guides
Что происходит с данными ваших клиентов, когда взламывают вашего обменного бота
Взломанный обменный бот в Telegram может слить документы KYC, адреса кошельков и переписку за считаные минуты. Рассказываем, как реально защитить данные клиентов до того, как это случится.
Пользователь отправляет вашему обменному боту фото паспорта для KYC. Три недели спустя это изображение, адрес его кошелька и полная история переписки оказываются в продаже на одном из Telegram-каналов с утечками данных. А вы даже не знали, что бот это хранил.
И это не гипотетическая ситуация. Обменные и платёжные боты обрабатывают одни из самых чувствительных данных в Telegram — документы, суммы транзакций, адреса кошельков, номера телефонов — и большинство из них создавались быстро, небольшими командами, а безопасность прикручивалась уже потом. Если вы запускаете или разрабатываете такого бота, политика обработки данных — это не формальность для галочки. Это разница между обычным вторником и письмом с уведомлением об утечке.
Что считается безопасной обработкой данных клиентов для обменного бота в Telegram?
Как минимум, безопасная обработка данных подразумевает три вещи: шифрование при передаче и хранении (AES-256 или аналог), отсутствие постоянного хранения исходного содержимого сообщений после обработки и мгновенное, безвозвратное удаление данных при отключении клиента или по его запросу. Если у вашего бота отсутствует хотя бы один из этих трёх пунктов, у вас не политика безопасности, а просто надежда, что всё обойдётся.
Большинство обменных ботов проваливаются именно на втором пункте. Они логируют всё «на всякий случай» — полную историю переписки, изображения KYC, адреса кошельков — и всё это бессрочно лежит в базе данных без срока хранения. Именно эти данные первыми найдут при утечке или по судебному запросу.
Почему обменные боты становятся целью атак чаще, чем обычные боты продаж?
Потому что выигрыш для атакующих больше. Утечка списка лидов для продаж — это неприятно. А утечка базы обменного бота с документами KYC, адресами кошельков и историей транзакций — это готовый набор для кражи личности, фишинга и захвата аккаунтов. Злоумышленники это знают, поэтому обменные и платёжные боты сталкиваются с заметно большим числом попыток credential stuffing и атак методом социальной инженерии, чем типичный бот для аутрича.
Есть и юридический аспект. Если вы обрабатываете что-либо похожее на персональные данные — сканы паспортов, номера телефонов, финансовые записи — вы, скорее всего, подпадаете под требования законодательства о защите данных в той или иной юрисдикции, будь то GDPR в ЕС или местные аналоги в других странах. «Мы об этом не подумали» — не работает как юридическая защита.
Что на самом деле должно быть прописано в политике хранения данных?
Сначала пропишите это на бумаге, а затем настройте бота так, чтобы он соответствовал написанному — а не наоборот. Политика хранения данных, которая существует только в документе, пока ваша база данных хранит всё вечно, хуже, чем полное отсутствие политики, потому что создаёт ложное ощущение соответствия требованиям.
Явно определите сроки хранения. Не храните изображения KYC или расшифровки переписки дольше минимально необходимого срока для сделки или юридического обязательства — затем удаляйте автоматически.
Шифруйте всё и всегда. TLS при передаче, AES-256 при хранении, без исключений для «внутренних» баз данных или тестовых сред.
Убирайте исходные данные из логов и аналитики. Ваши дашборды мониторинга никогда не должны содержать реальный адрес кошелька или реальное имя — используйте вместо этого хешированные или анонимизированные идентификаторы.
Дайте клиентам настоящую кнопку удаления. Если пользователь просит удалить его данные, этот запрос должен запускать мгновенное, безвозвратное удаление — а не тикет, который две недели лежит в очереди.
Предлагайте региональный хостинг там, где это важно. Клиентам в ЕС или тем, кто работает с клиентами из ЕС, часто нужны гарантии того, что данные остаются на инфраструктуре ЕС.
