Ноябрь и декабрь – традиционно самый прибыльный период для онлайн-магазинов, приносящий компаниям значительную часть годовой выручки. Во времена «Черной пятницы», «Киберпонедельника» и новогодних распродаж трафик находится на пике, а нагрузка на отдельные компоненты может вырастать многократно. Однако вместе с добросовестными покупателями на сайт приходят и киберпреступники.
Как защититься от хакеров в пиковый сезон продаж
В обычный день падение сайта на пару часов – это дорогой и неприятный технический инцидент. Но в разгар сезонных распродаж – это катастрофа для бизнеса. Тут уместно вспомнить пример «Золотого Яблока» (ЗЯ).
По информации из открытых источников, в 2025 году онлайн-выручка ритейлера составляет около 102,5 млрд рублей, в году 525 600 минут. Если считать упрощенно, в обычный день минута простоя сайта и приложения ЗЯ стоит компании около 195 тыс. рублей недополученной выручки. В период распродаж суточный объем заказов взлетает в 5-7 раз, соответственно, одна минута простоя обойдется компании от 800 тыс. до миллиона рублей. Добавим сюда удар по репутации, потерянные затраты на маркетинг и уход покупателей к конкурентам.
Хакеры это прекрасно знают и создают осенью и зимой лавину DDoS-атак и попыток взлома онлайн-магазинов с целью получения соразмерного выкупа. Для среднего ритейлера два часа простоя могут обойтись в 8-12 млн руб., что равно достаточному годовому бюджету на информационную безопасность.
Но накануне пиковой активности проводить серьезные работы в ИБ уже поздно, ведь любые масштабные изменения нужно протестировать заранее. Что можно успеть? Точечно, но метко подкорректировать настройки, которые обеспечат максимум защиты в сжатые сроки. Обсудим далее, что именно можно сделать.
1. Провести экспресс-настройку защиты
Начать необходимо с ревизии и настройки уже имеющихся средств защиты информации (СЗИ) и межсетевых экранов веб-приложений (WAF).
Перевести WAF в режим активной блокировки. Межсетевой экран – это главный барьер на входе. Часто в крупных компаниях WAF работает в режиме «логирования», то есть, просто записывает подозрительную активность, чтобы не заблокировать легитимного пользователя. За месяц до распродаж ИБ-службе желательно перевести WAF в режим фильтрации и обновить правила под актуальные уязвимости используемой вами CMS-платформы.
Далее нужно лимитировать API. Большинство онлайн-продаж чаще оформляется через приложения, чем через сайт. Соответственно, хакеры редко ломают сайт через главную страницу: они атакуют API-интерфейсы, через которые приложение общается с сервером. Перед распродажами нужно внедрить ограничения на количество запросов по IP, сессии, учетной записи и конкретному API-методу с учетом типичного поведения клиентов. Это не позволит ботам массово нагружать корзины, парсить складские остатки и перегружать базу данных запросами на поиск товаров.
Также может пригодиться территориальное ограничение входящего трафика, если география продаж ограничена одной страной. Это делается на уровне файервола. Срез зарубежных IP-адресов на входе заметно снизит количество хакерских сканирований и автоматизированных атак, высвободив вычислительные мощности серверов под реальных покупателей.
2. Подготовиться к ИИ-DDoS
Стандартный сценарий DDoS-атаки в сезон распродаж – сайт заваливают миллионами запросов, он перестает открываться, а на почту СЕО приходит письмо от хакеров с требованием перевести условные два биткоина, чтобы «атака прекратилась и сайт восстановился».
Теперь DDoS изменился: злоумышленники используют ИИ-ботов, которые имитируют поведение реальных покупателей – заходят на сайт, кликают по карточкам товаров, кладут товары в корзину и переходят на страницу оплаты. Базовой сетевой защиты хостинг-провайдера может оказаться недостаточно, если такая защита вообще есть. Провайдер может расценить такое поведение просто как «наплыв покупателей». Но база данных сервера перегружается от сложных запросов и сайт «ложится».
Что нужно сделать:
- Уйти из-под базовой защиты хостинга и подключить специализированный профессиональный сервис фильтрации DDoS-трафика, способный очищать аппликативный уровень (L7).
