Безпека телефонів у компанії

У більшості невеликих компаній безпекою займаються між іншим, десь поміж принтерами, поштою, бекапами й Wi-Fi у переговорній. Телефони працівників у цьому списку зазвичай стоять останніми, хоча саме на них сьогодні живуть робоча пошта, месенджери з клієнтами, підтвердження платежів і коди входу до хмарних сервісів.

Добра новина в тому, що більшу частину ризиків закривають прості налаштування й кілька домовленостей. Нижче шість кроків, з яких варто почати. Кожен займає від п’яти хвилин до одного короткого листа команді.

Що видно на заблокованому екрані

Заблокований телефон ще не означає захищений. Багато телефонів, особливо на Android, за замовчуванням показують вміст сповіщень на заблокованому екрані. Цього досить, щоб людина, яка на хвилину отримала телефон у руки, ввела номер власника на своєму пристрої й прочитала код підтвердження просто зі сповіщення. Далі від імені працівника колегам і клієнтам ідуть повідомлення з «терміновим рахунком». Так само на екрані з’являються коди від пошти, банку й хмарних сервісів.

Рішення: сховати вміст сповіщень, поки телефон заблокований. На iPhone це «Показ мініатюр» у налаштуваннях сповіщень, на Android пункт «Сповіщення на заблокованому екрані» (назви можуть відрізнятися). Якщо службові телефони підключені до системи керування пристроями, це вмикається для всіх одразу. Якщо ні, вистачить п’яти хвилин на загальній зустрічі.

Оновлення, які відкладають

Оновлення системи здебільшого закривають діри, про які зловмисники вже знають. В описах оновлень Apple і Google регулярно трапляється фраза, що вразливість «могла вже використовуватися в атаках». Поки людина тисне «Нагадати пізніше», ця вразливість відкрита на пристрої з робочою поштою.

Ще гірше з телефонами, які оновлень уже не отримують. На Android у налаштуваннях є дата оновлення системи безпеки: якщо їй більше пів року, телефон, найімовірніше, вже ніхто не захищає. Найпростіший крок: один лист із проханням до всіх, хто читає робочу пошту з телефона, надіслати цю дату. Відповіді покажуть, з яких пристроїв компанія насправді працює, і допоможуть вирішити, які з них пускати до корпоративних даних.

Застосунки з файлів .apk

Державні сервіси й банки ніколи не просять встановити застосунок файлом. А шахраї просять. Влітку 2026 року проєкт «Брама» знайшов сайт, який копіював вигляд «Дії» і BankID і пропонував завантажити файл .apk просто з браузера. Встановлений застосунок просив доступ до SMS, сповіщень, контактів і файлів, тобто до всього, що потрібно для читання банківських кодів. Якщо на такому телефоні працівник підтверджує платежі компанії, постраждає вже не лише він. Як працюють подібні банківські трояни, ми розбирали в матеріалі про троян Godfather.

Покладатися лише на пильність людей не варто, бо фейк буває дуже схожим на справжній. На Android можна заборонити браузеру й месенджерам встановлювати невідомі застосунки. На службових телефонах це робиться централізовано через систему керування пристроями, на особистих достатньо показати людям, де шукати цей перемикач.

Коли телефон вкрали

Типовий сценарій: телефон працівника вкрали в п’ятницю ввечері, а в компанії дізналися про це в понеділок. Людина заблокувала картки й звернулася до оператора, але про робочі акаунти ніхто не подумав. Усі вихідні в чужих руках був пристрій із відкритою робочою поштою й листуванням із клієнтами.

Тут важливіша не техніка, а одна записана домовленість: якщо зник телефон із робочими акаунтами, людина одразу повідомляє конкретну людину, навіть уночі й у вихідні, а та завершує сеанси й змінює паролі до робочих сервісів. Технічна частина теж має бути готова наперед: «Знайти iPhone» чи «Знайти пристрій» на Android треба ввімкнути, поки телефон у руках, інакше заблокувати чи стерти його віддалено не вийде. Цю домовленість варто включити в план реагування на інциденти.

Фото, яке видає адресу

Під час війни фото з офісу чи складу може розповісти ворогу більше, ніж здається. У 2023 році СБУ знайшла блогерів, які зняли роботу ППО під час атаки на Київ, їм загрожувало до восьми років ув’язнення. У жовтні 2026 року СБУ затримала киянина, який надіслав відео позицій ППО підсанкційному блогеру. Але ворогу не потрібні вибухи в кадрі: він складає картину з дрібниць, як-от вид з вікна, вивіска навпроти, геомітка в сторіз із корпоративу чи фото нового обладнання. Для компаній, що працюють з енергетикою, логістикою чи оборонними замовниками, це прямий ризик для об’єкта.

Частину ризику закриває вимкнений доступ до геолокації для камери на службових телефонах, адже фото, надіслане як файл, може містити координати місця зйомки. Решту закриває правило для корпоративних соцмереж: перш ніж фото з офісу чи складу публікують, хтось дивиться на фон. А наслідки ударів і роботу ППО не знімають узагалі, це карається законом.

Особисті телефони з робочою поштою

У багатьох компаніях службових телефонів немає зовсім або вони є не в усіх, і працівники працюють з власних. А особистий телефон живе іншим життям: ігри, застосунки, встановлені з реклами, інколи ним користуються інші люди. Один застосунок із доступом до сповіщень бачить і робочі листи, і коди підтвердження.

Заборонити особисті телефони зазвичай нереально, але робоче й особисте можна розділити. На Android для цього є робочий профіль: робочі застосунки живуть в окремому просторі, який можна стерти віддалено, не чіпаючи особистих фото й листування. На iPhone схоже розділення дає підключення до системи керування пристроями в режимі для особистих пристроїв. Правила для таких пристроїв варто записати в політику прийнятного використання, щоб працівники знали, що компанія контролює.

Короткий чекліст

  • Вміст сповіщень на заблокованому екрані прихований на всіх телефонах із робочими акаунтами.
  • Відомо, з яких телефонів читають робочу пошту, і жоден із них не відстає з оновленнями безпеки більше ніж на пів року.
  • На службових Android заборонено встановлення застосунків із невідомих джерел.
  • Кожен працівник знає, кому повідомити про зниклий телефон, а «Знайти пристрій» увімкнено заздалегідь.
  • Доступ камери до геолокації на службових телефонах вимкнено, а фото з офісу перевіряють перед публікацією.
  • Робоче й особисте на телефонах працівників розділено, а правила записано в політиці.

Коли потрібен погляд збоку

Телефони лише одна частина картини. Якщо хочете зрозуміти, де у вашій компанії найслабші місця загалом, почніть з оцінювання рівня кіберстійкості: команда DigVel перевірить процеси й налаштування та підкаже, з чого почати.

Джерела