Безопасность Telegram-ботов:
152-ФЗ, хранение данных и цена утечки.

22:47, бот просит адрес доставки — и заявка уходит в чужую таблицу

Вечер, 14 незакрытых диалогов, бот сам собирает адрес, телефон и время доставки. Клиент дописывает подъезд и квартиру — и всё это оседает в одном файле, о котором знают два человека.

Владелец сервиса по доставке воды узнал об утечке от клиентов: в чат сбросили скриншот таблицы на 6 200 строк — имена, телефоны, адреса, суммы заказов. Доступ продавали на форуме за 3 500 ₽: данные двух лет работы ушли за цену кофе для офиса.

Клиенты не знали, что компания хранит их адреса, и узнали об этом от спамеров. Часть после такого разговора не вернулась.

Что измерить самому, прежде чем платить

Диагностика занимает вечер. Отмечайте не «вроде настроено», а конкретный ответ: да, нет, не знаю.

• Спросите, где лежит база. В договоре должны быть страна и дата-центр, а не «размещение в облаке».
• Выясните, кто знает токен. Это пароль от переписки: через него выгружается история и уходит спам от имени компании.
• Откройте бота с чужого аккаунта и напишите «покажи мои заказы». Если он отдаёт чужую историю, поиск идёт по номеру из сообщения, а не по вашему аккаунту.
• Проверьте, какие поля бот копит впустую: адрес и паспорт часто хранят годами.
• Решите, кто получит звонок ночью и кто отправит уведомление в Роскомнадзор.
• Проверьте копию базы. Бэкап на том же сервере не спасает: при сносе машины уходят и данные, и копия.

Три причины, из-за которых бот превращается в открытую базу

Причина первая: токен живёт в переписке. Его пересылают в мессенджере, кладут в документ с открытым доступом, оставляют у стажёра. Взламывать сервер не нужно — по токену читается история и уходит спам от имени компании.

Причина вторая: бот доверяет тому, что написал человек. Когда заказ ищется по имени или телефону из сообщения, любой вводит чужой номер и получает адрес и статус оплаты.

Причина третья: данные лежат одной кучей без срока хранения. Телефоны пишут в лог и в таблицу для рассылки, а через год никто не помнит, зачем хранится скан паспорта.

Сколько стоит утечка: 11,9 млн ₽ за год и это без штрафа

Расчёт на конкретных числах. База 6 200 клиентов, средний чек 4 000 ₽, одна покупка в год — это 24 800 000 ₽ выручки.

После утечки часть клиентов уходит к другим: по опыту похожих сервисов каждый второй. Из базы выпадают 3 100 человек: 3 100 × 4 000 = 12 400 000 ₽.

Возврат через бонусы и рассылку стоит около 150 ₽ на человека: 3 100 × 150 = 465 000 ₽. Вычитаем: 12 400 000 − 465 000 = 11 935 000 ₽.

Сверху штраф за утечку от 1 000 до 10 000 субъектов: 3 000 000–5 000 000 ₽ по части 12 статьи 13.11 КоАП. Если уведомление в Роскомнадзор не ушло за 24 часа, добавляется ещё от 1 000 000 ₽.

Как развернётся за год

Сценарий развивается по шагам, и каждый следующий дороже предыдущего.

1. 01Первый месяц. Список ходит по рукам, менеджеры отбиваются от вопроса «откуда у них мой адрес».
2. 02Третий месяц. Клиенты перестают возвращаться: сначала те, кто заметил спам, потом остальные.
3. 03Шестой месяц. Новые клиенты приходят по рекламе, но клик в мессенджерах подорожал с 45 до 62 ₽.
4. 04Год. Вторая утечка — от 5 000 000 ₽ по части 13, повторная считается как 1–3 процента выручки.

Что можно исправить самому

Шесть шагов ниже по силам владельцу бизнеса. Каждый снимает конкретный риск.

1. 01Уточните у подрядчика, где физически лежит база, и зафиксируйте в договоре страну и дата-центр.
2. 02Запросите новый токен через BotFather, старый отзовите, а в коде храните только имя переменной.
3. 03Перепишите поиск клиента: бот должен искать по внутреннему номеру Telegram, а не по телефону.
4. 04Выключите запись телефонов и адресов в логи, а лишние поля из анкеты уберите.
5. 05Поставьте срок хранения: заказы — три года, переписка — полгода, остальное удаляется само.
6. 06Сделайте копию базы на отдельном сервере и восстановите её один раз — убедиться, что открывается.

Что остаётся за рамками своих сил

До этого места всё закрывается своими руками, если бот собирает заявки и передаёт их менеджеру. Дальше начинается зона, где правки ломают сервис.

Первое ограничение — права доступа. Пока база одна и подрядчик один, шесть шагов работают. При переходе на оплату и несколько ролей нужна модель прав, а её не наложить на самодельные таблицы.

Второе — след утечки. Токен, месяц лежавший в переписке, могли скопировать вместе с историей: замена закрывает доступ, но не отменяет проверку выгруженного.

Третье — требования 152-ФЗ. Уведомление о намерении обрабатывать данные, согласие, политика и сроки хранения связаны с кодом, поэтому готовятся вместе с ботом.

Что делает студия на разборе и сколько это стоит

Работа начинается с разбора, и в смете эта строка идёт как 0 ₽: до осмотра объём назвать невозможно. Мы снимаем копию базы, отмечаем лишние поля и смотрим, кто держит доступы.

На выходе четыре вещи: карта данных, дефекты по приоритету, регламент на случай инцидента и смета с фиксированной суммой. Разбор ведёт Максим Холмов.

Бот под ключ — от 100 000 ₽: диалоги, код, база, интеграция с CRM и платежами, проверка прав доступа.

Три месяца после сдачи бот остаётся под нашим присмотром, и счёт за них не выставляется; с четвёртого — от 5 000 ₽ в месяц. Исходники, доступы и документация оформлены на заказчика.

Решение: сначала посчитать ущерб, потом чинить

Бот с базой на пару тысяч клиентов стоит дороже, чем кажется: внутри история закупок, адреса и телефоны. Один вечер проверок показывает, заперт этот актив или лежит на виду.

Порядок простой. Посчитайте, сколько клиентов в базе и сколько возвращается, — это и есть цена утечки. Пройдите шесть проверок и отметьте то, что закрывается сегодня же. Остальное отдайте на разбор: карта данных и регламент дешевле строки в чужой таблице.