Корпоративный шпионаж никуда не исчез. Он просто перестал выглядеть как шпионаж

Корпоративный шпионаж обычно представляют довольно стереотипно: сотрудник копирует секретные документы, конкурент пытается получить доступ к технологии, кто-то выносит информацию из офиса на флешке. Но привычный образ давно не отражает того, как сегодня получают доступ к ценным данным и разработкам.

Большая часть корпоративной информации давно находится не в бумажных архивах. Она хранится в корпоративных системах, облачных сервисах, электронной почте, рабочих чатах и на устройствах сотрудников. Поэтому получить ее можно куда менее заметным способом.

Для этого иногда не нужно взламывать периметр компании. Достаточно устроиться на работу, стать подрядчиком или получить доступ к нужной системе в рамках обычного бизнес-процесса.

Размер бизнеса сам по себе мало говорит о том, насколько компания интересна для корпоративного шпионажа. Гораздо важнее, есть ли у нее технология, разработка, данные или компетенции, которые сложно получить другим способом. Небольшая лаборатория с перспективной разработкой может представлять больший интерес, чем крупный производитель давно известных препаратов. То же самое относится к инженерному бюро из двадцати человек, если именно у него находится технология, которой пока нет у конкурентов. В российском законодательстве ценность такой информации описана вполне конкретно: Федеральный закон «О коммерческой тайне» относит к ней производственные, технические, экономические, организационные сведения и результаты интеллектуальной деятельности, если они имеют коммерческую ценность в силу неизвестности третьим лицам и к ним нет свободного законного доступа.

Для небольшой технологической компании в этом есть отдельная проблема. Ценность разработки уже может быть высокой, а защита вокруг нее еще не успела вырасти до уровня крупной корпорации. Инжиниринговое бюро из двадцати человек, лаборатория или небольшой разработчик с уникальной технологией вполне могут представлять больший интерес, чем известный игрок рынка. В таком случае ценная информация и сравнительно простой доступ к ней оказываются по одному адресу.

Интерес к такой информации может быть разным. Коммерческому конкуренту нужны конкретная разработка, сроки выхода продукта, состав проектной команды, поставщики или сведения, способные дать преимущество на рынке и переговорах. Для российского бизнеса здесь есть и вполне конкретная правовая рамка: статья 183 УК РФ предусматривает ответственность за незаконное получение и разглашение сведений, составляющих коммерческую тайну, в том числе за их сбор путем похищения документов, обмана, шантажа, принуждения, подкупа, угроз или иным незаконным способом. Другой уровень - деятельность в интересах государства или целой отрасли. В Стратегии экономической безопасности Российской Федерации отдельно говорится о противодействии деятельности специальных служб и организаций иностранных государств, направленной на нанесение ущерба стратегически важным отраслям российской экономики. В таких случаях интерес редко ограничивается одним документом: объектом внимания могут становиться технологии, специалисты, цепочки поставок и целые направления исследований.

Когда говорят об инсайдерских угрозах, чаще всего вспоминают сотрудника, который сознательно передает информацию конкуренту, копирует клиентскую базу перед увольнением или забирает с собой разработки компании. Но умышленная кража информации - только часть проблемы.

По данным 2026 Cost of Insider Risks Global Report, подготовленного Ponemon Institute при поддержке DTEX Systems, 53% рассмотренных инсайдерских инцидентов были связаны с ошибками и небрежностью сотрудников или подрядчиков. Еще 27% пришлось на действия злонамеренных инсайдеров, 20% - на случаи компрометации учетных данных. Средняя совокупная стоимость таких инцидентов для одной организации достигла $19,5 млн в год.

Получается, сотрудник может создать серьезный риск, даже если у него нет намерения что-либо похищать. Файл отправили не тому адресату, документ загрузили в личное облако, пароль оказался скомпрометирован, рабочие данные попали в неразрешенный сервис - последствия иногда оказываются сопоставимыми с намеренной утечкой.

При этом остается и другая категория - люди, которые получают доступ к компании именно ради информации.

Основная схема корпоративного шпионажа за последние десятилетия изменилась не слишком сильно. Нужно найти источник информации, получить к нему доступ, забрать нужные сведения и передать их дальше. Сильно изменились инструменты.

Через профессиональные социальные сети можно быстро найти сотрудников конкретной компании, понять, кто отвечает за нужное направление, и выйти на такого человека под видом рекрутера, потенциального партнера или коллеги по отрасли. Генеративный ИИ помогает готовить правдоподобные письма, резюме и сценарии общения. Облачные сервисы позволяют за несколько минут передать объем информации, для которого раньше понадобились бы физические носители.

Масштаб проблемы хорошо виден в Google Cloud Threat Horizons Report H1 2026. В исследовании 1 002 известных случаев злонамеренной инсайдерской активности вывод данных был зафиксирован в 909 случаях, то есть примерно в 91%. В 35% эпизодов с эксфильтрацией инсайдеры использовали сразу несколько каналов - например, электронную почту, облачные хранилища и внешние накопители.

Для службы безопасности это практическая проблема. Контроль только USB-устройств или исходящей почты уже не дает полной картины. Один и тот же массив данных можно унести несколькими путями, а отдельные события при этом будут выглядеть вполне обычно.

Отдельного внимания заслуживает удаленный найм. За последние годы американские правоохранительные органы раскрыли несколько крупных схем, в которых северокорейские IT-специалисты устраивались в компании под чужими или поддельными личностями и получали обычный корпоративный доступ.

В июне 2025 года Министерство юстиции США сообщило о координированной операции в 16 штатах. По материалам ведомства, участники схем получили удаленную работу более чем в 100 американских компаниях, а правоохранители изъяли около 200 компьютеров, использовавшихся в так называемых laptop farms.

Механика была простой. Корпоративный ноутбук физически находился в США у посредника, а реальный сотрудник подключался к нему удаленно из другой страны. Для работодателя все могло выглядеть как обычная работа специалиста, находящегося в США.

В апреле 2026 года по одному из связанных дел двое граждан США получили реальные сроки. По данным DOJ, эта схема также помогла северокорейским IT-работникам получить работу более чем в 100 компаниях, используя похищенные личности как минимум 80 американцев, и принесла свыше $5 млн незаконного дохода.

Для корпоративной безопасности этот кейс важен не своей экзотикой, а самой точкой входа. Человек получает доступ не после взлома, а после формально успешного найма. Значит, проверка удаленного кандидата, его личности, местонахождения и технической схемы подключения становится частью защиты информации, а не только задачей HR.

Другая типичная проблема возникает уже после найма. Сотруднику выдают доступы для конкретных задач, потом он меняет должность, переходит между подразделениями, подключается к новым проектам. Старые права при этом могут сохраняться.

Через несколько лет у человека оказывается заметно больше возможностей, чем ему действительно требуется для работы. И если учетная запись будет скомпрометирована или сам сотрудник решит вывести данные, ущерб будет определяться не его текущей должностью, а всем накопленным набором прав.

В рекомендациях Google Cloud по инсайдерским рискам отдельно говорится о регулярном пересмотре прав и принципе минимально необходимых привилегий. Это особенно важно при переводах между подразделениями и при увольнении.

Период перед увольнением требует отдельного внимания. Резкое увеличение скачивания документов, перенос файлов в личные сервисы, необычная работа с облачными хранилищами или обращение к информации, которая раньше сотруднику почти не требовалась, сами по себе еще не доказывают нарушение. Но это уже основания посмотреть на ситуацию внимательнее.

После увольнения цифровые и физические доступы должны закрываться синхронно с завершением работы. Несколько лишних дней активной учетной записи - это не техническая мелочь, а лишнее окно риска.

Большинство крупных компаний уже используют несколько средств контроля: DLP, SIEM, системы управления доступом, видеонаблюдение, СКУД, контроль корпоративных устройств. Слабое место часто находится между ними.

Например, DLP фиксирует отправку нескольких файлов. СКУД показывает посещение офиса в необычное время. Система управления учетными записями регистрирует обращение к данным, которыми сотрудник раньше почти не пользовался. Каждое событие отдельно может не вызвать серьезной реакции.

Если все это происходит с одним человеком за короткий период, картина уже другая. Но увидеть ее можно только в том случае, если сигналы действительно сводятся вместе и у кого-то есть задача их сопоставлять.

Проблема часто возникает не из-за отсутствия средств контроля, а из-за разрозненности процессов. Фишинговое сообщение попадает в службу IT-поддержки, DLP формирует предупреждение, СКУД фиксирует необычное посещение офиса, а система управления доступом показывает нетипичную активность учетной записи. По отдельности каждый сигнал может показаться незначительным, и в результате ответственность за общий риск оказывается размытой.

Инсайдерские риски вообще плохо укладываются в границы одной функции. Здесь пересекаются корпоративная безопасность, информационная безопасность, HR, IT и руководители подразделений. Если каждый видит только свой участок, часть признаков неизбежно теряется.

Защита от корпоративного шпионажа редко упирается только в покупку еще одного программного продукта. Гораздо важнее понять, кто отвечает за инсайдерский риск целиком - от найма человека до прекращения его доступа.

В такой работе обычно сходятся проверка сотрудников и подрядчиков, выдача прав, регулярный пересмотр доступов, контроль аномальной активности, расследование инцидентов и корректное закрытие доступов при увольнении. Отдельная ценность появляется тогда, когда цифровые и физические сигналы не живут в разных системах, а рассматриваются как части одного события.

Экономический эффект от такой работы уже пытаются измерять. По данным Ponemon Institute / DTEX, организации с действующей программой управления инсайдерскими рисками в среднем предотвращали около семи инцидентов в год, а расчетный объем предотвращенных потерь составлял около $8,2 млн.

Корпоративный шпионаж никуда не исчез. Просто сегодня он все реже похож на классический шпионаж. Информация уходит через обычные рабочие инструменты, доступ получает человек, который успешно прошел найм, а тревожные сигналы могут выглядеть как набор мелких отклонений, не связанных между собой.

Для службы безопасности здесь важна способность вовремя заметить изменение поведения и понять его контекст: зачем сотруднику понадобился этот массив информации, соответствует ли его доступ реальным задачам, почему изменился привычный способ работы с данными и кто должен сопоставить все эти признаки.

Чем ценнее для бизнеса технологии, клиентская информация, разработки и ноу-хау, тем важнее, чтобы защита от таких сценариев была не формальной обязанностью нескольких подразделений, а отдельным управляемым процессом.