Как воруют ваших клиентов с сайта: кража лидов, идентификация посетителей и защита заявок
Вы платите за рекламу и приводите человека на свой сайт. Он изучает услугу, но не оставляет заявку. А спустя время ему звонит конкурент. Как такое возможно, откуда берутся контакты посетителей сайта и можно ли защитить лиды, за которые уже заплатил ваш бизнес?
Получите консультацию / коммерческое предложение
оператор АМУРА сейчас в сети
Как воруют ваших клиентов с сайта
Компания запускает рекламу, занимается SEO, развивает сайт и платит за каждый новый переход потенциального клиента.
Человек приходит из Яндекса, открывает страницу услуги, изучает предложение, смотрит цены и уходит, не оставив заявку.
Через несколько минут или часов ему звонит совершенно другая компания:
— Вы интересовались строительством дома?
— Планируете покупать автомобиль?
— Вам нужна стоматология?
— Рассматриваете продвижение сайта?
Откуда у них номер телефона, если посетитель нигде его не вводил?
Однозначного ответа без технического расследования быть не может. Но сам сценарий давно перестал быть фантастикой. На рынке существуют сервисы, которые открыто предлагают бизнесу определение телефонов посетителей сайта, не оставивших заявку. Некоторые поставщики прямо описывают установку своего кода на сайт и последующее получение телефонных номеров части посетителей.
Это не означает, что каждый такой сервис работает одинаково, что каждый определённый номер действительно принадлежит посетителю или что данные обязательно получены незаконно.
Но для владельца коммерческого сайта возникает совершенно новый класс рисков.
Сегодня защищать нужно не только отправленную заявку. Защищать приходится самого посетителя ещё до того, как он стал лидом.
Что на самом деле можно украсть с сайта
Когда говорят о краже клиентов, обычно представляют простую схему.
Пользователь заполнил форму:
- Имя
- Телефон
Злоумышленник перехватил данные и передал их конкуренту.
Такие утечки действительно возможны, но это только один вариант.
Гораздо ценнее для маркетинга другой набор данных:
человек + его контакт + текущий коммерческий интерес.
Сам по себе телефонный номер ещё мало о чём говорит.
Но телефон человека, который несколько минут назад изучал страницу «Строительство дома под ключ», имеет совершенно другую ценность.
То же самое относится к недвижимости, автомобилям, медицине, юридическим услугам, ремонту, кредитованию, промышленному оборудованию, разработке сайтов и другим сферам с высокой стоимостью клиента.
Получается практически готовый лид:
контакт → потребность → время возникновения интереса.
И чем меньше времени прошло между посещением сайта и звонком продавца, тем выше коммерческая ценность такой информации.
У нас уже есть рабочее решение по защите лидов на сайте.
Индивидуальный подход к настройке защиты каждого сайта.
Может ли сайт узнать телефон человека, если он его не вводил?
Сам браузер не отдаёт произвольному сайту номер SIM-карты пользователя просто потому, что человек открыл страницу.
Это важный момент.
На обычном HTTPS-сайте нет волшебной команды JavaScript:
«покажи номер телефона владельца смартфона».
Поэтому заявления сервисов в духе «мы определяем номера всех посетителей сайта» нужно воспринимать критически.
В реальных системах задача решается иначе.
Сначала посетителю сопоставляется некоторый цифровой идентификатор или набор признаков. Это могут быть cookie, сетевые характеристики, данные браузера, ранее созданные идентификаторы, история взаимодействия с другими сервисами и другие сигналы.
Затем полученная информация может сопоставляться с другими массивами данных.
Именно этап сопоставления превращает условного «посетителя №781245» в потенциально известного человека.
На рынке существуют компании, которые прямо продают такую услугу как «идентификацию посетителей сайта» или «определение контактов посетителей». При этом точные внутренние алгоритмы и источники данных обычно являются закрытой частью продукта, поэтому заявления конкретного поставщика о происхождении и точности контактов необходимо проверять отдельно.
