В феврале 2026 года аналитики опубликовали итоги по кибербезопасности за прошлый год. Цифры такие, что стоит остановиться и прочитать внимательно. Количество кибератак на финансовый сектор выросло на 43%. Атаки банковских троянов — в четыре раза. Шпионское ПО — плюс 42%. Программы-вымогатели — плюс 32%. И самое тревожное: 90% корпоративных сетей уязвимы настолько, что злоумышленник может получить полный контроль над инфраструктурой.
Это не проблема только банков и корпораций. Малый и средний бизнес — основная цель. У крупных компаний есть отделы безопасности и бюджеты на защиту. У кофейни с сайтом на WordPress, интернет-магазина на самописной CMS или сервисной компании с клиентской базой в открытом доступе — нет. И злоумышленники это знают.
Я занимаюсь веб-разработкой и вижу состояние сайтов, которые приходят на доработку. Пароли admin/admin, отсутствие SSL, необновлённые плагины с известными уязвимостями, резервные копии, которые не делались никогда. Каждый такой сайт — открытая дверь. Давайте разберёмся, что происходит и что с этим делать.
Главная угроза 2026 года: атаки через подрядчиков
Вот статистика, которая меняет правила игры: каждая третья успешная кибератака в 2025 году пришла через подрядчиков и партнёров. Год назад эта доля составляла 10%. Рост в три раза за один год.
Как это работает. У вашей компании может быть идеальная защита. Но вы подключили веб-студию к админке сайта, дали бухгалтерскому сервису доступ к базе данных, интегрировали CRM через API с внешним партнёром. Если у партнёра слабая защита — злоумышленник заходит через него, а оказывается у вас.
Это называется supply chain attack — атака через цепочку поставок. В IT-мире это стало трендом номер один. Злоумышленники не штурмуют крепость — они находят слабое звено в цепи. Часто это небольшая компания-подрядчик, у которой один сисадмин на полставки и пароль от сервера в файле на рабочем столе.
Что это значит для вас: безопасность вашего бизнеса зависит не только от вас, но и от всех, кому вы даёте доступ к своим системам. Выбор подрядчика по разработке сайта или внедрению CRM — это в том числе выбор уровня безопасности. О том, как выбирать подрядчика грамотно, — наш гайд.
Пять главных киберугроз для бизнеса в 2026 году
Программы-вымогатели (ransomware). Рост на 32% за год. Механика простая: злоумышленник шифрует ваши данные — базу клиентов, бухгалтерию, файлы — и требует выкуп. Средний размер выкупа в России вырос до нескольких миллионов рублей. Малый бизнес платит чаще, потому что у него нет резервных копий и восстановить данные иначе не может. Без бэкапов вы теряете всё — или платите.
Фишинг и социальная инженерия. Самый массовый вектор атак. Сотрудник получает письмо, которое выглядит как сообщение от банка, партнёра или руководителя. Переходит по ссылке, вводит данные — и злоумышленник получает доступ. В 2025 году фишинговые атаки стали точечными: злоумышленники изучают компанию, используют имена реальных сотрудников и партнёров, подделывают домены с точностью до буквы.
DDoS-атаки. Ваш сайт заваливают миллионами запросов — он перестаёт работать. Для интернет-магазина это прямые потери: каждый час простоя — это непроданные товары, потерянные клиенты, испорченная репутация. DDoS-атаки стали дешёвыми (заказать атаку можно за несколько тысяч рублей) и массовыми. Часто используются как отвлекающий манёвр — пока вы боретесь с DDoS, злоумышленники проникают через другую уязвимость.
Утечки данных. Персональные данные клиентов — имена, телефоны, email, адреса доставки — это ценный товар. С ужесточением закона о персональных данных (152-ФЗ) утечка — это не только репутационный удар, но и штрафы от Роскомнадзора. С 2025 года штрафы за утечки выросли кратно, а оборотные штрафы до 3% от годовой выручки компании вступают в силу с конца 2025 — начала 2026 года.
Взлом CMS и веб-приложений. WordPress, Joomla, Bitrix — любая CMS с необновлёнными плагинами содержит известные уязвимости. Злоумышленники автоматически сканируют миллионы сайтов, находят уязвимые и получают доступ. Через взломанный сайт можно перенаправлять посетителей на фишинговые страницы, красть платёжные данные, рассылать спам от имени вашей компании.
Почему малый бизнес — главная цель
Может показаться, что хакерам интересны только банки и госкорпорации. Это опасное заблуждение.
У малого бизнеса нет защиты. Нет штатного безопасника, нет файрвола, нет процедуры реагирования на инциденты. Сайт обслуживает фрилансер, который последний раз заходил полгода назад. Серверное ПО не обновлялось с момента установки. Это лёгкая добыча.
