Как защитить интернет-магазин от хакеров?

Можно ли взломать сайт в e-commerce? Ответ однозначный: да. Сфера электронной коммерции попала в поле зрения хакеров несколько лет назад, а в период пандемии, когда шоппинг перешел в онлайн-режим, кибератаки участились. Как же защитить онлайн-бизнес от угроз цифровой эпохи? Рассказываем в статье.

Хакеры не первый год атакуют интернет-магазины и мастерски заметают следы. В 2018 аналитики Magneto IT Solutions сообщили, что 43% кибератак нацелены на небольшие компании. 54% организаций пострадали в результате хакерских нападений. 60% фирм, столкнувшихся с киберпреступниками, закрылись в течение шести месяцев. Лишь 38% предприятий во всем мире смогли противостоять хакерам. А в отчете Accenture Security указано, что ущерб от вирусных атак обошелся глобальному бизнесу в $2,613,952, что на 11% превысило аналогичный показатель 2017-го. В зону риска в основном попадали веб-приложения.

В 2019 году, по информации Risk Based Security, хакеры организовали масштабные утечки данных, чтобы украсть 4,1 млрд реквизитов аккаунтов. При этом 85% организаций столкнулись с фишингом и социальной инженерией. И если в 2018 году боялись внешнего врага, то в 2019 нападения производились инсайдерами – сотрудниками организации, которые «сливали» информацию за деньги либо чтобы отомстить руководству.

В этом же году произошли мощные атаки программами-вымогателями (ransomware). В зоне риска оказались профессиональные услуги: например, юристы и сертифицированные финансовые консультанты (22,4%), производители программного обеспечения (17,2%), представители сферы здравоохранения (10,3%). Причина взлома – отсутствие технической готовности бизнеса отразить кибератаку и непонимание, зачем нужно делать резервное копирование данных. Об этом говорится в отчете Coveware.

Пандемия внесла свои коррективы в работу бизнеса. Торговые организации и потребители перешли в онлайн-режим, и в связи с этим доля электронной коммерции на глобальном рынке ритейла выросла с 14% (2019) до 17% (2020), сообщается в отчете UNCTAD и eTrade.

Но перспективы e-commerce привлекли не только предпринимателей, но и киберпреступников. И это неудивительно: продажи в данной сфере достигли $3.354 трлн в 2019, а в 2020 – 4.28 трлн, как демонстрирует Statista. Вот и хакеры быстро поняли, что взламывая сайты интернет-магазинов, можно получить доступ к почти неисчерпаемому финансовому источнику. При этом в зоне риска оказались не только корпорации, но и малый бизнес.

Многие онлайн-магазины стараются защитить корпоративную информации в облачных инструментах. Но такие SaaS-приложения, как QuickBooks и Trello, тоже подвержены взлому. Да и платформы для e-commerce типа Shopify и BigCommerce не гарантируют полной сохранности данных. А бесплатные шаблоны для электронной коммерции (допустим, WooCommerce на базе WordPress) и вовсе предполагают, что нужно устанавливать плагины безопасности, если предприниматели хотят защититься от хакеров.

Но к сожалению, не все игроки онлайн-бизнеса оказались готовы к требованиям эпохи. И многие бизнесмены занимаются коммерцией, выпуском продукта, распространением – и не уделяют должного внимания информационной безопасности сайта. А киберпреступники, зная об этом, атакуют еще серьезнее.

Что нужно хакерам?

Почему представители электронной коммерции интересны киберпреступникам? Есть несколько причин:

Кибератаки оказывают колоссальное влияние на бизнес в e-commerce. Чтобы защитить себя, приходится тратить огромные суммы на работу отдела в сфере кибербезопасности, тестировщиков на возможность проникновения в систему. Также если произошла утечка информации, об этом необходимо сообщить клиентам и выплатить компенсацию. Кроме того, если компания стала жертвой программ-вымогателей, приходится платить выкуп в обмен на ценную информацию или разблокировку системы. В частности, компания Sophos провела исследование и выяснила:

Из-за кибератак под угрозой репутация организаций. Когда клиенты и поставщики узнают о хакерской атаке на бренд, они чувствуют, что их данные не в безопасности. Например, компания Target рассказывала о том, что ее репутация пошатнулась после утечки информации в 2013 году. Мошенники получили доступ к сведениям о кредитных картах 40 млн покупателей. Чтобы восстановить систему, сотрудники Target потратили $18.5 млн.

Компании, ставшие жертвой киберпреступников, также сталкиваются с кратковременным падением рыночной стоимости продукта. Исследование Comparitech проанализировало 40 случаев утечки данных из 34 организаций на Нью-Йоркской фондовой бирже. Как выяснилось, цена акций «инфицированных» брендов упала в среднем на 3,5%.