Откуда вообще берётся возможность сопоставлять людей
Современный пользователь оставляет огромное количество цифровых следов.
Он посещает сайты, использует приложения, взаимодействует с рекламой, авторизуется в сервисах, совершает покупки, подключается к интернету через определённого оператора, использует одни и те же устройства и неоднократно пересекается с различными рекламными экосистемами.
Не обязательно, чтобы одна компания изначально знала всё.
Одна система может знать браузер.
Другая — рекламный профиль.
Третья — историю взаимодействия.
Четвёртая — номер телефона, который человек когда-то добровольно сообщил.
Главная ценность больших массивов данных появляется именно при их сопоставлении.
Поэтому вопрос сегодня звучит уже не так:
«Можно ли прочитать номер телефона прямо из браузера?»
Правильнее спрашивать:
«Можно ли связать конкретное посещение сайта с ранее известным цифровым профилем человека?»
И вот на этот вопрос ответ уже не столь однозначный.
У нас уже есть рабочее решение по защите лидов на сайте.
Индивидуальный подход к настройке защиты каждого сайта.
При чём здесь операторы связи
Операторы связи действительно обладают значительно большим объёмом информации об абоненте, чем обычный владелец сайта.
Российский закон «О связи» прямо относит к сведениям об абонентах не только имя и номер телефона, но и данные, позволяющие идентифицировать абонента или его оборудование, а также сведения систем расчётов о соединениях, трафике и платежах. При этом такие сведения являются информацией ограниченного доступа и должны защищаться.
Кроме того, российское законодательство гарантирует тайну сообщений, передаваемых по сетям связи.
Поэтому говорить:
«мобильный оператор увидел посетителя нашего сайта и продал конкуренту его телефон»
без доказательств нельзя.
Это серьёзное обвинение, и технический анализ одного сайта сам по себе его не подтверждает.
Но существует другой важный факт.
Операторы связи совершенно официально развивают собственные продукты на основе Big Data.
Например, МТС Маркетолог предлагает рекламодателям работу с десятками миллионов абонентов и сотнями сегментов аудитории по интересам.
В рекламных продуктах билайн прямо описывается возможность сформировать аудиторию людей, которые могли посещать сайты определённой тематики, в том числе за определённый период или в реальном времени. Также предлагается показывать рекламу пользователям, которые «прямо сейчас» ищут соответствующие услуги.
Это очень важное различие.
Сегментация аудитории и показ рекламы не равны продаже номера телефона.
Но существование таких технологий наглядно показывает, насколько далеко сегодня продвинулась возможность определять коммерческие интересы пользователя по его цифровой активности.
Видит ли оператор, что человек отправил в форме сайта?
Если сайт использует нормально настроенный HTTPS, содержимое соединения между браузером и сервером шифруется.
TLS как раз предназначен для защиты интернет-соединения от прослушивания, подмены и изменения передаваемых данных.
То есть не следует представлять ситуацию следующим образом:
человек написал в форме:
Телефон: +7 999 123-45-67
а интернет-провайдер просто прочитал эту строку из проходящего трафика.
При корректном HTTPS содержимое формы передаётся в зашифрованном виде.
Однако из этого часто делают неправильный вывод:
«У меня HTTPS, значит никакой утечки данных через сайт быть не может».
Нет.
HTTPS защищает канал передачи между определёнными участниками.
Он не контролирует, кому сам браузер пользователя по указанию страницы отправляет дополнительные запросы.
Это принципиальная разница.
Самая недооценённая проблема — сторонние соединения страницы
Откройте современный коммерческий сайт и загрузите одну страницу.
Визуально пользователь видит один домен.
Но браузер может одновременно взаимодействовать с множеством других серверов.