Данные малого бизнеса — ценные. Клиентская база интернет-магазина с телефонами и email стоит на чёрном рынке вполне реальных денег. Бухгалтерские данные можно использовать для мошенничества. Доступ к расчётному счёту через взлом онлайн-банка — прямой финансовый ущерб.
Малый бизнес платит выкуп. У крупной компании есть бэкапы, план восстановления, юристы. Владелец небольшого магазина, у которого зашифровали базу с 10 000 заказов, часто платит — потому что восстановить данные иначе не может, а бизнес стоит.
Через малый бизнес атакуют крупный. Помните про supply chain? Если вы — подрядчик более крупной компании, взлом вашей инфраструктуры становится ступенькой к атаке на вашего клиента. И после такого инцидента клиент уходит — навсегда.
Базовая защита сайта: 10 шагов, которые нужно сделать сегодня
Хорошая новость: 80% атак на малый бизнес можно предотвратить базовыми мерами. Не нужен бюджет в миллионы — нужна дисциплина.
1. SSL-сертификат. Если ваш сайт работает по http, а не https — это первое, что нужно исправить. SSL шифрует данные между браузером пользователя и сервером. Без него логины, пароли и платёжные данные передаются открытым текстом. Бесплатный Let's Encrypt решает задачу за 15 минут. Бонус: Яндекс и Google ранжируют HTTPS-сайты выше.
2. Обновления CMS и плагинов. Каждое обновление WordPress, Bitrix, Laravel или любого другого фреймворка содержит закрытые уязвимости. Необновлённый плагин — это опубликованная инструкция для взлома. Настройте автообновления или проверяйте вручную минимум раз в неделю.
3. Сложные пароли и двухфакторная аутентификация. Пароль admin123 — это не пароль, это приглашение. Используйте генератор паролей, уникальный пароль для каждого сервиса, менеджер паролей для хранения. Включите 2FA для всех критических систем: админка сайта, хостинг, почта, CRM, банк-клиент.
4. Резервное копирование. Ежедневные бэкапы — минимум. Хранение в отдельном месте от основного сервера — обязательно. Облачное хранение (Яндекс.Облако, S3) — оптимально. Проверяйте возможность восстановления из бэкапа хотя бы раз в месяц. Бэкап, который невозможно развернуть, — не бэкап.
5. WAF (Web Application Firewall). Фильтрует вредоносные запросы до того, как они дойдут до сайта. Блокирует SQL-инъекции, XSS, попытки перебора паролей. Решения: Cloudflare (бесплатный базовый план), Qrator, DDoS-Guard. Подключение занимает час, эффект — немедленный.
6. Ограничение доступов. Кто имеет доступ к админке сайта? К серверу? К базе данных? Составьте список и уберите всех, кому доступ не нужен прямо сейчас. Бывший сотрудник, фрилансер, который делал сайт два года назад — их доступы должны быть отозваны. Каждый лишний аккаунт — потенциальная дыра.
7. Мониторинг доступности и аномалий. Подключите мониторинг (UptimeRobot, Яндекс.Вебмастер) — вы должны узнать о падении сайта раньше клиентов. Настройте алерты на аномальный трафик: резкий рост запросов может означать DDoS или попытку взлома.
8. Защита форм и входов. CAPTCHA на формах обратной связи и регистрации. Ограничение попыток входа (после 5 неудачных — блокировка на 15 минут). Скрытие страницы логина от индексации. Для WordPress — смена стандартного URL /wp-admin.
9. HTTPS для всех поддоменов и сервисов. Не только основной сайт, но и API, почтовый сервер, админ-панели, интеграции с CRM — всё должно работать по защищённому протоколу. Одна незащищённая точка входа обесценивает всю остальную защиту.
10. Аудит безопасности. Раз в полгода — проверка: актуальность ПО, список доступов, состояние бэкапов, логи подозрительной активности. Можно сделать самостоятельно по чек-листу или заказать у специалиста. Стоимость аудита безопасности сайта — от 15 000 ₽, это несопоставимо с ущербом от взлома.
Защита бизнес-процессов: за пределами сайта
Сайт — видимая часть. Но бизнес — это ещё почта, CRM, мессенджеры, облачные хранилища, бухгалтерия. Каждый из этих сервисов может стать точкой входа.
Корпоративная почта. Используйте корпоративный домен (info@вашакомпания.ru), а не бесплатные ящики. Настройте SPF, DKIM, DMARC — это защита от подделки писем от вашего имени. Обучите сотрудников распознавать фишинг: неожиданные вложения, срочные просьбы перевести деньги, ссылки с подозрительными доменами.