Из-за киберпреступности страдает интеллектуальная собственность в e-commerce – дизайн продукта, технологии, маркетинговые стратегии. При этом многие объекты авторского права хранятся в облачных серверах, которые также не защищены от хакеров должным образом. 30% американских e-commerce компаний заявили, что на протяжении 10 лет их китайские партнеры «заимствуют» то, что по праву принадлежит бизнесу в США.

В области электронной коммерции чаще всего встречаются следующие виды киберпреступлений:

При этом три последних вида часто входят в состав других атак. Например, финансовое мошенничество совершается посредством веб-скимминга, а в ходе атаки посредника преступники используют фишинговые письма.

Рассмотрим признаки и последствия основных киберпреступлений, а также методы борьбы с хакерами.

Итак, как понять, что вы стали жертвами чьих-то махинаций? Есть несколько признаков:

Как предотвратить кражу средств?

Важно соблюдать базовые меры безопасности: надежный рандомный пароль, лицензионное программное обеспечение.

Безопасные платформы e-commerce обновляются автоматически. Но если этого не происходит, коммерческим деятелям стоит быть начеку – и загружать патчи и обновления самостоятельно, если они выходят на рынок.

Атака «доведение системы до отказа» нацелена на сайты интернет-магазинов. Цель – отправить на сервер или сеть такое количество трафика, которое система просто не сможет переработать, и случится крах. Сайт станет недоступен, либо пользователь не сможет загрузить страницу, думая, что у него неполадки с интернет-соединением.

Вредоносный трафик состоит из поступающих сообщений, запросов или фейковых пакетов, которые буквально «требуют» соединиться с сайтом.

В некоторых случаях хакеры требуют, чтобы владельцы сайтов заплатили выкуп в криптовалюте. Иначе DDoS-атака не прекратится.

Поэтому важно сразу обращаться к специалистам, если заметите один из этих признаков.

Однозначно, лучшая битва – та, которая не состоялась. Поэтому нужно предпринять некоторые меры во избежание DDoS-атак.

Обычно атака посредника на интернет-магазин происходит по двум сценариям.

1. В случае отсутствия HTTPS на сайте хакер перехватывает передачу данных между клиентом и сервером. Обманывая клиента, заставляет последнего думать, что по-прежнему происходит коммуникация с сервером и так далее. В это время киберпреступник устанавливает сниффер для анализа сетевого трафика. Как только пользователь залогинился на сайте, хакер получает доступ к данным юзера и перенаправляет их на фейковый портал, который имитирует реальный интернет-магазин. Именно на хакерской платформе удается перехватить ценную информацию.

2. Мошенник вторгается в разговор, проходя сквозь отдельные сегменты дискуссии. Хакер запускает фейковый чат-сервис, например, на странице проведения оплаты. Притворяется банком или платежной системой и начинает беседу с потенциальной жертвой. И это не все – преступник притворяется реальным пользователем, который сейчас хочет провести транзакцию в Интернет-магазине, обращается в чат платежной системы и получает необходимую информацию для вторжения в аккаунт юзера.

Известнейший пример такой атаки произошел в 2006 году, когда сайт AT&T DSL атаковали хакеры. Мошенники принялись рассылать клиентам письма по электронной почте с информацией, что с их карточек нельзя снять деньги, так как банк не предоставил необходимые сведения. Письма выглядели достаточно реалистичными, включали номер заказа, последние 4 цифры карты. Реципиентов перенаправляли на фейковый сайт, где предлагалось «обновить» данные карты, предоставив больше информации – номер социального страхования и дату рождения. Те пользователи, которые последовали за редиректом, передали персональные данные хакерам.

Как сообщает DataDome, 30% трафика в сети приходится на ботов, способных ухудшить работу интернет-магазина, заставить сайт «упасть» и изъять персональные данные клиентов. Как же проявляют себя боты в электронной коммерции?

Технологии киберпреступников не стоят на месте. Многие хакеры нацеливаются именно на сферу электронной коммерции, ведь именно сюда вливаются колоссальные инвестиции. Но прибегая к мерам безопасности, владельцы интернет-магазинов способны защитить свой бизнес.

Крайне важно зашифровать данные, проходящие между веб-сервером компании и сайтом клиента. Для этого обычно внедряют SSL-сертификат, защищающий потребителей во время проведения платежей онлайн. Не стоит хранить на сервере супер-конфиденциальную информацию, особенно данные кредитных карт покупателей. По крайней мере, так предполагает стандарт безопасности PCI.

Наконец, важно внедрять дополнительные слои защиты на страницы интернет-магазина, которые отвечают за процесс регистрации покупателя, контактную форму и запросы (поиск).

Подписывайтесь на наш канал в Telegram, в котором мы делимся последними новостями digital-маркетинга, полезными чек-листами и лайфхаками.