Компании из сферы недвижимости, авто, медицины и образования сегодня сталкиваются с новым риском — их клиенты утекают к конкурентам через легальные сервисы, ботов и вредоносный код.

Аналитики компании Kokoc Performance отечественный рынок performance-рекламы в прошлом году оценили в 450 млрд рублей. Основная часть бюджетов идет на контекстную рекламу и таргетинг. На фоне этого работает теневой рынок, участники которого перехватывают данные посетителей сайтов конкурентов до отправки заявок клиентам и перепродают эту информацию.

В зоне риска B2C-сегменты с длинным циклом сделки и высокой стоимостью клиента: недвижимость, автодилеры, частная медицина, образование и страхование, пишет Forbes.ru. Для них сайт является главным каналом продаж, а решение принимается не сразу, что создает окно для их конкурентов. Типичный сценарий в недвижимости выглядит следующим образом: клиент оставляет заявку на сайте застройщика вечером, когда отдел продаж уже отдыхает. К утру заявку отрабатывает агентство-посредник, получившее данные раньше, и выставляет застройщику счет за комиссию 2–3% за «своего» клиента.

Существует три основных канала утечки данных:

Легальные сервисы операторов связи, которые продают списки абонентов, посетивших определенный домен. Этот канал легален: при посещении сайта со смартфона оператор фиксирует активность и может передать обезличенный список номеров абонентов, которые побывали на домене, в рамках «сервиса по таргетированной рекламе». Закон «О персональных данных» не запрещает передачу агрегированных данных. Если абонент дал согласие на передачу данных третьим лицам (часто это условие договоров), сведения могут передаваться и в необезличенном виде. Стоимость таких выборок составляет несколько тысяч рублей. Данный эффект многим знаком из личного опыта. Часто после визита на сайт автоцентра в течение того же дня раздается звонок из другого дилерского центра с подозрительно точным предложением купить машину по привлекательной цене.

Второй канал — прямой парсинг сайта, и это уже в серой зоне правового поля. Боты в режиме реального времени сканируют сайт конкурента и считывают данные форм: имя, телефон, иногда комментарий. Работоспособность сайта не нарушается, поэтому стандартный мониторинг доступности ничего не показывает. Основная причина данной уязвимости — отсутствие элементарной защиты сайта. Большинство владельцев годами не обновляют платформу, шаблоны и серверные библиотеки. Сам сайт пишут дизайнеры, для которых безопасность не приоритет, а данные форм хранятся в директориях хостинга в незашифрованном виде.

Третий канал — внешний код, который компания добровольно размещает на собственном сайте: виджеты обратной связи, чаты, аналитика и многое другое. Каждый подобный элемент исполняется в браузере пользователя и, как отдельно фиксирует консорциум OWASP, имеет техническую возможность считывать содержимое страниц и полей формы. Возможны две схемы. Первая — поставщик виджета встроил в него собирающий сценарий и забирает данные клиентов в обход владельца сайта. А более распространенная схема — поставщик добросовестный, но его инфраструктура взломана, и через виджет на сайт жертвы попадает чужой код. Размещая у себя сторонний элемент, компания де-факто объединяет свою клиентскую часть с инфраструктурой третьего лица и берет на себя его риски.

Аналитики отмечают, что ответственность за утечку персональных данных несет владелец сайта, а не тот, кто их перехватил. В минувшем году в статью 13.11 КоАП были внесены изменения, ужесточающие штрафы за неправомерную передачу данных, однако судебная практика по делам о перехвате лидов пока практически отсутствует.

Эксперты для защиты бизнеса советуют внедрить постоянный мониторинг аномалий в CRM, провести инвентаризацию всего стороннего кода на сайте и применять проксирующие сервисы для фильтрации трафика. Также важно регулярно обновлять CMS и ограничивать использование внешних скриптов на страницах с формами сбора контактов.

Фото: YandexART