Почта — главный канал деловой переписки и одновременно мишень для атак на бизнес. Спам съедает время сотрудников, а переход по фишинговой ссылке может спровоцировать утечку доступов и данных. А если уволенный коллега переписывался с личного ящика — он уносит с собой базу клиентов, наработки и внутренние документы.
Часть этих рисков закрывается дисциплиной самих сотрудников, часть — настройками на уровне всей компании. Разбираем угрозы и меры защиты: от пароля одного человека до выбора почтовой платформы.
Адреса лежат в открытом доступе. Почтовые ящики можно найти на сайте, в тендерной документации, на визитках и в подписях писем. Автоматические парсеры собирают эти адреса без участия человека — и пополняют базы для спам-рассылок и атак.
В почтовой переписке — критичные данные. Доступы к сервисам, договоры, счета, персональные данные клиентов. Для злоумышленника почтовый ящик — связка ключей от всей компании.
Человеческий фактор. Большинство взломов и утечек начинается не со взлома сервера, а с неосторожных действий сотрудника: когда он переходит по фишинговой ссылке, открывает зараженный файл из вложения или ставит слишком простой пароль.
Спам — трата времени сотрудников. По данным «Лаборатории Касперского», в 2025 году спам составил почти 45% всего мирового почтового трафика. Едва ли не каждое второе письмо — мусор, и люди тратят время, чтобы его разобрать и найти нужное.
Для личной переписки бесплатный почтовый ящик — отличный выбор: им удобно пользоваться, он всегда под рукой, ничего настраивать не нужно. Но для бизнес-задач его возможностей недостаточно, потому что переписка принадлежит не одному человеку, а компании.
Переписка уходит вместе с сотрудником. Коллега уволился — и письма, файлы, контакты клиентов ушли с ним. Заблокировать ящик, передать дела новому сотруднику или хотя бы посмотреть, что было в переписке, не получится: доступа у компании нет.
Источник утечки не найти. Если конфиденциальные данные утекли с личной почты, проследить их путь нельзя. Нет ни логирования действий пользователей, ни возможностей для управления сервисом. О проблеме узнают постфактум — и разобраться в ней уже не выйдет.
Каждый отвечает за безопасность сам.** Сотрудник сам решает, включать ли двухфакторную аутентификацию, какой поставить пароль, как реагировать на подозрительные письма. Единых правил нет: один настроит всё аккуратно, а у другого пароль — дата рождения. Защита данных держится буквально на «честном слове».
Нет защиты от фишинга. Личный ящик не распознает поддельный адрес директора или партнера в письме. Сотрудник может увидеть знакомое имя и сделать, что попросили: перевести деньги, отправить документы, ввести пароль на фишинговой странице.
Зарубежная корпоративная почта — например, Google Workspace или Microsoft 365 — другая история. Здесь с бизнес-настройками всё в порядке, но риски не менее весомые: внезапные блокировки со стороны вендора и нарушения закона.
Данные хранятся за пределами России. Серверы зарубежных сервисов расположены не в РФ. Для персональных данных россиян это нарушение требования о локализации — по 152-ФЗ такие данные должны храниться в России. Под персональные данные подпадает почти любая клиентская переписка: имена, телефоны, адреса.
Провайдер может внезапно ограничить доступ. Зарубежные поставщики уже ограничивали работу своих сервисов для российских компаний. Решение принимается на их стороне, повлиять на него нельзя, а предупреждают далеко не всегда. Почта компании в этом случае может стать недоступной в один день — вместе со всем архивом переписки.
Сервиса нет в реестре отечественного ПО. Для госкомпаний и организаций с госучастием это стоп-фактор: закупать и использовать ПО, которого нет в реестре Минцифры, такие организации по большей части не могут. Зарубежные сервисы в реестр не входят по определению.
💡 Миграция в спешке — самый дорогой сценарий. Плановый переход на корпоративную почту занимает несколько дней. Но если доступ к сервису внезапно отключили, переезжать приходится одновременно с разбором последствий: восстанавливать переписку, спасать незавершенные дела, искать, что уже потеряно. Это дольше, дороже и куда нервознее планового переноса.