- Если есть центр мониторинга информационной безопасности (SOC), то настройте его на подробный анализ поведения реальных шопперов и умных ИИ-ботов, чтобы предотвратить перегруз сервера.
3. Устранить критические уязвимости сайта
Многие зрелые компании ответственно подходят к безопасности и регулярно проводят тестирование на проникновение. Проблема в том, что часто этот процесс не доводят до ключевой части: команда этичных хакеров весной / летом проводит аудит, находит критические уязвимости и передает отчет со списком уязвимостей, который в итоге лежит в долгом ящике.
За считанные недели до сезона распродаж наступает идеальный и последний момент для реализации этого документа. Хакеры в это время не будут изобретать уникальные методы взлома сети, они пойдут по пути наименьшего сопротивления и ударят именно по старым, общеизвестным уязвимостям.
Что стоит сделать ИБ-команде чем скорее, тем лучше:
- Проверить, устранены ли уязвимости – особенно каждую строчку с пометкой о высоком и критическом уровне опасности. Уточнить, закрыта ли возможность проведения SQL-инъекций и заблокирован ли несанкционированный доступ к админпанели сайта?
- Провести виртуальный патчинг: если уязвимость обнаружена, а у внутренней IT-команды физически нет возможности переписать код сайта до старта распродаж, используйте возможности СЗИ. Опытные ИБ-инженеры могут настроить правила на WAF так, чтобы файрвол блокировал известные сценарии эксплуатации уязвимостей.
4. Подключить мониторинг киберугроз
Даже профессиональная защита от DDoS не гарантирует, что интернет-магазин переживет распродажу без сбоев. Злоумышленникам необязательно заваливать сайт миллионами запросов. Иногда достаточно направить небольшой поток автоматизированных обращений к самым ресурсоемким функциям: поиску товаров, проверке остатков, корзине или оформлению заказов. Внешне такая активность может практически не отличаться от поведения обычных покупателей. Однако пока реальные пользователи выбирают товары, боты создают дополнительную нагрузку на серверы и базы данных, постепенно замедляя работу сайта.
Здесь важную роль играет центр мониторинга ИБ. Задача SOC – своевременно обнаружить подозрительную активность и помочь предотвратить ее последствия до того, как сайт уже перестал отвечать. Для этого специалисты анализируют не только события информационной безопасности, но и журналы веб-серверов, WAF, API и другие доступные данные о работе интернет-магазина. Например, резкий рост количества однотипных запросов к каталогу в сочетании с увеличением времени ответа сервера может свидетельствовать об автоматизированной атаке, а не о наплыве покупателей. При обнаружении подобной активности IT-команда, используя средства защиты, может оперативно организовать ограничение подозрительного трафика, не дожидаясь полного отказа сервиса.
Что нужно сделать:
- Подключить веб-инфраструктуру к мониторингу SOC. Обеспечить сбор событий WAF, веб-серверов и API, а также доступ к основным показателям производительности сервисов. Это позволит сопоставлять подозрительную активность с изменением нагрузки на инфраструктуру.
- Подготовить сценарии реагирования на атаки. Заранее определить, какие действия можно предпринять при обнаружении аномальной активности, кто отвечает за изменение правил фильтрации и как быстро можно задействовать анти-DDoS-провайдера.
- Усилить мониторинг на период распродаж. Организовать оперативное взаимодействие SOC с IT-командой и контролировать не только попытки атак, но и возможные ложные блокировки покупателей. Ведь чрезмерно строгие правила защиты могут нанести продажам не меньший ущерб, чем сама атака.
Важно понимать, что SOC не заменяет команду эксплуатации и не решает проблемы нехватки серверных мощностей. Однако при правильной организации мониторинга проще отличить естественный рост покупательской активности от целенаправленной атаки и своевременно принять меры, пока техническая проблема не превратилась в потерянные продажи.
Выводы
Сезон больших распродаж – это вызов для информационной безопасности. Успешно защитить IT-инфраструктуру и маржинальность бизнеса в пиковый период можно за счет экстренных мер, но если подходить к вопросу серьезнее, то об отказоустойчивости систем перед следующей распродажей стоит задуматься заранее.
Также читайте:
