право менять банковские реквизиты в договоре и на сайте, кто ведет переписку с платежным посредником. Эти вопросы закрепляются в трудовых договорах, должностных обязанностях, договорах подряда, соглашениях о неразглашении и внутренних положениях. Тогда при споре компания получает возможность взыскать убытки, предъявить регрессное требование или хотя бы точно установить круг ответственных лиц.

Пятый блок. Работа с банком и платежами

Для бизнеса в сети важно предусмотреть двойную проверку платежей, особенно если меняются реквизиты получателя, сумма, назначение платежа или лицо, согласующее перевод. Банк России указывает, что участники информационного обмена обязаны противодействовать переводам без добровольного согласия клиента, а сведения о таких случаях и попытках передаются в специальную базу данных Банка России. Это означает, что при подозрительной операции нельзя медлить: нужно немедленно связываться с банком, фиксировать несогласие с переводом и собирать доказательства. 

Порядок действий при инциденте

Если хищение или иная атака уже произошли, действовать нужно быстро и последовательно.

  1. Немедленно прекратить доступ злоумышленника: сменить пароли, заблокировать учетные записи, отключить спорный доступ, отозвать права у работника или подрядчика, если есть основания полагать их причастность.
  2. Связаться с банком и зафиксировать несогласие с переводом либо попыткой перевода. Чем раньше направлено уведомление, тем выше шансы остановить движение денег.
  3. Если затронута электронная подпись, срочно обратиться в удостоверяющий центр для отзыва сертификата. ФНС прямо рекомендует при компрометации ключа действовать без промедления. 
  4. Если затронуты персональные данные, начать внутреннее расследование и оценить, подпадает ли случай под обязанность уведомления Роскомнадзора в течение двадцати четырех часов и представления результатов расследования в течение семидесяти двух часов. 
  5. Сохранить доказательства: письма, журналы событий, снимки экрана, переписку, платежные документы, договоры, записи звонков, сведения о входе в учетные записи, показания работников.
  6. Подать заявление в правоохранительные органы, если имеются признаки преступления. В зависимости от обстоятельств речь может идти о мошенничестве в сфере компьютерной информации или неправомерном доступе к компьютерной информации. 
  7. Подготовить правовую позицию для претензий к банку, работнику, подрядчику, владельцу ложной страницы, хостинг-площадке или иному участнику спора.

Самая частая ошибка бизнеса — сначала пытаться «разобраться внутри», а уже потом звать юриста. За это время теряются следы, переписка удаляется, работник увольняется, сертификат подписи продолжает действовать, а срок для обязательного уведомления о происшествии истекает. В сфере интернет-права скорость юридической реакции часто определяет исход дела.

Какие документы нужны компании заранее

Чтобы защита не была бумажной формальностью, бизнесу в сети нужен заранее подготовленный комплект документов:

  • положение об обработке персональных данных;
  • согласия на обработку данных и внутренний порядок доступа к ним;
  • уведомление оператора персональных данных, если оно требуется для вашей модели работы;
  • положение о коммерческой тайне и перечень защищаемых сведений;
  • договоры с работниками и подрядчиками с условиями о конфиденциальности, доступе к сведениям и ответственности;
  • внутренний порядок использования электронной подписи и ключевых носителей;
  • доверенности и разграничение полномочий на подписание документов;
  • порядок согласования платежей и смены реквизитов контрагентов;
  • правила пользования сайтом, публичные условия продажи, порядок возврата и обработки обращений;
  • план действий при инциденте: кто уведомляет банк, кто ведет расследование, кто готовит уведомление в Роскомнадзор, кто взаимодействует с правоохранительными органами.

Именно этот набор обычно и входит в услугу «Юридическое сопровождение компаний и бизнеса в сети», когда компании нужна не разовая консультация, а целостная правовая защита.

Таблица рисков и решений

Риск Последствие Правовое решение
Подмена реквизитов в переписке Уход денег мошеннику и спор с контрагентом Двойная проверка реквизитов, внутренний порядок подтверждения, фиксация полномочий работников
Утечка персональных данных Претензии клиентов, надзорные меры, репутационный ущерб Положение о данных, разграничение доступа, журнал инцидентов, своевременное уведомление надзорного органа
Передача электронной подписи постороннему лицу Подписание документов без воли компании Индивидуальные ключи, доверенности, запрет на передачу носителя, срочный отзыв сертификата при компрометации
Хищение клиентской базы работником Потеря клиентов и сложность взыскания убытков Режим коммерческой тайны, договорные запреты, учет выданных доступов и доказательств копирования
Ложная страница оплаты или магазина Жалобы клиентов и ущерб деловой репутации Фиксация нарушения, претензионная работа, защита обозначения и взаимодействие с правоохранительными органами

Примеры из практики

Пример первый. Небольшой магазин в сети получил письмо якобы от постоянного поставщика с просьбой срочно оплатить поставку по новым реквизитам. Бухгалтер перечислил деньги, потому что адрес отправителя внешне совпадал с привычным. Проверка показала, что переписка была подменена, а внутри компании не было правила обязательного подтверждения смены реквизитов по телефону или отдельным письмом, подписанным уполномоченным лицом. Такой спор обычно сводится к вопросу о распределении риска между компанией и контрагентом, а юристу приходится одновременно работать с банком, доказательствами переписки и внутренними документами компании.

