Как автосервисы и дилерские центры могут защититься от кибермошенников

Киберугрозы в автомобильном бизнесе: откуда берутся проблемы

В области автопродаж и обслуживания транспортных средств обработка персональных данных клиентов является одним из ключевых аспектов ведения бизнеса. 

Эти данные могут включать в себя широкий спектр информации: от личных сведений (ФИО, паспортные данные) и списка оказанных услуг до финансовых реквизитов и информации о компании, если клиент представляет юридическое лицо. При этом небольшие компании зачастую используют для хранения данных Excel, а средний и крупный бизнес — системы управления взаимоотношениями с клиентами (CRM). При слабой защите этих систем получить доступ к ним для мошенников не составит труда. 

Потеря бизнеса и уголовная ответственность: риски утечки персональных данных клиента

Если клиентская база случайно попадет к конкурентам, это станет серьезным ударом для бизнеса. Однако утечка информации, произошедшая по вине автосервиса или дилерского центра, может привести к уголовной ответственности. Согласно отчету InfoWatch, в 2024 году количество утекших личных данных выросло на 31,7% по сравнению с предыдущим годом.

В ответ на эту проблему президент Владимир Путин подписал изменения к Федеральному закону № 152-ФЗ, которые усиливают требования к защите персональных данных. В частности, значительно увеличены штрафы за нарушение правил хранения и обработки такой информации.

Популярные схемы мошенников в автобизнесе

Кибермошенники могут применять различные уловки, чтобы ввести свою жертву в заблуждение, поэтому сложно предугадать, какой именно способ они выберут в следующий раз. Тем не менее можно выделить несколько типичных сценариев.

Вариант №1. Редкая деталь или автомобиль мечты

Если данные клиентов попадут в руки мошенников, то, зная историю обслуживания конкретной машины, они легко обманут автовладельцев — например, могут позвонить им якобы от имени сервиса и напомнить о необходимости замены какой-либо детали.

Доверчивость клиента в этот момент возрастает, что делает его легкой добычей для дальнейших уловок. Мошенники могут убедить автовладельца приобрести нужную запчасть как можно скорее, утверждая, что ее количество на исходе и следующая поставка ожидается не скоро.

Обычно запрошенная сумма не вызывает подозрений у клиента, и он соглашается. В итоге владелец машины приезжает в сервис для установки запчасти, но обнаруживает, что ее нет в наличии и никто даже не пытался ее заказать.

В дилерских центрах часто пользуются спросом услуги по подбору автомобиля, где клиенты детально описывают желаемые характеристики будущей покупки. Мошенники могут воспользоваться этой информацией, сообщив о том, что нашли машину мечты — и чтобы «не упустить такой шанс», конечно, потребуется предоплата. В этом случае ущерб может оказаться значительно выше.

Вариант №2. Внезапная поломка во время ремонта

Кибермошенники могут получить доступ к системе автосервиса и узнать, какие автомобили в данный момент находятся на ремонте. Эта информация может быть использована для обмана клиентов.

Злоумышленники звонят владельцам этих машин и говорят, что во время ТО нашли серьезную проблему. Они уверяют, что эксплуатация авто может представлять угрозу для жизни, а нужная деталь якобы очень редкая и есть только в одном месте города или даже привезена нелегально. Чтобы убедить владельца автомобиля заплатить за эту «деталь», мошенники настаивают на том, что оплата должна быть переведена сразу на счет. Владелец, желающий как можно скорее получить обратно свой транспорт, соглашается и переводит деньги. Но когда он приходит за машиной, оказывается, что никакой поломки нет, а «мастер», с которым он общался, в этом сервисе не работает.

Кроме того, имея данные паспорта, банковских карт и других документов, преступники могут использовать их для различных махинаций. Они могут прикинуться сотрудниками «Почты России» или банка, чтобы запугать человека и заставить его совершить какое-то действие в их пользу. В таком случае автосервисы становятся лишь местом, откуда были похищены персональные данные клиентов.

Как защитить персональные данные клиентов автосервисов и дилерских центров

Защита персональных данных клиентов — это ключевой аспект, который должен быть в центре внимания любого бизнеса. Создание мощной системы информационной безопасности требует времени и определенных финансовых вложений. Однако необходимо не только установить надежные системы защиты, но и регулярно обновлять их, продлевать лицензии и предоставлять техническую поддержку. Разберем, как автоцентры могут защититься от мошенников.

Аудит информационных систем компании

Если руководитель автосервиса или дилерского центра решил взять курс на кибербезопасность, то в первую очередь ему стоит провести аудит информационной системы.

Аудит может быть проведен как собственным IT-специалистом, если у него достаточно опыта и знаний в вопросах кибербезопасности, так и с помощью сторонних организаций — например, SDS Fusion. Специалисты по информационной безопасности предоставят вам полную картину используемых компьютеров, серверов, информационных систем и их назначения, а также помогут выявить наличие или отсутствие необходимых средств защиты информации. По результатам аудита сотрудники разработают план мероприятий, направленных на улучшение информационной безопасности в организации.

