Чем грозят бизнесу ошибки на сайте и в базе данных

Т-Банк Бизнес собрал информацию о сайтах более 40 тысяч компаний малого и среднего бизнеса. Около половины из них оказались под угрозой. У компаний нашли ошибки, которые мошенники чаще всего используют, чтобы украсть данные о клиентах или как-то еще навредить бизнесу.

Собрали самые частые ошибки в одну статью: разобрались, как мошенники могут навредить бизнесу через сайт и как проверить ресурсы компании на кибербезопасность.

Чем больше электронных сервисов использует компания, тем выше риск, что мошенники захотят его взломать. Каждая ошибка — это лазейка для киберпреступников к ее данным. Поэтому важно вовремя находить и исправлять ошибки, это значительно сокращает риск кибератаки.

Сайты интернет-магазинов взламывают чаще. Здесь может храниться информация о продажах и клиентах: номера телефонов, имена, адреса. Мошенники могут украсть ее по заказу конкурентов.

Бывает, что у компании есть ошибка, из-за которой сайт сохраняет данные дебетовых и кредитных карт покупателей. В этом случае мошенники могут украсть и их, чтобы затем использовать в финансовых махинациях.

Злоумышленники используют разные способы кибератак, чтобы остановить работу сайта компании, украсть корпоративные данные и другую конфиденциальную информацию. Ниже рассказываем о наиболее распространенных угрозах:

Фишинг. Цель фишинга — получить доступ к конфиденциальным данным пользователей: логинам, паролям, банковским счетам. Мошенники выдают себя за сотрудников компаний и рассылают пользователям письма с просьбой обновить личные данные на сайте. Причиной обновления обычно называют сбой в системе — которого на самом деле нет. Если человек перейдет по вредоносной ссылке из письма и введет свои данные, мошенники завладеют ими и смогут украсть деньги со счета или поменять пароль от личного кабинета.

Бывают случаи, когда злоумышленники имитируют сайты организаций, например интернет-магазинов. Покупатели могут не заметить подмены, сделать покупку на фишинговом сайте и потерять деньги. Такой способ обманом заставить человека раскрыть информацию и дать доступ к данным называют социальной инженерией.

Вредоносное ПО. К нему относятся вирусы, трояны, сетевые черви. Вредоносное ПО может попасть в систему разными способами. Например, трояны маскируются под лицензионные программы и проверенные файлы, а вирусы могут попасть на компьютер или телефон через сообщения с вредоносными вложениями.

Если сотрудник откроет письмо и запустит файл, это приведет к заражению устройства. Дальше стандартная схема: злоумышленники получают доступ к корпоративной сети, запускают кибератаку и получают доступ к конфиденциальной информации.

Есть три наиболее распространенные категории ошибок и рисков:

Часто цель такого шифрования — вымогание денег. Злоумышленник блокирует ресурсы компании и требует у владельца деньги, чтобы вернуть ему данные. Часто это сопровождается утечкой данных: преступники получают внутреннюю информацию о компании и могут выложить ее в открытый доступ. Например, информацию о сделках и партнерах.

Самая частая ошибка, которая помогает мошенникам получить доступ к данным и их зашифровать, — открытый служебный порт. По данным исследования, такая ошибка встречается на каждом десятом сайте.

Киберпреступник может получить все данные, которые вводит клиент на разных этапах работы с сайтом компании: заполнение формы заявки на лендинге, регистрация на сайте, оформление доставки.

Чтобы украсть данные, злоумышленнику достаточно обнаружить ошибки, сообщающие, что база данных открыта, и просто подобрать к ней пароль и логин. По сути, мошенник находит открытое окно и может украсть контакты клиентов за считаные минуты. Чтобы этого избежать, нужно узнать, какая именно ошибка открывает доступ к данным.

Если у сайта нет верификации, злоумышленник может заявить, что именно он является его владельцем, и получить на него права. А компания или предприниматель больше не смогут использовать этот адрес.

Чтобы избежать кражи домена, нужно написать письмо регистратору, где вы купили адрес сайта. В письме сообщите, что права на адрес сайта принадлежат вам.

Утечка или шифрование данных страшны для бизнеса потерей репутации и прибыли. К примеру, для интернет-магазина кибератака грозит сбоем в поставках и отменой заказов. Клиенты не могут покупать товары, поэтому каждый день, что сайт не работает, бизнес теряет деньги.

Партнеры компании или предприниматели, чьи электронные ресурсы атаковали мошенники, могут отказаться от сотрудничества или привлечь компанию к ответственности, если данные будут затрагивать их бизнес.

Однако бывает, что в открытый доступ попадают данные клиентов, в которых есть упоминание компании. Например, таблица с телефонами и именами клиентов конкретного ООО. В этом случае компания может получить штраф, потому что понять, кто допустил утечку данных, просто.

Кибератака дорого обходится бизнесу, хотя в большинстве случаев ее можно было предотвратить: проверить сайт и сервисы компании на ошибки.

Как правило, следить за ошибками и не допускать их — это задача системного администратора компании. Самые распространенные ошибки, которые приводят к рискам, устранить нетрудно. Главное — понять, с чем именно они связаны. Сделать это можно при диагностике инфраструктуры сайта.

Защититься от компьютерный атак на 100% нельзя. Но можно снизить шансы стать жертвой киберпреступников. Рассказываем про основные из них.

Регулярно обновлять программное обеспечение и антивирусы. Это самый быстрый и простой способ защиты данных. Разработчики постоянно устраняют уязвимости в системе безопасности, чтобы защитить клиентов от киберугроз — поэтому обновление ПО должно быть регулярным.

По этой же причине нужно регулярно обновлять антивирус. Чтобы не забыть про это, подключите автообновление антивируса.

Еще можно использовать продвинутые решения — песочницы. Песочница запускает потенциально зараженный файл, анализирует его действия и выдает вердикт о том, безопасен этот файл или нет.

Использовать сложные пароли и двухфакторную аутентификацию. Двухфакторная аутентификация защищает гораздо лучше. При авторизации, например, в корпоративной почте сначала пользователь вводит логин и пароль, а потом специальный код, который приходит по СМС, электронной почте или в приложении. Таким образом, пользователю дважды нужно подтвердить свою личность.

Делать регулярное резервное копирование данных. Как правило, копии хранятся на отдельном сервере, облаке или жестком диске. Резервное копирование позволяет восстановить все необходимые данные, если основной сервер выходит из строя из-за кибератаки.

Обучать сотрудников правилам безопасности. Часто причиной взломов или утечек данных становится человеческий фактор. Объясните сотрудникам, что не нужно переходить по ссылкам или посещать подозрительные сайты. Расскажите, как правильно пользоваться корпоративными устройствами — часто сотрудники используют рабочие компьютеры для личных целей и могут по ошибке поделиться конфиденциальной информацией с другими людьми.

Использовать защищенные сети и VPN. Часто сотрудники работают из разных городов страны и мира. Сеть, через которую они выходят в интернет и подключаются к корпоративным сервисам, может быть небезопасной. Чтобы злоумышленники не могли перехватить важные документы компании или информацию, нужно использовать защищенный канал связи — VPN. Он защищает от кражи данных в процессе их передачи в сети.