Пример второй. Руководитель передал свою электронную подпись бухгалтеру, чтобы ускорить работу с отчетностью и договорами. Через некоторое время от имени компании были подписаны документы, которых руководитель не утверждал. Налоговая служба отдельно подчеркивает, что ключевой носитель нельзя передавать третьим лицам, а сотруднику при необходимости нужно оформлять собственную подпись и доверенность. При отсутствии такого порядка компания сама создает для себя правовой риск. 

Пример третий. Служба доставки допустила утечку сведений о клиентах после того, как подрядчик получил слишком широкий доступ к базе заказов. Проблема состояла не только в технической уязвимости, но и в том, что договор с подрядчиком не ограничивал объем доступа, не содержал четкого порядка возврата и уничтожения данных и не предусматривал подробной ответственности. В такой ситуации вопрос о персональных данных и вопрос о гражданско-правовой ответственности подрядчика идут вместе.

Пример четвертый. У компании был оформлен режим коммерческой тайны, перечень защищаемых сведений, соглашения о неразглашении и журнал выдачи доступов. После ухода сотрудника выяснилось, что он вывел часть клиентской базы и использовал ее в новом проекте. Благодаря заранее оформленному режиму компания смогла выстроить сильную доказательственную позицию. Этот пример хорошо показывает, что интернет-право работает не только против внешнего злоумышленника, но и как защита от внутренних рисков.

Зачем нужно юридическое сопровождение компаний и бизнеса в сети

Юридическое сопровождение компаний и бизнеса в сети нужно не только крупным площадкам. Малый и средний бизнес чаще всего страдает сильнее, потому что у него нет отдельной внутренней службы безопасности, а один инцидент способен остановить продажи, заморозить счет и привести к потере всей клиентской базы. Юрист по интернет-праву помогает выстроить правовую сторону защиты еще до происшествия и быстро реагировать, если ущерб уже причинен.

Обычно такая помощь включает:

  1. правовой разбор модели бизнеса в сети и основных каналов риска;
  2. подготовку документов по персональным данным и коммерческой тайне;
  3. разграничение полномочий по платежам и электронной подписи;
  4. проверку договоров с подрядчиками, которые ведут сайт, рекламу, прием платежей и хранение сведений;
  5. разработку порядка действий при инциденте;
  6. подготовку претензий, заявлений в банк, надзорный орган и правоохранительные органы;
  7. сопровождение споров о возврате денег, взыскании убытков и защите деловой репутации.

Коммерческий смысл такой услуги прост. Когда компания заранее оформляет правила и распределяет ответственность, она уменьшает вероятность хищения, а при инциденте получает шанс быстрее вернуть деньги и доказать свою правоту. Если же бизнес начинает заниматься документами только после происшествия, почти всегда оказывается поздно: работник уже удалил переписку, подрядчик отрицает вину, банк ссылается на подтвержденное распоряжение, а у компании нет внутреннего положения, которое запрещало бы конкретное действие.

Выводы и рекомендации

Как защитить онлайн-бизнес от кибермошенничества — это вопрос не только техники, но и права. Для бизнеса в сети защита строится на сочетании нескольких уровней: персональные данные, коммерческая тайна, правила использования электронной подписи, порядок подтверждения платежей, договорная ответственность работников и подрядчиков, а также готовность быстро действовать при инциденте. Законы о защите информации, о персональных данных, о коммерческой тайне и об электронной подписи дают для этого необходимую основу, а уголовно-правовые нормы позволяют добиваться преследования злоумышленников при наличии состава преступления. 

Практически разумный путь выглядит так: провести юридический аудит бизнеса в сети, определить, какие сведения и процессы нуждаются в особой защите, оформить внутренние правила, привести в порядок договоры, выстроить режим доступа и назначить ответственных за действия при происшествии. Если инцидент уже произошел, важно немедленно подключить юриста, чтобы не потерять время, деньги и доказательства. Именно поэтому услуга «Юридическое сопровождение компаний и бизнеса в сети» в сфере интернет-права сегодня является не расходом, а способом сохранить устойчивость бизнеса, деньги компании и доверие клиентов.