Безопасность
интернет‑магазинаинтернет-магазина
Магазин хранит персональные данные покупателей, заказы и платёжные сценарии — и каждый час простоя стоит выручки. Разбираем, сколько стоят утечки и атаки, какие угрозы встречаются чаще всего и как выстроить защиту: обновления, резервные копии и инфраструктуру.
Во что обходятся утечки и атаки
- Средняя стоимость утечки данных в мире — 4,44 млн долларов, а на выявление и устранение уходит в среднем 241 день [1]
- Почти 70% компаний за год пострадали от атак программ-вымогателей [2]. Цель таких атак — зашифровать данные и резервные копии, чтобы не оставить пути к восстановлению.
- С 30 мая 2025 года в России действуют оборотные штрафы: за утечку персональных данных — от 3 млн ₽, за повторную — 1–3% выручки, но не менее 20 млн ₽. За неуведомление Роскомнадзора — до 3 млн ₽ [3]
Откуда приходят проблемы
Устаревшая платформа и модули
Известные уязвимости в старых версиях CMS и расширений — самый частый путь к взлому магазина.
Слабые доступы
Общие пароли к админке, доступы ушедших сотрудников и подрядчиков, ключи API в коде и переписке.
Боты и перебор
Перебор паролей к личным кабинетам, парсинг цен, фейковые заказы и DDoS в сезон распродаж.
Непроверенные бэкапы
Резервная копия есть, но лежит на том же сервере или ни разу не восстанавливалась — и в аварию оказывается бесполезной.
Резервные копии, которые спасают
Надёжная инфраструктура
- Раздельные окружения. Разработка, тест и продакшен не пересекаются, доступ к боевым данным — только тем, кому он нужен.
- Обновления по графику. Патчи платформы, модулей и ОС ставятся регулярно, критичные — вне очереди, после проверки на тесте.
- Защита периметра. WAF, защита от DDoS и ограничение частоты запросов на формы, вход и поиск.
- Мониторинг и журналы. Доступность, ошибки, подозрительные входы и изменения файлов — с алертами дежурной смене.
- Минимальные права. Роли, двухфакторный вход в админку и регулярный пересмотр доступов.
- План на инцидент. Кто и что делает при взломе или утечке, как уведомить Роскомнадзор и восстановить работу.
Откуда цифры
- IBM — Cost of a Data Breach Report 2025 ↗
- Veeam — Ransomware Trends Report 2025: почти 70% компаний пострадали от атак вымогателей (1 300 организаций), апрель 2025 ↗
- Контур.Эгида — оборотные штрафы за утечки персональных данных по 420-ФЗ (с 30 мая 2025) ↗
Цифры по кейсам — из наших проектов.
Частые вопросы
-
С аудита: версии платформы и модулей, доступы, настройки сервера и резервные копии. Он показывает самые опасные места, которые закрываются в первую очередь.
-
Базу данных — не реже раза в сутки, а для магазинов с большим числом заказов — чаще или непрерывно. Главное — хранить копии отдельно от сервера и регулярно проверять восстановление.
-
Перед покупателями и регулятором отвечает оператор персональных данных — то есть магазин. Поэтому требования к безопасности стоит закреплять в договоре с подрядчиком.
-
Базовая защита есть у многих провайдеров, но от атак на уровне приложения — перебора паролей, парсинга, фейковых заказов — нужен WAF и правила ограничения запросов.
