Чёрная пятница для хакеров: сезон охоты на магазины

Хакеры ждут Чёрную пятницу не меньше покупателей в Великобритании — только скидки им не нужны. Киберпреступники используют предпраздничный ажиотаж, чтобы атаковать интернет-магазины и похищать данные, а иногда и деньги, предупреждают специалисты.

Согласно новому отчёту компании SonicWall, злоумышленники готовились к сезону распродаж весь год, рассчитывая скомпрометировать как можно больше торговых площадок. С января по сентябрь 2026 года SonicWall зафиксировала 23,3 млн попыток вторжения средней и высокой степени приоритета, а также почти 400 тыс. атак с использованием вредоносных программ.

Наибольшая активность пришлась на самый напряжённый торговый квартал. По оценке компании, примерно на этот период пришлось около половины всего объёма атак за 2025 год. В годовом выражении число попыток вторжения против британских ритейлеров выросло на 169%. «Самые загруженные для покупателей недели — одновременно самые загруженные для атакующих ритейлеров», — отметили в SonicWall.

Почти все атаки — 97% — были направлены на веб-приложения. Преступники изучают доступную покупателям онлайн-инфраструктуру магазинов и ищут лазейки к хранящимся внутри данным. Самым распространённым приёмом стала атака с обходом каталогов: её зарегистрировали 10,5 млн раз — примерно половину всех событий, обнаруженных системой предотвращения вторжений SonicWall.

При обходе каталогов злоумышленник пытается заставить веб-сервер открыть файлы, доступ к которым должен быть закрыт. Это могут быть настройки системы и сохранённые записи, в том числе пароли. Иногда среди них оказываются данные для доступа к базам с именами, адресами и историей заказов клиентов.

Используют преступники и другие методы. Датчики SonicWall фиксировали попытки воспользоваться уязвимостью удалённого выполнения кода (RCE) в React Server Components в двух случаях из пяти. Компания не назвала конкретную уязвимость и не указала её номер CVE — идентификатор, который присваивают известным проблемам безопасности. По словам SonicWall, уязвимость затрагивает современные веб-фреймворки, на которых работают многие новые интернет-магазины и приложения для покупок. Успешная атака может дать преступникам контроль над сервером сайта.

Также было зарегистрировано 1,6 млн попыток межсайтового скриптинга (XSS) — внедрения вредоносного кода в страницы, которые затем открывают пользователи. Но особенно примечательно, что злоумышленники по-прежнему используют Log4Shell.

Это уязвимость CVE-2021-44228, обнаруженная в 2021 году в Log4j — открытой библиотеке для Java, которую разработчики применяют для записи событий в приложениях: ошибок, действий пользователей и системных процессов. Log4Shell позволяла атакующему захватить уязвимый сервер, передав специально сформированную строку приложению, использующему Log4j. После этого преступники могли похищать учётные данные или устанавливать вредоносные программы и программы-вымогатели. Почти пять лет спустя SonicWall зарегистрировала не менее 263 тыс. попыток эксплуатации этой уязвимости.

В компании предупреждают: перед пиком продаж преступники изучают веб-инфраструктуру ритейлеров и ищут любую брешь, которая поможет украсть данные клиентов, провести платёжное мошенничество или вывести сайт из строя в самый неподходящий момент.

Исполнительный вице-президент SonicWall по региону EMEA Спенсер Старки отметил, что злоумышленников прежде всего интересуют персональные данные, которые интернет-магазины собирают о покупателях. EMEA — регион Европы, Ближнего Востока и Африки. В разгар торгового сезона магазины не хотят отключать оформление заказов ради установки исправлений, и преступники это понимают. После утечки расплачиваться приходится клиентам — мошенничеством, фишинговыми атаками и утратой доверия к продавцу.

Утечка в интернет-магазине может стать лишь началом цепочки атак. Похищенные данные затем используют для мошенничества с банковскими переводами, социальной инженерии — манипуляций, при которых людей обманом побуждают раскрыть сведения или совершить нужное преступникам действие, — а также для последующих атак на другие организации.

PEREC.RU

Каждый год цифровая торговля устраивает себе маленький праздник потребления — и каждый год выясняется, что вместе с покупателями на праздник приглашены люди, которым не нужны ни подарки, ни чек. Им интереснее закулисье: серверы, пароли, адреса и всё то, что бизнес годами собирал под вывеской «удобство для клиента».

Ритейлеры любят говорить о бесшовной покупке. Но бесшовность, похоже, работает в обе стороны: клиенту легче оплатить заказ, а атакующему — найти путь к инфраструктуре, которую нельзя выключить именно тогда, когда она особенно уязвима. В календаре коммерции есть важное правило: исправления подождут, пока касса звенит. Преступники это правило выучили лучше некоторых владельцев магазинов.

Сезонный ажиотаж здесь не просто фон, а удобный рычаг. Чем дороже остановка сайта, тем охотнее компания откладывает техническую уборку на потом. «Потом» обычно наступает после утечки — когда покупателю предлагают сменить пароль, банку объясняют странные переводы, а служба поддержки учится произносить слово «инцидент» с сочувствующей интонацией.

Особенно трогает долголетие старых уязвимостей. Технологическая индустрия ежегодно продаёт будущее в новой упаковке, но давно известные дыры продолжают работать — вероятно, из уважения к традициям. Если проблема не исчезла за годы, это уже не призрак прошлого, а действующий участник рынка с постоянным доступом к расписанию распродаж.

Разумеется, никто не планирует оставить сервер открытым. Просто защита конкурирует с выручкой, а выручка обычно приходит на совещание с презентацией и уходит с решением «вернуться к вопросу после пика». В этом странном совпадении интересов кассовый терминал получает приоритет, а персональные данные — роль расходного материала, который должен быть в безопасности без лишних расходов.

Платит за такую экономию не только компания. Украденная информация превращается в фишинговые сообщения, попытки выманить деньги и атаки на организации, никак не связанные с первоначальным магазином. Удобная модель: один раз собрать данные, потом долго использовать их в разных сценариях — почти как подписка, только оформленная без согласия клиента.

Вывод не требует героической киберфилософии. Если бизнес строит сезонную выручку на непрерывной работе сайта, защита должна быть готова до начала сезона, а не после первого заголовка о взломе. Иначе «праздничное предложение» получает покупатель: его собственные данные, перепроданные или использованные против него, плюс традиционное пожелание сохранять бдительность.