Зачем взламывают сайты

Это самый дорогой миф в малом бизнесе. Атаки давно массовые: специальные программы автоматически проверяют тысячи сайтов и серверов на известные уязвимости, слабые пароли и открытые панели управления.

Атакующий не тратит время на поиск конкретной компании. Скрипт отрабатывает большой список адресов, и если хотя бы на одном сайте есть дыра — этого уже достаточно. Расходы на запуск такой проверки минимальны, поэтому «маленький» бизнес входит в общий список наравне с остальными.

• Платёжные данные и учётные записи: краденые карты, доступы к почте, CRM, облачным сервисам
• Базы клиентов: даже «просто email и телефон» продаются для фишинга и телефонных мошенников
• Вычислительные ресурсы: заражённый сервер используют для майнинга или как часть сети для новых атак
• Выкуп за расшифровку данных: программа-вымогатель не разбирается, большой у вас бизнес или небольшой
• SEO и спам: ваш домен становится площадкой для рекламы мошенников или рассылок

Для крупных компаний публичные инциденты измеряются сотнями миллионов записей и многомиллионными расходами на восстановление (Equifax, Yahoo).

Для малого и среднего бизнеса цифры ниже, но всё равно критичны. В случае взлома сайта, шифрования сервера или утечки базы клиентов потери складываются из нескольких составляющих: недели простоя, сорванные сделки, ручное восстановление, штрафные санкции по договорам, потеря доверия. Итоговая сумма составляет миллионы рублей — особенно если останавливается основной канал продаж или уничтожены данные без рабочих резервных копий.

По данным отраслевых исследований (Verizon DBIR, IBM Cost of a Data Breach), значительная доля инцидентов приходится на организации без выделенной ИБ-команды — именно потому, что базовые меры защиты часто не внедрены.

В России работа с персональными данными регулируется Федеральным законом № 152-ФЗ «О персональных данных». Оператор обязан принимать организационные и технические меры для защиты данных от неправомерного доступа, уничтожения, изменения и блокирования.

За нарушения в сфере персональных данных предусмотрена административная ответственность по КоАП РФ (в том числе за нарушения при обработке и недостаточную защиту данных). Уголовная ответственность по статьям 272–274 УК РФ наступает для лиц, которые неправомерно получают доступ к компьютерной информации или нарушают правила работы с информационными системами — это касается нарушителей, а не добросовестного бизнеса.

Практический вывод: сервер, на котором хранятся данные клиентов, нужно защищать. Регулярное сканирование, обновления, контроль доступа и резервные копии — разумная профилактика, которая помогает выполнить требования к защите данных и снижает риск инцидента.

Безопасность — не «расход на ИТ», а защита от сценария, при котором бизнес неожиданно теряет клиентов и данные.

Хорошая новость: большинство массовых атак останавливается базовыми мерами — обновлениями, надёжными паролями, резервными копиями и регулярным сканированием уязвимостей.