Разделяйте рабочие пространства по клиентам или командам. Если вы ведёте обменные операции для нескольких клиентов или брендов, полностью изолируйте их данные — одна утечка не должна затрагивать всех сразу.
Как CRMChat обрабатывает это, если вы ведёте через платформу аутрич или поддержку, связанные с обменом?
CRMChat не хранит сообщения Telegram или переписку с клиентами на постоянной основе — всё, что проходит через платформу, шифруется при передаче с помощью TLS и при хранении с помощью AES-256, а исходные данные клиентов никогда не используются в аналитике или логах. Если клиент хочет отключить своё рабочее пространство или удалить инстанс, это действие происходит мгновенно и безвозвратно, без остаточных копий, забытых где-то в резервных копиях.
CRMChat также поддерживает хостинг на территории ЕС по запросу, что важно, если вы ведёте обменные операции для клиентов из ЕС, которым нужны гарантии резидентности данных для соответствия требованиям. Если вы управляете несколькими клиентскими аккаунтами — например, вы агентство, ведущее поддержку или аутрич в Telegram для нескольких обменных брендов — CRMChat позволяет полностью изолировать рабочие пространства клиентов с раздельным контролем доступа, чтобы данные одного клиента никогда не смешивались с данными другого. Полный разбор того, что CRMChat покрывает и не покрывает в вопросах безопасности, смотрите в статье функции и ограничения безопасности CRMChat.
Какие признаки говорят о том, что текущая настройка вашего бота — это угроза безопасности?
Большинство команд не осознают, что их обменный бот представляет угрозу безопасности, пока что-то не идёт не так. Проверьте это до того, как случится беда:
Вы не можете одним предложением ответить, где хранятся эти данные. Если для ответа нужно проверить три разных сервиса, у вас разрозненный хаос, а не политика.
У вашей команды общие логины и пароли. Отсутствие индивидуальной ответственности означает отсутствие реального контроля доступа.
Вы никогда не проверяли процесс удаления данных. Если вы не удаляли тестовый аккаунт и не убеждались, что данные действительно исчезли, вы не знаете, работает ли это.
Изображения KYC хранятся в незашифрованном виде в файловом хранилище. Шифрование при хранении не опционально для документов, удостоверяющих личность.
Вы ведёте клиентские кампании или поддержку с личных аккаунтов Telegram. У личных аккаунтов нет журнала аудита, нет возможности отозвать доступ и нет разделения между клиентами — компрометация одного устройства раскрывает всё. Именно по этой причине агентства переходят на изолированные, управляемые рабочие пространства — смотрите, как бан одного клиента может уничтожить всю клиентскую базу агентства в Telegram, если аккаунты не разделены должным образом.
Если два или более из этих пунктов верны для вашей настройки, относитесь к этому как к срочному вопросу — а не «в следующем квартале».
Создаёт ли сбор данных в стиле OSINT юридические риски для вашего обменного бота?
Может, если вы не следите за границей между публичными и персональными данными. Просмотр открытой информации в большинстве стран не запрещён, но сбор и обработка персональных данных без согласия — даже через Telegram-бота — обычно регулируется законами вроде аналогов GDPR или российского Федерального закона №152 о персональных данных. Если ваш обменный бот подтягивает данные пользователей из сторонних источников для обогащения профилей, убедитесь, что эти данные были получены легитимно и что у вас есть законное основание их хранить. В случае сомнений относитесь к любым персонально идентифицируемым данным — адресам кошельков, привязанным к реальным именам, номерам телефонов, сканам документов — как к регулируемым, а не как к свободно доступному набору данных.
Для команд, выстраивающих более широкие процессы аутрича или лидогенерации вокруг Telegram — не только обменных ботов — применяется та же дисциплина в обработке данных. Посмотрите, как API CRMChat решает это на уровне интеграции, если вы подключаете собственные системы, и изучите Help Center для получения инструкций по настройке изоляции рабочих пространств и контроля доступа.
