К нам обратилась компания по подбору персонала: около 20 сотрудников — рекрутеры и ассистенты — работают в CRM. Два портала Битрикс24, около 70 тыс. контактов кандидатов с телефонами и собственный сервер с приложением стороннего интегратора, которое ищет и объединяет дубли кандидатов.
Руководитель подозревал две вещи: клиентская база «утекает», а кто-то из сотрудников подменяет телефоны клиентов, чтобы уводить их мимо компании. Нужно было понять, где и как база могла уйти, и подтвердить или опровергнуть подмену номеров.
Ниже — что и в каком порядке мы проверили, что нашли и как проверить свой портал. Компания, порталы и сотрудники не называются, числа округлены.
Условия: только просмотр
Работали в режиме только просмотра: ни одной записи в CRM и на сервере не изменили. Это важно, когда идёт проверка сотрудников: любая правка в системе ставит под сомнение выводы.
Каждую находку подкрепляли доказательствами: снимки экрана с контрольными суммами SHA-256 и таблицы данных без персональных данных. По ним выводы можно перепроверить и через полгода.
Что проверили в Битрикс24
- Права ролей CRM: кто какие контакты, компании и сделки видит, меняет и может выгрузить.
- История CRM: выгрузки, просмотры, удаления, изменения полей.
- Журнал событий за полгода: входы, создание вебхуков, установка приложений.
- Интеграции и приложения: чьи ключи действуют и к каким данным у них доступ.
- Встроенные ИИ-функции: кому они открыты и что видят.
- CRM-формы и каналы заявок.
Что проверили на сервере приложения
Сервер с приложением интегратора — отдельная зона риска: он работает с данными CRM, но его действия не попадают в журналы Битрикс24. Проверили код приложения, его журналы, хранимые ключи доступа к CRM и то, у кого есть доступ к самому серверу.
Находка 1: рядовые сотрудники видели всю базу
Сделки сотрудник видел только свои, а контакты — все. С такими правами любой рекрутер технически мог выгрузить всю базу кандидатов: создать вебхук, а вебхук получает права своего создателя, и забрать контакты через API.
Следов таких выгрузок рядовыми сотрудниками мы не нашли. Но сам канал был открыт, и закрывается он настройкой прав, а не доверием.
Находка 2: копия базы в открытых журналах сервера
Приложение интегратора несколько месяцев писало в журналы полные карточки клиентов и ключи доступа к CRM. Так на сервере накопилась копия рабочей части базы — более 20 тыс. контактов, вне Битрикс24 и его журналов.
Чтение этих файлов нигде не фиксируется. Если база ушла этим путём, по журналам CRM этого не увидеть.
Прочие риски
- Остатки доступов и ключей стороннего разработчика, которые продолжали действовать.
- Внешний сервис автообзвона получал события CRM, а с ними и данные клиентов.
- Встроенные ИИ-функции были открыты всем сотрудникам.
Подменяли ли сотрудники телефоны
Перебрали Историю CRM по каждому из более чем 40 сотрудников, включая уволенных, за год. Каждую замену и каждое удаление номера разобрали по существу.
- Около 50 замен и удалений номеров.
- Больше 30 из них технические: тот же номер в другом формате, опечатка, исправление неверного номера.
- Несколько контактов переданы на ручную проверку руководителю; исходные номера по ним восстанавливаются из Истории CRM.
Затем сверили результат с независимым источником. Журналы сервера приложения содержали карточки контактов на момент работы с ними — по сути, снимки исходных данных по более чем 20 тыс. контактов. Мы сравнили их с текущей базой. Сами номера при этом не раскрывались: сравнивались зашифрованные отпечатки (солёные хэши).
Вывод: массовой подмены номеров нет. Это подтвердили оба источника — История CRM и снимки с сервера.
Ловушка платформы: телефон меняется через сделку
Сотрудник без права менять контакты всё равно может поправить телефон клиента через блок «Клиент» в карточке сделки: быстрое редактирование там включено по умолчанию. Руководитель уверен, что контакты защищены, а номер меняется в обход прав.
Закрывается одной настройкой поля. Если вы ограничивали права на контакты, проверьте и это место.
Что получил клиент
- Ответ на вопрос о подмене номеров — с доказательствами из двух источников.
- Карту рисков: около 10 угроз по уровням критичности и 16 рекомендаций с исполнителями — руководитель, администратор портала, владелец сервера.
- Каналы, через которые база могла уйти, и способы их закрыть.
И честную границу: по данным систем точную причину утечки нельзя ни подтвердить, ни опровергнуть на 100 %. В отчёте указано, каких данных для этого не хватает и где их взять.
Как проверить свой портал
- Права ролей CRM: могут ли рядовые сотрудники видеть все контакты, а не только свои.
- Вебхуки и приложения: кто их создал, живы ли ключи уволенных сотрудников и бывших подрядчиков.
- Внешние сервисы, которые получают события CRM: телефония, автообзвон, аналитика.
- Серверы самописных интеграций: что пишется в их журналы и кто имеет к ним доступ.
- Быстрое редактирование полей контакта в карточке сделки.
- Кому открыты встроенные ИИ-функции.
Если что-то из списка вызывает сомнения, расскажите о ситуации: проверим в режиме только просмотра и покажем, кто реально может смотреть, выгружать и менять клиентские данные.
Вопросы, которые задают в такой ситуации
Как понять, что из Битрикс24 утекает клиентская база?
Начните с прав ролей CRM: если рядовые сотрудники видят все контакты, любой из них может выгрузить базу через вебхук с API. Затем проверьте журнал событий (создание вебхуков, установка приложений), Историю CRM по выгрузкам и всех внешних получателей данных — интеграции, телефонию, серверы самописных приложений. Утечка часто идёт мимо самого Битрикс24.
Можно ли доказать, что сотрудник подменил телефон клиента?
Да, если есть История CRM: в ней видно, кто, когда и на что поменял номер. Мы разбираем каждую замену по существу — большинство оказываются техническими: формат, опечатка, исправление. Для надёжности сверяем со вторым независимым источником, например снимками данных из журналов интеграций.
Может ли сотрудник без права менять контакты поменять телефон?
Может: через блок «Клиент» в карточке сделки, где быстрое редактирование включено по умолчанию. Это закрывается настройкой поля.
Нужен ли для аудита доступ на изменение данных?
Нет. Мы работаем в режиме только просмотра и ничего в CRM и на серверах не меняем. Так выводы нельзя оспорить тем, что данные трогал проверяющий.
Сколько длится аудит?
В этом кейсе — 1 рабочий день на два портала и сервер приложения. Срок зависит от числа порталов, интеграций и глубины истории изменений.
Можно ли точно установить, кто вынес базу?
Не всегда. Если данные лежали вне Битрикс24, например в журналах стороннего сервера, их чтение может нигде не фиксироваться. Тогда аудит показывает каналы, через которые база могла уйти, закрывает их и честно указывает, каких данных не хватает для окончательного вывода.
Кейс обезличен: компания, порталы, сервер, сотрудники и подрядчики не называются, числа округлены.