5 ошибок в кибербезопасности, из-за которых стартапы теряют деньги

Когда основателей стартапов спрашивают, что их беспокоит больше всего, чаще всего речь идет о финансировании, подборе сотрудников или соответствии продукта рынку. Однако исследования в области кибербезопасности показывают, что безопасность электронной почты, которой многие стартапы не уделяют должного внимания, остается одним из самых серьезных рисков.

Как сообщает Valyuta.az, согласно отчету IBM Cost of a Data Breach Report 2025, 16% всех утечек данных происходят в результате фишинговых атак, а средний финансовый ущерб от таких инцидентов достигает 4,8 млн долларов США.

В свою очередь, отчет Verizon Data Breach Investigations Report (DBIR) показывает, что около 60% всех кибератак связаны с человеческим фактором — фишингом, кражей учетных данных или методами социальной инженерии.

Крупные компании способны покрыть многомиллионные убытки, однако для стартапа на ранней стадии взлом одного почтового аккаунта может привести к утечке данных клиентов, перенаправлению платежей инвесторов на мошеннические счета и даже к прекращению деятельности компании.

Согласно отчету Internet Crime Report Федерального бюро расследований США (FBI), только в результате схем Business Email Compromise (BEC) — компрометации или подделки корпоративной электронной почты — в 2024 году в США было зарегистрировано 21 442 жалобы, а общий ущерб составил 2,77 млрд долларов.

По словам специалистов, большинство кибератак происходит не из-за отсутствия сложных технологий, а из-за несоблюдения базовых правил информационной безопасности.

1. Откладывать защиту электронной почты

Во многих стартапах корпоративная почта создается в спешке, а стандартные настройки безопасности остаются без изменений.

При этом именно электронная почта является ключом практически ко всем цифровым сервисам компании. Через нее восстанавливаются пароли к CRM-системам, облачным сервисам, банковским счетам и другим платформам.

Поэтому эксперты рекомендуют с первого дня использовать двухфакторную аутентификацию (2FA), менеджеры паролей и корпоративные почтовые сервисы со встроенными механизмами защиты.

2. Считать, что сотрудники сами распознают фишинг

Если раньше фишинговые письма можно было определить по ошибкам и непрофессиональному оформлению, то искусственный интеллект кардинально изменил ситуацию.

Согласно исследованию IBM, генеративный ИИ сократил время создания убедительного фишингового письма с 16 часов до примерно 5 минут.

Кроме того, компания Keepnet, специализирующаяся на обучении кибербезопасности, выяснила, что новые сотрудники на 44% чаще становятся жертвами фишинга, а 71% из них переходят по вредоносным ссылкам в течение первых 90 дней работы.

Именно поэтому обучение сотрудников вопросам кибербезопасности должно проводиться не только при приеме на работу, но и на постоянной основе.

3. Недооценивать риски при денежных переводах

Атаки BEC не требуют использования вредоносного программного обеспечения. Мошенники могут отправить сотруднику письмо якобы от имени генерального директора с просьбой срочно перевести деньги.

По данным Verizon, медианный ущерб от одной такой атаки составляет 50 тыс. долларов, что для многих стартапов эквивалентно бюджету на несколько месяцев работы.

Эксперты рекомендуют подтверждать любые изменения банковских реквизитов, а также все переводы выше установленной суммы через второй независимый канал связи, например по заранее известному номеру телефона.

4. Не настраивать SPF, DKIM и DMARC

SPF, DKIM и DMARC — это стандарты аутентификации электронной почты, подтверждающие, что письмо действительно отправлено с домена компании.

При отсутствии этих настроек злоумышленники могут отправлять поддельные письма от имени компании, вводя в заблуждение клиентов, инвесторов и партнеров.

По словам экспертов, настройка этих механизмов занимает всего несколько часов, однако их отсутствие может нанести серьезный ущерб репутации бизнеса.

5. Не учитывать юридические последствия недостаточной защиты электронной почты

Например, в Европейском союзе в соответствии с требованиями GDPR компании обязаны уведомить об утечке персональных данных в течение 72 часов.

За нарушение этих требований предусмотрены штрафы до 20 млн евро или до 4% мирового годового оборота компании.

Кроме того, директива NIS2 распространяет требования по кибербезопасности на большее число компаний и их цепочки поставок.

Поэтому инвесторы и корпоративные клиенты еще до начала сотрудничества все чаще проверяют, как защищена корпоративная электронная почта, каким образом шифруются данные и кто имеет к ним доступ.