Бытует мнение, что пиар включится и спасет "после пожара", но опыт крупнейших игроков показывает: антикризисная стратегия работает только если она построена до первого дыма. Иначе приходится тушить уже выгоревший офис. Чему могут научить громкие PR-провалы компаний из сферы информационной безопасности и какие уроки по работе с репутацией можно из них извлечь, объясняет Розалия Каневская, CEO PR-агентства Montana.

Когда молчание опаснее хакеров

Кибербезопасность — это сфера, где доверие клиентов стоит дороже лицензий, дата-центров и даже талантливых инженеров. Один сбой в коммуникациях способен перечеркнуть годы разработок и миллиардные инвестиции. Чем выше ставки, тем меньше компания может позволить себе молчать, путаться в показаниях или скрывать неудобные факты.

В этой статье я собрала пять громких историй, где провалы PR усугубили технические инциденты. Это не просто хроника чужих ошибок, а практические уроки, которые стоит учитывать каждому СЕО, CMO, пресс-секретарю, руководителю отдела коммуникаций или директору по информационной безопасности.

5 разрушительных PR-провалов в сфере кибербезопасности

Кейс №1. FireEye и кризис доверия к сторожу

В 2020 году одна из самых авторитетных компаний в сфере кибербезопасности — FireEye — сама оказалась жертвой хакеров¹ . Украдены были не клиентские данные, а собственные Red Team-инструменты компании — те самые, которыми она тестировала защищенность чужих систем. Для отрасли это прозвучало как анекдот: "Сторожа самого ограбили".

PR-эффект оказался разрушительным. Клиенты и СМИ начали задаваться вопросом: если FireEye не способна защитить даже себя, то насколько безопасны ее продукты? И хотя компания поступила честно — признала факт взлома, поделилась сотнями "антидотов" и помогла расследованию, — реакция всё равно выглядела скромнее скандала.

Урок: кризис — это шанс. FireEye могла отреагировать соразмерно масштабу катастрофы: организовать открытые брифинги, выпустить материалы "для руководителей без технарских дипломов", показать, что даже в случае атаки у нее хватает экспертизы и хладнокровия, чтобы справиться с тяжелым ударом. В этом случае можно выйти из кризиса сильнее и авторитетнее, чем был до него.

Кейс №2. Kaspersky Lab и политический шторм

В 2017 году "Лаборатория Касперского" оказалась в центре геополитического конфликта. В США компанию заподозрили в связях с российскими спецслужбами, и федеральным учреждениям запретили² использовать ее продукты. С юридической точки зрения это выглядело как ограничение рынка, но с точки зрения имиджа — как клеймо "небезопасности".

Компания предприняла серьезные шаги: запустила Глобальную инициативу прозрачности, разрешила аудит исходного кода, позже перенесла часть инфраструктуры в Швейцарию. Но беда в том, что эти меры были запоздалыми. До скандала у бренда не было широкой медийной кампании (то есть Kaspersky Lab на новом рынке, по сути, никто не знал), так что история приклеилась к ранее неизвестному бренду надолго.

Урок: формируй имидж наперед. Если компания работает на глобальном рынке, ее репутация как прозрачного и независимого игрока должна выстраиваться задолго до возможных политических атак. Иначе в кризисный момент опасный ярлык закрепится намертво и может не дать второго шанса выйти на этот рынок.

Кейс №3. Avast и подвох бесплатности

Чешская компания Avast долгие годы позиционировала себя как "щит" от слежки в интернете. Но в 2020-м вскрылось: дочерняя структура Jumpshot продавала данные о поведении пользователей — от поисковых запросов до истории сайтов. Федеральная торговая комиссия США выписала штраф³ на $16,5 млн, а клиенты почувствовали себя обманутыми: оказалось, что приватность — это тоже товар.

Avast быстро ликвидировала Jumpshot и принесла извинения, но главный вопрос остался: как компания в сфере кибербезопасности в принципе допустила конфликт интересов между защитой и монетизацией? В глазах аудитории на кону оказался сам смысл существования Avast.

Урок: прозрачность превыше всего. Многие технически подкованные люди помнят поговорку: "если ты не платишь за сервис, то товар — это ты", но знают это далеко не все. Нет ничего зазорного в монетизации, но расскажите о ней пользователю прямо. В сфере информационной безопасности любая "серая зона" в бизнес-модели рано или поздно обернется катастрофой.

Кейс №4. Symantec и доверие к "замочку"

TLS-сертификаты — тихий фундамент цифровой экономики. Пользователь видит замочек в браузере и чувствует себя в безопасности. Symantec, компания, которая десятилетиями выдавала сайтам такие сертификаты, была синонимом надежности. Так продолжалось вплоть до 2018 года, когда Google и Mozilla усомнились⁴ в корректности практик Symantec, и миллионы сайтов внезапно оказались "ненадежными".

Для Symantec это стало не просто скандалом, а кризисом идентичности: доверие было встроено в ее ДНК, а именно оно и оказалось под вопросом. Вместо активного диалога компания решила взять паузу. Позже TLS-бизнес был продан DigiCert, но репутационные потери были необратимы.