Это могут быть системы статистики, рекламные платформы, карты, видео, шрифты, формы, системы коммуникации, CDN, службы аналитики поведения и другие внешние сервисы.
Google в собственных рекомендациях по веб-конфиденциальности отдельно обращает внимание на то, что подключённый к странице сторонний клиентский код может собирать информацию непосредственно из браузера пользователя, без посредничества сервера владельца сайта.
Вот почему для анализа кражи лидов недостаточно проверить только базу данных сайта.
Нужно понимать:
куда браузер посетителя обращается во время посещения страницы.
Как сторонний код может получить больше, чем ожидает владелец сайта
Сам факт внешнего запроса ещё не означает утечку.
Например, сайт вполне закономерно обращается к серверу аналитики, чтобы зарегистрировать просмотр страницы.
Проблема начинается тогда, когда владелец сайта не знает:
какая информация передаётся
кто является получателем
зачем она передаётся
как долго хранится
может ли соединяться с другими наборами данных
что происходит после обновления внешнего кода
Особенность клиентского JavaScript заключается в том, что подключаемому скрипту могут быть доступны данные самой страницы и действия пользователя в пределах предоставленных браузером возможностей.
Поэтому сторонний сервис внутри сайта находится значительно ближе к посетителю, чем кажется владельцу бизнеса.
Особенно опасны данные в адресе страницы
Существует и гораздо более банальная утечка.
Некоторые сайты после заполнения формы или перехода между страницами помещают значения прямо в URL.
Например:
?phone=79991234567
или:
?email=client@example.ru
Так делать крайне нежелательно.
Адрес страницы может попасть в историю браузера, системы статистики, серверные журналы и другие цепочки обработки.
Кроме того, браузеры используют HTTP-заголовок Referer, который сообщает следующему ресурсу информацию о странице, с которой был сделан переход или запрос. Количество передаваемой информации регулируется политикой Referrer-Policy.
Поэтому одна из базовых проверок коммерческого сайта — убедиться, что телефон, email и другие персональные данные никогда не оказываются в URL без крайней необходимости.
Может ли внешний сервис узнать о посетителе вообще без доступа к форме?
Да.
И для этого ему совершенно не обязательно знать содержимое заявки.
Представим, что человек пришёл на страницу:
/ustanovka-vintovyh-svay/
Уже один факт посещения этой страницы является коммерческим сигналом.
Если внешняя система способна связать посетителя со своим идентификатором, она потенциально получает комбинацию:
идентификатор пользователя → интерес к винтовым сваям → время посещения.
Далее всё зависит от того, какие ещё данные имеются у этой системы или её партнёров.
Именно поэтому для кражи потенциального лида иногда вообще не требуется перехватывать форму.
Человек ещё ничего не отправил. Сам факт его появления на определённой странице уже представляет ценность.
Почему это особенно опасно для Яндекс Директ и другой платной рекламы
Рассмотрим экономику.
Компания запустила рекламную кампанию.
Один переход стоит 800 ₽.
100 человек перешли на сайт.
Компания заплатила 80 000 ₽.
Пять человек оставили заявку.
Остальные 95 ничего не отправили.
С точки зрения стандартной аналитики они входят в огромный массив посетителей, которые не конвертировались.
Но коммерчески это не бесполезная аудитория.
Каждый из этих людей уже:
искал определённую услугу
увидел рекламное объявление
сознательно нажал на него
загрузил сайт компании
начал изучать предложение
То есть рекламодатель уже оплатил самый сложный этап — поиск человека с актуальной потребностью.
Если третья сторона каким-либо способом сможет идентифицировать часть этих посетителей, возникает крайне неприятная модель:
рекламный бюджет потратили вы, а дополнительную возможность продажи получил кто-то другой.
Именно поэтому защита лидов сайта напрямую связана с эффективностью рекламы.
Почему конкурент иногда звонит быстрее вашей компании
Есть ещё один неприятный сценарий.