Защита почты начинается с привычек, для которых не нужны технические знания. Пять действий ниже закрывают большую часть типичных угроз. Скопируйте эту памятку и отправьте коллегам, чтобы каждый мог закрыть свою часть рисков.
1. Поставить надежный корпоративный пароль. Пароль не должен совпадать с личным, в нем должно быть минимум 12 символов: заглавные и строчные буквы, цифры и спецсимволы. Без дат рождения, имен и слова «password». Держите пароли в менеджере паролей, а не в заметках на телефоне или на стикере под клавиатурой. Меняйте пароль каждые 6–12 месяцев.
2. Включить двухфакторную аутентификацию. Это второй шаг при входе: после пароля система просит код из приложения-аутентификатора или из SMS. Даже если пароль попал к мошенникам, без второго фактора они не войдут. Код из приложения надежнее: SIM-карту могут перевыпустить на чужое имя и перехватить SMS, а к приложению так не подобраться.
3. Не использовать корпоративную почту в личных целях. Если регистрировать рабочий адрес на сторонних сайтах, в магазинах и на форумах, он попадает в базы рассылок и начинает собирать спам. Корпоративная почта — только для деловой переписки.
4. Осторожно относиться к вложениям и ссылкам. Не открывайте вложения от незнакомых отправителей, особенно файлы .exe, .zip и офисные документы с макросами. Присматривайтесь к адресу отправителя: support@company.ru и support@cornpany.ru выглядят одинаково, но это разные адреса. Прежде чем нажать на ссылку, наведите на нее курсор и посмотрите, куда она ведет. Засомневались — уточните информацию у отправителя по другому каналу: позвоните или напишите в мессенджер.
5. Не настраивать автопересылку на личный ящик. Переслать рабочую почту на личный адрес «чтобы было под рукой» кажется удобным, но так переписка уходит из-под контроля компании. Нужен доступ с личного телефона или ноутбука — заходите через официальное приложение или веб-версию корпоративной почты, без пересылки.
Личная дисциплина закрывает бытовые риски, но основная часть защиты должна работать на уровне всей почтовой системы. В корпоративном сервисе за это отвечает администратор — и вот на что ему стоит обратить внимание.
Единая политика антиспама. Фильтрация настраивается один раз для всей организации, а не каждым сотрудником под себя. Правила одни для всех, и новый сотрудник защищен с первого дня.
Проверка репутации отправителей. Антиспам оценивает репутацию домена, с которого пришло письмо, и пропускает корреспонденцию от надежных отправителей, не отправляя ее в спам. Это работает автоматически, без ручной настройки под каждого партнера.
Блокировка ящика при увольнении. Доступ у бывшего сотрудника отзывается мгновенно, а переписка архивируется или передается другому сотруднику.
Восстановление удаленных писем. Если сотрудник случайно или намеренно стер важное письмо, администратор может его вернуть. В личной почте такой опции нет.
Запрет автопересылки на внешние адреса. Администратор может закрыть автоматическую пересылку на уровне домена — это снижает риск, что переписка утечет за пределы компании.
Мониторинг аномалий. Резкий всплеск исходящих писем с одного ящика часто означает, что его взломали. Современные системы мониторинга замечают такое автоматически и сообщают о подозрительной активности администратору или службе безопасности.
Защита исходящей почты от подделки. Записи SPF, DKIM и DMARC не дают мошенникам рассылать письма от имени компании. Без них любой может подделать адрес отправителя с вашим доменом.
Попробуйте Почту VK WorkSpace
Сервис закрывает риски бизнеса на уровне системы. Протестировать можно за 1 ₽ в течение 30 дней
В корпоративной почте защита настраивается централизованно: администратор задает правила на всю компанию — и они действуют для всех сотрудников. Можно не опасаться, что кто-то поставит слабый пароль или забудет включить второй фактор. Рассмотрим подробнее на примере Почты VK WorkSpace.
