Интернет-магазины без защиты: что показал осмотр 1336 сайтов

Пассивная проверка безопасности 1336 российских интернет-магазинов, 15 октября 2026 года. И то, что изменилось 21 октября, когда в PHP нашли две критические дыры и полмира отключало сайты.

Представьте: ваш клиент получает письмо от имени вашего магазина. В письме — новые реквизиты для оплаты. Оформление привычное, адрес отправителя совпадает с вашим доменом. Клиент переводит деньги. Деньги уходят не вам.

Это не гипотетический сценарий: он становится возможным, когда в DNS-записях домена нет рабочей записи DMARC. Без неё почтовый сервер получателя не отличает настоящее письмо от поддельного.

Мы проверили 1336 российских интернет-магазинов по открытым данным: DNS-записи, сертификаты, заголовки ответа, WHOIS.

Результат только по почте: у 1222 магазинов из 1336 (91,5%) отправка письма от имени их домена ничем не заблокирована. У кого-то записи нет вовсе, у кого-то она в режиме наблюдения. Итог один — подделку пропустят.

Экономика атаки изменилась. В сентябре 2026 года Gambit Security разобрала случай, где три открытых ИИ-инструмента за шесть дней запустили 105 проектов атак и задели не менее 27 компаний: доступ обычно получали меньше чем за сутки, из двух компаний вывезли больше 600 000 карточных записей. Средняя стоимость атаки на одну цель — $25,46. У одного ритейлера агент заодно снёс базу вместе с резервными копиями.

В России масштаб растёт кратно: Positive Technologies насчитала 1,7 миллиона попыток вторжений с ИИ в третьем квартале 2026 года — впятеро больше, чем кварталом ранее; BI.ZONE — 38% атак с ИИ в первом полугодии против 13% годом ранее.

14 октября на совещании по информационной безопасности РФ киберугрозы назвали выходящими «на новый уровень» в экономике, логистике и госуправлении. В сентябре глава Anthropic Дарио Амодеи призвал замедлить развитие моделей — после случая, когда рой ИИ-агентов, по его словам, «проводил кибератаки на цели, которые ему не поручали».

Призывы замедлиться упираются в экономику. 19 октября Vals AI сообщила: в многошаговой атаке на симулированную сеть открытая DeepSeek V4.1 Flash обошла GPT-6 Sol, которую OpenAI выдаёт по заявке. На CyberBench разрыв небольшой — 73,69% против 77,98%, а попытка стоит 7 центов против 1,34 доллара, почти в двадцать раз дешевле.

Разница не в том, что модель умнее. Веса DeepSeek скачиваются: её ставят на свой сервер, где нет ни счётчика запросов, ни отказа по цензуре. Открытые сборки без ограничений лежат на Hugging Face — у них уже больше 80 тысяч скачиваний.

21 октября 2026 года в PHP — языке, на котором работает около 70% сайтов мира, включая WordPress (а на нём ещё 43% всех сайтов), Drupal, Joomla и Magento, — закрыли две критические бреши: CVE-2026-109618 и CVE-2026-109619, обе 9,2 из 10. Атакующий без логина и пароля выполняет свой код на сервере ещё до того, как запустится код магазина. Инструмент эксплойта PHP2Shell опубликовали в тот же день, а Sansec ожидала массовых атак уже через 15 минут после выхода патча.

Масштаб видно по реакции. Правительства Нидерландов, Финляндии, Франции, Бельгии, Германии и Великобритании отключали сайты превентивно: в Нидерландах — DigiD, палата представителей и центр кибербезопасности, во Франции — администрации и полиция Парижа. NSA и CERT-EU выпустили предупреждения. Amazon зафиксировал попытку эксплуатации на приманке 17 октября — за четыре дня до раскрытия.

Нашли бреши не люди, а ИИ-агенты: Calif — моделью GPT-5.6 Sol, Wiz независимо — Gemini 4 Argon. OpenAI назвала это «новой фазой, где ИИ находит ошибки безопасности интернет-масштаба». То есть тот же инструмент, что удешевляет атаку, теперь удешевляет и поиск дыр — просто с другой стороны.

В нашем замере признаки PHP видны у 781 сайта из 1336 — по заголовку X-Powered-By или cookie PHPSESSID. У 413 видна и версия: у 295 из них, то есть семи из десяти, это ветки, которые обновлений уже не получают, — 156 сайтов на 5.x-7.3 и 139 на 7.4-8.1. Ещё у 118 стоят 8.2-8.5.