Урок: молчание страшнее скандала. Желание при кризисе прятать голову в песок интуитивно понятно, особенно для непубличных технологических компаний, но долгосрочно неправильно. Когда надежность — твой продукт, молчание убивает быстрее критики. Лучше первыми признать проблему и представить план действий, чем позволить конкурентам и СМИ сделать это за вас. Это классика кризисного реагирования.

Кейс №5. LastPass и всеобщая паника

LastPass, менеджер паролей с многомиллионной аудиторией, в 2022 году столкнулся⁵ с серией взломов. Самое страшное — не сами факты утечек, а то, как компания их освещала. Информация выходила порциями, клиенты не понимали: менять ли пароли срочно или можно подождать? Сумбурные посты в корпоративном блоге только усиливали неопределенность.

Компания оправдывалась тем, что пароли остаются зашифрованными, но реальное доверие клиентов было утрачено. Особенно когда СМИ связали эти утечки с кражами криптовалют на сумму более $150 млн.

Урок: прозрачная коммуникация спасает от паники. Если пользователи доверяют тебе "ключи от квартиры", то любая неясность моментально превращается в хаос. В случае кризиса нужны четкие инструкции, единый портал с обновлениями, горячие линии и открытые Q&A с участием независимых экспертов. Лучше переборщить с прозрачностью, чем позволить клиентам самим догадываться о рисках.

Что бы я рекомендовала делать ИБ-компаниям, чтобы подготовиться к возможным PR-кризисам:

1. Создать кризисный план заранее. Настоящий антикризисный PR не пишется за ночь. Нужны карты возможных рисков, шаблоны релизов, список спикеров, контакт-лист СМИ и план "первых 72 часов".
2. Вложиться в прозрачность. Четкие политики конфиденциальности, открытые объяснения архитектуры продукта и понятные сценарии "что делать при Х" — это не опция, а must have.
3. Наладить отношения с медиа. Журналисты не станут вашими адвокатами в час икс, если вы никогда не работали с ними раньше. Союзники появляются только там, где выстроен диалог.
4. Перевести с "технарского" на человеческий. Объяснить клиенту, что такое "компрометация TLS", куда труднее, чем рассказать про скидку. Но именно это отличает сильный PR.
5. Привлечь дружественных внешних экспертов из профессионального сообщества. Когда в вашу пользу говорит внешний аудитор или отраслевой лидер мнений, уровень доверия выше. Это особенно важно в кризис.
6. Учить топ-менеджеров быть спикером компании. В кризис внимание приковано к CEO и CISO. Они должны уметь говорить ясно, честно и без паники — для этого существуют медиатренинги для первых лиц.
7. Отстроить собственные каналы общения с пользователями. У вас должна быть своя трибуна — блог, страницы в социальных сетях и на сайтах крупных региональных сообществ, блок с новостями на корпоративном сайте, e-mail-рассылка, канал в Telegram. Чем больше таких каналов и чем эффективнее они работают, тем легче будет держать пользователей в курсе событий и не играть со СМИ в глухой телефон.

Самая дорогая уязвимость — это репутация

Каждый новый инцидент в сфере информационной безопасности показывает: взломать можно что угодно — технологии, инфраструктуру, даже государственные системы. Но есть одна вещь, которую напрямую взломать нельзя, — это доверие. Именно доверие — главный актив ИБ-компаний, и именно оно первым разрушается, когда кризис застает врасплох.

Проблема в том, что доверие нельзя хранить "в облаке", защитить дополнительным слоем шифрования или "запатчить" одной пресс-релизной строкой. Оно либо есть — либо исчезает в момент первой неуклюжей коммуникации. Можно годами строить имидж надежной компании и потерять его за сутки, если вовремя не выйти к клиентам и партнерам с внятной позицией. А восстанавливать репутацию будет куда сложнее, чем инфраструктуру после атаки.

Хорошая новость: репутацию можно укреплять превентивно. Для этого нужно быть открытым, уметь объяснять даже сложные процессы простыми словами и не бояться признавать ошибки. PR в кибербезопасности — это не "пожарная команда", а страховка роста. Грамотно выстроенные коммуникации превращают инцидент из угрозы в возможность показать зрелость, профессионализм и способность держать удар. И если после прочтения этой статьи вы хотя бы на минуту задумались, как именно защищена репутация вашей компании, значит, я свою задачу выполнила.

---

¹https://www.cisa.gov/news-events/alerts/2020/12/08/theft-fireeye-red-team-tools

²https://www.nytimes.com/2017/09/13/us/politics/kaspersky-lab-antivirus-federal-government.html

³https://www.reuters.com/technology/us-ftc-proposes-order-banning-avast-selling-browsing-data-ads-2024-02-22/

⁴https://blog.mozilla.org/security/2018/03/12/distrust-symantec-tls-certificates/

⁵https://www.wired.com/story/lastpass-breach-vaults-password-managers/