Антивирусная защита данных компании

Для безопасности компьютера мало иметь встроенную антивирусную программу, которая прилагается к операционной системе, такой как Windows. Большинство операционных систем имеют иностранное происхождение, поэтому гарантировать абсолютную безопасность информации становится все сложнее (по крайней мере, на сегодняшний день). Чтобы повысить уровень защиты, рекомендуется применение дополнительных программных продуктов российского производства. К таким решениям относятся антивирусные программы от «Лаборатории Касперского», Dr.Web и Pro32.

Необходимо подчеркнуть, что поддержание актуальности защитного функционала возможно только при своевременном обновлении лицензий на использование данных программ. Это обеспечивает доступ к свежим базам данных и повышает эффективность противодействия вирусным угрозам.

Защита сетевого периметра компании

Сетевой периметр — это граница компьютерной сети организации, через которую осуществляется взаимодействие с внешним миром, будь то интернет или другие локальные сети. Для его защиты применяются разнообразные технические меры безопасности, в том числе специализированное оборудование — например, маршрутизаторы и файрволы (межсетевые экраны), которые отслеживают потоки данных и предотвращают проникновение вирусов и других угроз извне.

Сложные пароли для доступа к информационным структурам компании

Пароли — это своеобразные ключи к безопасности личной информации и устройств. Чтобы обеспечить максимальную защиту, рекомендуется использовать сложные комбинации, состоящие из 12 и более символов. Пароли должны включать буквы разного регистра, цифры и специальные символы. Важно, чтобы они не содержали осмысленных слов, таких как фамилия или год рождения, поскольку различные программы, используемые мошенниками, легко вычислят такой пароль.

Запомнить многочисленные логины и пароли довольно сложно, поэтому рекомендуется использовать специальные менеджеры паролей. Например, российское решение «Пассворк» позволяет безопасно хранить данные, защищая их от несанкционированного доступа.

Многофакторная аутентификация

Многофакторная аутентификация представляет собой усиленную систему безопасности при входе в личные аккаунты пользователей, требующую от них предоставить не только обычные логин и пароль, но и дополнительные данные для подтверждения своей личности. 

В качестве дополнительных методов проверки могут использоваться:

• получение кода через SMS или звонок на мобильный телефон;
• применение специализированных приложений, которые генерируют временные пароли;
• использование USB-токенов с последующим вводом пин-кода;
• пластиковые карты для доступа в помещения и офисные здания.

Эти методы обеспечивают более высокий уровень защиты аккаунтов пользователей, делая взлом гораздо сложнее. По нашему опыту, хорошо себя зарекомендовали вендоры Indeed и «Аладдин» — они являются признанными разработчиками таких решений.

Система контроля при работе с удаленными подрядчиками

В современных условиях оптимизации бизнес-процессов автоцентры часто взаимодействуют со сторонними компаниями для настройки IT-инфраструктуры. Приглашать специалиста в офис не всегда удобно. Многие работы по обновлению систем или установке программ можно провести удаленно — достаточно лишь предоставить сторонней организации доступ к информационным ресурсам. Однако такие удаленные айтишники могут оказаться мошенниками. 

Обеспечить безопасность и контроль за действиями сторонних исполнителей поможет внедрение специализированных систем мониторинга, которые позволяют отслеживать все операции в реальном времени. Важно также строго ограничивать доступ к ресурсам, предоставляя права только на те действия, которые необходимы для выполнения конкретной задачи.

Обучение сотрудников правилам кибербезопасности 

В наше время, когда угроза кибератак становится все более серьезной, крайне важно повышать уровень компьютерной грамотности сотрудников. Необходимо донести до них, что не следует открывать электронные письма и переходить по подозрительным ссылкам, даже если они от банков или «Госуслуг». Можно даже тренировать работников с помощью решения Phishman, а после получения результата проводить обучение киберграмотности. 

Еще один шаг, который позволит защитить конфиденциальную информацию, — контроль за пересылкой документов с рабочих устройств сотрудников на их личные гаджеты. Для обеспечения такого контроля компании используют специализированные системы DLP (Data Loss Prevention Systems). Эти системы способны выявлять подозрительные операции, связанные с передачей информации, а также идентифицировать документы, содержащие конфиденциальные данные.

При обнаружении потенциально опасных действий или попыток пересылки корпоративных материалов DLP-системы автоматически блокируют такие операции и оповещают службу безопасности компании. После этого сотрудники анализируют ситуацию и принимают решение о том, разрешить ли передачу данных или же запретить.

Создание отдела информационной безопасности

Очевидно, что не каждый автосервис и крупный дилерский центр могут позволить себе содержать штат специалистов по информационной безопасности. В таком случае стоит рассмотреть возможность привлечения внешнего специалиста на аутсорсинг. Это решение позволяет соблюдать требования законодательства по защите данных и предотвращать кибератаки без необходимости нести значительные расходы на создание собственной службы безопасности.