Не каждое массовое действие — нарушение, и не каждое нарушение выглядит подозрительно. Этот материал — карта паттернов, которые заслуживают проверки, с честными оговорками о ложных срабатываниях.
Важно: все паттерны ниже — признаки риска, а не доказательства. Каждый требует проверки человеком, и у каждого есть законные объяснения.
1. Массовая замена или очистка контактов
Десятки замен телефонов и email за короткое окно. Законные причины: импорт, актуализация базы, работа интеграции. Рискованные признаки: ночное время, чужие карточки, новые значения с одним доменом. Подробный разбор — в статье о расследовании массовой замены.
2. Массовое удаление объектов
Серии удалений контактов, сделок, дел. Законные причины: плановая чистка дублей, удаление тестовых данных. Рискованные признаки: удаление истории взаимодействий перед увольнением, разнотипные удаления одним автором, отсутствие заявки на чистку.
3. Систематическая работа с чужими клиентами
Автор изменений регулярно не совпадает с ответственным, охват растет. Законные причины: бэк-офис, руководитель, подмена коллеги в отпуске. Рискованные признаки: широкий охват без рабочих оснований, сочетание с просмотрами и заменами. Разбор — в сценарии контроля чужой базы.
4. Аномальные просмотры карточек
Быстрый последовательный обход десятков уникальных карточек не похож на обычную работу с клиентами. Законные причины: подготовка отчета, поиск конкретного клиента. Рискованные признаки: обход чужой базы, просмотр перед изменением, ночное время. Оговорка: канал просмотров зависит от возможностей портала и не везде доступен.
5. Нетипичное время и всплески объема
Работа ночью и в выходные, резкий рост числа операций. Законные причины: дедлайны, сменный график, часовые пояса. Рискованные признаки: сочетание со всеми паттернами выше — время само по себе слабый сигнал, но сильный модификатор. Разбор — в сценарии нетипичной активности.
6. Манипуляции со сделками
Массовые проигрыши, снижение сумм, смена ответственных, разрыв связей с клиентами. Законные причины: реорганизация отдела, честная чистка воронки. Рискованные признаки: отсутствие причин закрытия, совпадение со скорым увольнением, вывод сделок «в тень».
7. Незарегистрированные массовые операции
Массовая активность от вебхука или технического пользователя, о которой никто не заявлял. Законные причины: забыли зарегистрировать плановый импорт. Рискованные признаки: ключ уволенного сотрудника, операция вне планового окна, неизвестный источник.
Как проверять, не превращаясь в службу тотальной слежки
- Проверяйте совокупности, а не отдельные события. Один ночной вход ничего не значит; ночной вход + обход чужой базы + замены — значит.
- Фиксируйте решения. Каждая проверка должна заканчиваться выводом: подтверждено / ложное срабатывание / нужны меры.
- Исключайте штатные операции заранее — реестр доверенных источников экономит часы разборов.
- Используйте нейтральные формулировки. «Обнаружены признаки, требуется проверка» — корректно и юридически, и по-человечески.
Ручной мониторинг всех семи паттернов нереалистичен даже для небольшого портала. Системы класса CRM-антифрод делают это автоматически: связанные события объединяются в объяснимые инциденты с факторами и хронологией. Посмотреть на своем портале — пилот Veriqon.