И главное для магазина: обновление WordPress и плагинов здесь не помогает. Брешь в самом PHP, чинится она на уровне сервера и хостинга, а автообновления WordPress, как напомнил Wordfence, PHP не обновляют.

Выборка — 1336 доменов из четырёх источников: розничные магазины из OpenStreetMap (584), витрины на CMS (282), портфолио веб-студий (89) и 381 магазин на пяти популярных CMS из открытого рейтинга. Платформы определяли по внешним признакам — путям к скриптам и шаблонам, meta-тегу generator, cookie и заголовкам ответа, без доступа к панели. 1С-Битрикс — 326 доменов, Tilda — 174, OpenCart — 159, WooCommerce — 156, MODX — 156, ещё 365 приходится на два десятка других движков. Это не «все интернет-магазины России» и не случайная выборка — это четыре среза, которые мы собрали и проверили.

Смотрели DNS и почтовые записи, сертификат и протоколы, заголовки ответа, WHOIS. Никаких активных проб и попыток входа. Замер сделан нашим сервисом стражсайта.рф: коммерческий интерес у нас есть, методика и цифры открыты. Всё, что мы проверяли, можно повторить руками: посмотреть DNS-записи домена, проверить заголовки ответа, заглянуть в сертификат. Это займёт больше времени, но технически это те же данные.

Почта не защищена от подделки — 1222 из 1336 (91,5%). Письмо от имени магазина может уйти кому угодно — клиенту, поставщику, бухгалтерии, и сервер получателя не отличит его от настоящего. Это отсутствие рабочей DMARC-записи.

Нет заголовка Content-Security-Policy — 1234 из 1334 (92,5%). На страницу можно подгрузить чужой скрипт, в том числе на оформление заказа. Её часто не ставят осознанно: строгая политика ломает сторонние скрипты и пиксели аналитики. Это объясняет цифру, но не отменяет риска.

Нет HSTS — 79,7%. Соединение посетителя можно понизить до незашифрованного, если сервер не попросил браузер настаивать на защищённом канале.

Включены устаревшие TLS 1.0 и 1.1 — 45,2%. Часть современных устройств и требований к защищённому соединению с ними не работает.

Одна из неожиданных находок: магазины из портфолио веб-студий по ряду метрик выглядят хуже, чем магазины, собранные владельцами самостоятельно, — заказ сайта у студии не гарантирует, что техническая часть настроена.

По платформам разброс тоже есть. На Tilda (174 домена) нет ни HSTS, ни Content-Security-Policy, а устаревшие протоколы включены на 98,4%. У WooCommerce (156 доменов) cookie без флага Secure — 15,9%, лучший результат среди платформ: WordPress выставляет флаг сам, и владельцу не приходится об этом думать. У OpenCart (159 доменов) DNSSEC не настроен у 85,6%, а cookie без Secure — у 90,7%. У MODX (156 доменов) хуже всего с cookie — 97,8%.

Стандартный совет — наймите специалиста по информационной безопасности. Для малого магазина это почти никогда не первый шаг.

Цены по публичным прайсам российских подрядчиков на октябрь 2026 года: аудит у частного специалиста — от 10 000 рублей, у небольшой студии — 16 950–23 730, сканирование с ручной проверкой — от 60 000, пентест — от 120 000, у крупных интеграторов — от 200 000 до 1 100 000 рублей. Ставка специалиста — 55 000 за человеко-день.

Пентест ищет то, чего по открытым данным не видно: ошибки в коде, слабую логику, обход авторизации. Этот класс задач мы не закрываем. Но порядок дешевле обратный: сначала закрыть базовую конфигурацию — почтовые записи, заголовки, сертификат, протоколы, это часы работы; потом платить за глубокую проверку или нанимать специалиста. Иначе пентест найдёт и то, что можно было увидеть бесплатно.

Пять пунктов, каждый закрывает конкретный риск. Универсальной очерёдности нет — она зависит от платформы и хостинга.

Студия сдаёт проект, говорит «безопасность настроена», вы подписываете акт. Через полгода выясняется, что DMARC не настроен, сертификат не продлевается, а устаревшие протоколы включены. Проверить это можно до подписания акта. Что спросить: настроены ли DMARC, SPF и DKIM и в каком режиме DMARC; есть ли HSTS, Content-Security-Policy, X-Content-Type-Options; отключены ли TLS 1.0 и 1.1; кто отвечает за продление сертификата и домена; выставлены ли Secure и HttpOnly у cookie. Ответы проверяются по DNS-записям и заголовкам — самостоятельно через наш сервис.

Наш сервис: стражсайта.рф - делает то же быстрее: базовая проверка бесплатна

поставьте лайк плз :)