Чем грозят бизнесу ошибки на сайте и в базе данных

В августе Тинькофф Бизнес собрал информацию о сайтах более 40 тысяч компаний малого и среднего бизнеса. Около половины из них оказались под угрозой. У компаний нашли ошибки, которые мошенники чаще всего используют, чтобы украсть данные о клиентах или как-то еще навредить бизнесу.

Собрали самые частые ошибки в одну статью: разобрались, как мошенники могут навредить бизнесу через сайт и как проверить ресурсы компании на кибербезопасность.

Чем больше электронных сервисов использует компания, тем выше риск, что мошенники захотят его взломать. Каждая ошибка — это лазейка для киберпреступников к ее данным. Поэтому важно вовремя находить и исправлять ошибки, это значительно сокращает риск кибератаки.

Сайты интернет-магазинов взламывают чаще. Здесь может храниться информация о продажах и клиентах: номера телефонов, имена, адреса. Мошенники могут украсть ее по заказу конкурентов.

Бывает, что у компании есть ошибка, из-за которой сайт сохраняет данные дебетовых и кредитных карт покупателей. В этом случае мошенники могут украсть и их, чтобы затем использовать в финансовых махинациях.

Иногда компании интегрируют внутреннюю CRM-систему с сайтом. В этом случае, если есть критическая ошибка, мошенник может получить данные о клиентах, сделках, оборотах, сотрудниках — обо всем, что хранится в CRM-системе компании.

Есть три наиболее распространенные категории ошибок и рисков:

1. Шифрование и блокировка доступов к данным компании.
2. Кража данных о клиентах и продажах.
3. Кража домена — адреса сайта.

Часто цель такого шифрования — вымогание денег. Злоумышленник блокирует ресурсы компании и требует у владельца деньги, чтобы вернуть ему данные. Часто это сопровождается утечкой данных: преступники получают внутреннюю информацию о компании и могут выложить ее в открытый доступ. Например, информацию о сделках и партнерах.

Самая частая ошибка, которая помогает мошенникам получить доступ к данным и их зашифровать, — открытый служебный порт. По данным исследования, такая ошибка встречается на каждом десятом сайте.

Киберпреступник может получить все данные, которые вводит клиент на разных этапах работы с сайтом компании: заполнение формы заявки на лендинге, регистрация на сайте, оформление доставки.

Чтобы украсть данные, злоумышленнику достаточно обнаружить ошибки, сообщающие, что база данных открыта, и просто подобрать к ней пароль и логин. По сути, мошенник находит открытое окно и может украсть контакты клиентов за считаные минуты. Чтобы этого избежать, нужно узнать, какая именно ошибка открывает доступ к данным.

Если у сайта нет верификации, злоумышленник может заявить, что именно он является его владельцем, и получить на него права. А компания или предприниматель больше не смогут использовать этот адрес.

Чтобы избежать кражи домена, нужно написать письмо регистратору, где вы купили адрес сайта. В письме сообщите, что права на адрес сайта принадлежат вам.

Утечка или шифрование данных страшны для бизнеса потерей репутации и прибыли. К примеру, для интернет-магазина кибератака грозит сбоем в поставках и отменой заказов. Клиенты не могут покупать товары, поэтому каждый день, что сайт не работает, бизнес теряет деньги.

Партнеры компании или предприниматели, чьи электронные ресурсы атаковали мошенники, могут отказаться от сотрудничества или привлечь компанию к ответственности, если данные будут затрагивать их бизнес.

• для ИП — от 20 000 до 40 000 ₽;
• для руководителя ООО — от 8000 до 20 000 ₽;
• для организации — от 50 000 до 100 000 ₽.

Однако бывает, что в открытый доступ попадают данные клиентов, в которых есть упоминание компании. Например, таблица с телефонами и именами клиентов конкретного ООО. В этом случае компания может получить штраф, потому что понять, кто допустил утечку данных, просто.

Заметить заранее, что злоумышленник проник к данным компании, практически невозможно. Сотрудники могут работать с базой клиентов и не знать, что параллельно преступники воруют их информацию. Чаще всего компания или предприниматель узнают о кибератаке уже по факту — после публикации об утечке данных в СМИ или если преступник сам об этом сообщит.

Кибератака дорого обходится бизнесу, хотя в большинстве случаев ее можно было предотвратить: проверить сайт и сервисы компании на ошибки.

Как правило, следить за ошибками и не допускать их — это задача системного администратора компании. Самые распространенные ошибки, которые приводят к рискам, устранить нетрудно. Главное — понять, с чем именно они связаны. Сделать это можно при диагностике инфраструктуры сайта.