Почта VK WorkSpace — один из сервисов цифровой среды для работы команд
Защита от спама, фишинга и вирусов. Антиспам, антивирус и антифишинг проверяют входящие письма централизованно. Фильтры оценивают письмо целиком — содержание, ссылки, репутацию домена — и отсекают подозрительное до того, как оно дойдет до сотрудника.
Защита от подделки писем. Записи SPF, DKIM и DMARC не дают рассылать письма с вашего домена от чужого имени. Если мошенник попробует выдать письмо за отправленное с вашего адреса, почта получателя его отклонит.
Контроль доступа. Администратор может удаленно включить двухфакторную аутентификацию, а для входа в приложение — обязательный код-пароль. Если сотрудник уволился, его можно отключить от почтового ящика в один клик и завершить его рабочие сессии сразу на всех устройствах.
Гибкое управление. Действия пользователей и администраторов фиксируются в системе — это упрощает расследование инцидентов. А если коллега случайно или умышленно удалил письмо, его можно восстановить из панели администратора.
Раздел управления пользователями в Почте VK WorkSpace
Шифрование и защита от потерь. Данные идут по зашифрованному каналу TLS и дублируются между дата-центрами: если один из них выйдет из строя, почта продолжит работать.
Соответствие закону. Данные в облачной версии хранятся на серверах в России, сервис входит в реестр отечественного ПО и отвечает требованиям 152-ФЗ.
Интеграция с корпоративными службами ИБ. Если крупная компания разворачивает почтовую систему в контуре, VK WorkSpace позволяет подключить корпоративные системы защиты данных — например, DLP против утечек и SIEM для выявления аномалий.
Безопасность рабочей переписки зиждется на двух столпах: дисциплине сотрудников и защите, встроенной в корпоративную почту. Недостаточно только отправить коллегам памятку про пароли или поставить антиспам, если у бизнеса нет возможностей контроля данных, а персонал не соблюдает правила безопасности.
Корпоративная электронная почта позволяет компании управлять доступами и выстраивать политики информационной безопасности. К тому же российский сервис для бизнеса соответствует законодательству и помогает защитить чувствительные данные. Пример такого решения — Почта в составе платформы VK WorkSpace.
Помимо Почты в VK WorkSpace есть Календарь, Диск, Документы, Мессенджер, Видеоконференции, Доска и другие сервисы для совместной работы команд. Все они доступны в защищенном приложении и веб-версии на любых устройствах. Платформу можно подключить в облаке по подписке или развернуть в ИТ-инфраструктуре компании.
Проверьте адрес отправителя посимвольно — мошенники подменяют одну букву или символ. Наведите курсор на ссылку и посмотрите реальный URL до клика. Стоит насторожиться, если письмо давит срочностью, угрожает или требует немедленно перевести деньги либо ввести пароль — это почерк мошенников. При любом сомнении свяжитесь с отправителем по другому каналу.
Отключить устройство от сети, не вводить никакие пароли и сразу сообщить системному администратору. Администратору нужно сменить пароли учетной записи, проверить ящик на правила автопересылки и просканировать устройство. Чем быстрее реакция, тем меньше ущерб.
Чаще всего причина на стороне отправителя — слабая репутация домена или неполные DNS-записи (SPF, DKIM, DMARC). В первую очередь стоит проверить настройки именно у отправителя: корректные SPF, DKIM и DMARC заметно повышают доставляемость. Если письма всё равно фильтруются, отправителю стоит обратиться в поддержку своего почтового сервиса.
Заходить через официальное приложение или веб-версию корпоративного сервиса, а не через пересылку на личный ящик. Вход защищен двухфакторной аутентификацией, а у администратора сохраняется контроль над данными.
Это второй шаг при входе помимо пароля — одноразовый код из приложения или SMS. Даже если пароль попал к мошенникам, без второго фактора в ящик они не войдут. Для корпоративной почты это базовая мера защиты.
В корпоративной системе администратор отзывает доступ из панели управления за минуты и архивирует переписку. С личным ящиком это невозможно в принципе — поэтому возможность мгновенно закрыть доступ и есть один из главных аргументов в пользу корпоративной почты.
Запишитесь на демо — наши специалисты расскажут, как настроить сервис под процессы вашей команды