Пользователь пришёл на сайт и решил подумать.
Он ещё не оставил заявку.
Компания о нём ничего не знает.
Но если его цифровой сигнал оказался обработан системой идентификации быстрее, чем пользователь самостоятельно связался с владельцем сайта, другой продавец может начать коммуникацию первым.
Тогда в CRM первоначальной компании не будет никакой утечки.
Там вообще нет этого человека.
Нет заявки.
Нет номера.
Нет записи в базе.
Именно поэтому поиск только среди «украденных заявок» может ничего не показать.
Потенциального клиента могли идентифицировать до появления заявки.
Кража заявки и кража посетителя — не одно и то же
Для диагностики эти понятия нужно обязательно разделять.
Кража заявки означает, что человек уже передал данные вашей компании, после чего они попали постороннему лицу.
Причину нужно искать в цепочке обработки заявки.
Идентификация посетителя означает, что пользователь ничего вам не передавал, но третья сторона каким-либо способом смогла связать его посещение с существующим профилем или контактом.
Причина может находиться совершенно в другом месте.
Таргетинг по Big Data означает, что человека относят к определённому рекламному сегменту и показывают ему рекламу. Это само по себе ещё не означает передачу рекламодателю личности или номера телефона пользователя. Официальные рекламные продукты российских операторов как раз демонстрируют такую сегментацию аудитории.
Внешне для человека все три ситуации могут выглядеть очень похоже.
Он посмотрел услугу.
Потом ему начали что-то предлагать.
Но технический механизм может быть совершенно разным.
Как понять, что лиды действительно могут уходить с сайта
Один звонок конкурента ничего не доказывает.
Пользователь мог до вашего сайта посетить десять других компаний, агрегатор, маркетплейс или оставить заявку совершенно в другом месте.
Нужна системная проверка.
Вот практический алгоритм, который уже имеет смысл применять к коммерческому сайту:
- Провести инвентаризацию внешних соединений. Нужно определить все домены, с которыми браузер связывается при загрузке основных коммерческих страниц.
- Отдельно проверить поведение до отправки формы. В тестовом режиме в поля вводятся специально созданные контрольные данные, но форма не отправляется. Затем проверяется, не ушли ли эти значения во внешнем запросе.
- Проверить момент отправки формы. Нужно установить полный маршрут данных после нажатия кнопки: какой сервер получает телефон, каким системам он передаётся дальше и какие внешние запросы происходят одновременно.
- Проверить URL и Referer. Персональные данные не должны путешествовать между страницами внутри адресов. Для ограничения передачи информации о странице используется в том числе Referrer-Policy.
- Сравнить разные источники трафика. Поведение страницы желательно проверить при прямом заходе, переходе из поиска и рекламной кампании. Некоторые механизмы активируются только при наличии определённых параметров или источника перехода.
- Проверить сайт после обновлений. Внешний код способен меняться без изменения самой страницы, поэтому однократный аудит не гарантирует, что через полгода набор соединений останется прежним.
- Ограничить ненужные внешние соединения. Один из технических инструментов для этого — Content Security Policy. CSP позволяет сайту сообщить браузеру, какие источники контента и соединений разрешены, а какие должны блокироваться.
Для первичной диагностики список сетевых запросов можно увидеть непосредственно средствами разработчика современного браузера. Но интерпретировать его нужно осторожно: неизвестный домен не обязательно является вредоносным, а известный сервис не обязательно безопасен для конкретной схемы обработки данных.
Хорошая защита не должна ломать аналитику
Здесь появляется ещё одна крайность.
Обнаружив десятки внешних запросов, можно просто запретить всё.
Сайт действительно перестанет передавать много информации.
Одновременно могут перестать работать:
- аналитика
- цели
- рекламная атрибуция
- карты
- видео
- формы
- часть интерфейса
- ретаргетинг
- другие необходимые бизнесу функции
Поэтому профессиональная защита лидов — это не «заблокировать интернет вокруг сайта».