CRM и клиентские данные. Доступ к CRM — по ролям. Менеджер видит свои сделки, не всю базу. Выгрузка данных — только для руководителя. Логирование действий — кто что смотрел, скачивал, удалял. Если менеджер увольняется — его доступ закрывается в тот же день. Как выбрать безопасную CRM — в нашем гайде.
Мессенджеры и удалённый доступ. Рабочие переписки в личном Telegram — риск. Если телефон сотрудника украден или взломан, злоумышленник получает доступ к рабочим чатам, файлам, контактам клиентов. Решение: корпоративные мессенджеры с управлением доступом или как минимум двухфакторная аутентификация на всех личных устройствах, используемых для работы. О том, почему Telegram — не замена собственным каналам, — наша статья.
Облачные хранилища. Яндекс.Диск, Google Drive, Dropbox — удобны, но требуют настройки. Открытые ссылки на документы с конфиденциальными данными — классическая ошибка. Проверьте: нет ли у вас документов с клиентскими данными, доступных по прямой ссылке без авторизации?
Закон на вашей стороне (и против вас)
Законодательство ужесточается параллельно с ростом угроз.
152-ФЗ о персональных данных. Если вы собираете имена, телефоны, email клиентов — вы оператор персональных данных. Вы обязаны защищать эти данные и уведомлять Роскомнадзор об утечке в течение 24 часов. Штрафы за утечку выросли кратно: оборотные штрафы до 3% от годовой выручки компании — это не теория, а реальный риск с конца 2025 года.
Импортозамещение в безопасности. С 1 января 2026 года организации критической информационной инфраструктуры обязаны использовать отечественное ПО для защиты. Для малого бизнеса это пока не обязательно, но тренд очевиден: российские решения (Kaspersky, Positive Technologies, BI.ZONE) активно развиваются и предлагают тарифы для малого бизнеса. Подробнее о тренде импортозамещения — в наших интеграционных решениях.
Сколько стоит безопасность — и сколько стоит её отсутствие
Базовая защита сайта и бизнеса обходится в 5 000–30 000 рублей в месяц: SSL (бесплатно), WAF (от 0 до 10 000 ₽/мес), мониторинг (от 0 до 3 000 ₽/мес), резервное копирование (1 000–5 000 ₽/мес), техподдержка и обновления (5 000–15 000 ₽/мес).
Стоимость инцидента: простой интернет-магазина на 1 день — потерянная выручка, реклама впустую, отток клиентов. Утечка клиентской базы — штраф от Роскомнадзора, потеря доверия, судебные иски. Шифрование данных вымогателем — выкуп от 500 000 рублей или потеря всей базы. Взлом сайта — SEO-позиции обнуляются (Яндекс и Google блокируют заражённые сайты), восстановление занимает месяцы.
Соотношение «затраты на защиту / потенциальный ущерб» — примерно 1:100. Это не расходы — это страховка.
Что мы делаем для безопасности клиентских проектов
Каждый сайт и система, которые мы разрабатываем, включают базовый набор защиты по умолчанию: SSL-сертификат и HTTPS на всех страницах, защита от SQL-инъекций, XSS и CSRF на уровне фреймворка (Laravel, Next.js), хеширование паролей (bcrypt), защита от перебора, двухфакторная аутентификация, регулярные автоматические бэкапы, разграничение прав доступа по ролям, логирование действий пользователей, настройка заголовков безопасности (CSP, HSTS, X-Frame-Options).
Для проектов с повышенными требованиями — интернет-магазины с платёжными данными, медицинские порталы, финансовые сервисы — мы дополнительно подключаем WAF, настраиваем DDoS-защиту, проводим аудит безопасности перед запуском и настраиваем мониторинг инцидентов.
Безопасность — не отдельная услуга, а часть качественной разработки. Сайт без защиты — это как магазин без замка: вопрос не «взломают ли», а «когда». Подробнее о нашем подходе к разработке — в разборе стоимости.
Что делать прямо сейчас
Не нужно менять всё за один день. Начните с трёх действий, которые закроют 80% рисков.
Первое: проверьте бэкапы. Есть ли они? Где хранятся? Можно ли из них восстановиться? Если ответ на любой из этих вопросов — «не знаю», это приоритет номер один.
Второе: обновите всё. CMS, плагины, серверное ПО, PHP/Node.js. Каждая необновлённая система — это опубликованная уязвимость с инструкцией по взлому.
Третье: проведите ревизию доступов. Кто имеет доступ к чему? Уберите всё лишнее. Включите двухфакторную аутентификацию везде, где это возможно.
Если вы не уверены в состоянии безопасности вашего сайта — напишите нам. Мы проведём аудит, покажем уязвимости и предложим решение. Это дешевле, чем разбираться с последствиями взлома.