Задача другая:
определить, какие соединения действительно необходимы бизнесу, какие данные им нужны и ограничить всё остальное.
Content Security Policy также предназначена именно для управляемого ограничения возможностей загружаемого страницей кода.
Почему блокировщик рекламы проблему полностью не решает
Некоторые пользователи действительно блокируют известные рекламные и tracking-домены.
Браузеры также постепенно усиливают защиту от стороннего отслеживания. Например, современные механизмы защиты ограничивают работу известных трекеров и third-party cookies.
Но владельцу бизнеса нельзя рассчитывать на настройки браузера клиента.
Во-первых, у разных пользователей они различаются.
Во-вторых, современные системы идентификации не обязаны использовать только классические сторонние cookies.
В-третьих, задача владельца сайта — не надеяться, что посетитель самостоятельно заблокирует нежелательное соединение, а понимать, что делает сам сайт.
Отдельный вопрос — персональные данные и закон
Когда идентификатор действительно связывается с конкретным человеком, номером телефона или другой информацией, позволяющей определить его личность, появляется уже не только технический, но и правовой вопрос.
Федеральный закон №152-ФЗ устанавливает обязанность не раскрывать и не распространять персональные данные третьим лицам без согласия субъекта, если иное не предусмотрено законом.
Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. С 1 сентября 2025 года закон также требует оформлять такое согласие отдельно от иных документов и информации, подтверждаемых или подписываемых человеком.
Если полученный контакт используется для рекламного звонка, возникает ещё один вопрос. Закон «О рекламе» требует предварительного согласия абонента на получение рекламы по сетям электросвязи, а обязанность доказать наличие согласия лежит на рекламораспространителе.
Поэтому схема:
«человек посетил сайт → мы каким-то образом получили его телефон → сразу позвонили с рекламой»
требует оценки не только маркетолога, но и специалиста по персональным данным и рекламному законодательству.
Можно ли доказать, что конкретного клиента украли?
Иногда да.
Но гораздо чаще получить стопроцентное доказательство сложно.
Для нормального расследования нужно зафиксировать:
- точное время посещения
- источник перехода
- посещённые страницы
- сетевые запросы браузера
- момент ввода данных
- момент отправки формы
- получателей запросов
- логи сервера
- дальнейший маршрут заявки
- время звонка посторонней компании
- желательно номер и содержание звонка
Очень полезны контролируемые тесты.
Например, для проверки используются отдельный номер телефона и email, которые нигде ранее не публиковались и не использовались в рекламе.
После этого можно значительно точнее понимать, из какой цепочки появился нежелательный контакт.
Обычный личный номер владельца компании для подобного теста значительно хуже, потому что за годы работы он уже мог попасть в десятки различных баз.
Признак утечки — это не только звонок конкурента
Следить стоит и за косвенными изменениями.
Например, после подключения нового внешнего сервиса внезапно меняется структура сетевых обращений сайта.
Или появляется неизвестный внешний домен.
Или контрольные данные уходят до отправки формы.
Или один и тот же идентификатор начинает передаваться сразу нескольким внешним системам.
Или через несколько минут после тестового посещения на контрольный номер начинает поступать тематическая реклама или звонок.
Каждый такой факт по отдельности ещё требует проверки.
Но из нескольких связанных событий уже можно строить техническую гипотезу.
Почему эта проблема будет только становиться важнее
Стоимость качественного коммерческого трафика растёт, а борьба бизнеса идёт уже не просто за показы или переходы.
Главный актив — человек с подтверждённой потребностью.
Поэтому технологии всё активнее пытаются ответить на вопросы:
- кто этот пользователь
- чем он интересуется
- что он собирается купить
- когда у него возникла потребность
- как с ним связаться
Официальные продукты операторов связи уже используют Big Data для построения рекламных аудиторий по интересам и поведению. Одновременно отдельный рынок предлагает бизнесу непосредственно «контакты посетителей сайта». Это разные модели, но обе показывают коммерческую ценность цифрового следа человека.
Поэтому понятие безопасности коммерческого сайта постепенно меняется.
Раньше было достаточно спросить:
«Не украдут ли нашу базу клиентов?»
Сегодня необходимо задавать ещё один вопрос:
«Кто, кроме нас, способен узнать о появлении на сайте потенциального клиента?»
Что может сделать владелец сайта уже сейчас
Начать стоит не с покупки очередного «защитного сервиса», а с технической инвентаризации.
Нужно знать все внешние соединения сайта.
Понимать назначение каждого из них.
Проверять, какие данные уходят до и после отправки формы.
Не передавать персональные данные через URL.
Контролировать появление новых внешних адресов.
Ограничивать ненужные соединения.
Корректно использовать HTTPS и политики безопасности браузера.
Проверять рекламные страницы отдельно от обычных страниц сайта.
И периодически повторять аудит.
Это не гарантирует абсолютную анонимность пользователя во всём интернете.
Такой гарантии владелец сайта дать не может.
Но он способен значительно сократить поверхность утечки на своей стороне.
АМУРВЕБ развивает собственную защиту лидов
В АМУРВЕБ мы считаем, что защита коммерческого сайта уже не должна ограничиваться антивирусом, резервными копиями и защитой административной панели.
Необходимо защищать и самый дорогой ресурс бизнеса — поток потенциальных клиентов.
Поэтому АМУРВЕБ реализовало собственное решение для дополнительной защиты лидов и контроля нежелательной передачи данных посетителей сайта.
Первая рабочая версия решения создана для сайтов на WordPress.
Сейчас готова версия для 1С-Битрикс.
В дальнейшем планируется поддержка других популярных платформ и систем управления сайтами.
При этом сама проблема совершенно не зависит от CMS.
WordPress, 1С-Битрикс, Joomla, MODX или собственная система — потенциальный клиент имеет одинаковую коммерческую ценность.
Если вы заплатили за то, чтобы человек пришёл на ваш сайт, стоит как минимум убедиться, что вместе с вами о его визите не узнаёт тот, кому знать об этом совсем не обязательно.
Своевременная диагностика сайта и достойная защита помогут остановить слив лидов.
Похожие проекты, которые мы реализовали:
Записи в блоге
Вопрос — Ответ (FAQ)
Получить номер непосредственно из обычного браузера просто потому, что пользователь открыл сайт, нельзя. Однако на рынке существуют системы, заявляющие возможность идентификации части посетителей за счёт сопоставления цифровых идентификаторов с внешними массивами данных.
Могут ли украсть заявку с сайта?
Да, существует множество потенциальных точек утечки после того, как пользователь передал данные. Но отдельно необходимо учитывать идентификацию посетителя ещё до отправки формы.
Операторы располагают сетевыми данными и официально предлагают рекламные продукты, использующие Big Data и поведенческие сегменты аудитории. При этом содержимое корректно защищённого HTTPS-соединения шифруется, а сведения об абонентах и услугах связи защищены законодательством.
HTTPS защищает передаваемые между браузером и сервером данные от обычного прослушивания и подмены, но не запрещает самой странице отправлять предусмотренные её кодом запросы сторонним сервисам.
Нужно исследовать внешние сетевые соединения страниц, проверить передачу данных до и после отправки формы, маршруты обработки заявки, URL, политики безопасности и провести контролируемые тесты со специально созданными контактами.
Основой являются аудит внешних соединений, минимизация передаваемых данных, контроль сторонних сервисов, HTTPS, корректная Referrer-Policy, ограничение разрешённых источников через Content Security Policy и постоянный контроль изменений сайта.
Наши клиенты и партнеры
Запрос коммерческого предложения
Ассистент AMUR сейчас в сети
