Эксперт по безопасности приложений Владимир Телепов, Swordfish Security: «Самое время перестать делать глупости»

Несколько крупных торговых сетей только за последнюю неделю подверглись хакерским атакам, которые парализовали работу на несколько часов, а иногда и дней и принесли ритейлерам серьезные убытки. И закончилась ли эта серия, остается только гадать. Очевидно, что речь идет о долгих, планомерных и множественных хакерских атаках на инфраструктуру российского бизнеса. Как правило, небольшие «подломы» происходят годами задолго до того, как случится сбой, который все заметят. Злоумышленники ищут слабые места и собирают своего рода «досье», поэтому, когда происходит масштабная атака, компании в моменте мало что могут ей противопоставить. Доступы, эксплойты и другая информация, которые сейчас эксплуатируются в атаках на сети, были собраны и подготовлены, очевидно, довольно давно. Как случилось, что это упустили?

Ритейл – одна из самых быстроразвивающихся «в цифре» отраслей, новые сервисы появляются еженедельно, и каждый игрок стремится добежать до финиша первым. В гонке за скоростью часто проседает безопасность. Во-первых, потому что она требует внутренней зрелости компании; во-вторых, банально – денег. Построение полноценной культуры информационной безопасности и РБПО могут позволить себе цифровые гиганты ритейла, тогда как средний бизнес вроде относительно небольшой сети аптек или мебельных магазинов строго экономит бюджет. До тех пор, пока не сталкивается с убытками в результате хакерских атак...

С декабря прошлого года утечки персональных данных, за которыми охотятся мастера социальной инженерии, серьезно «подорожали» для компаний. Теперь ответственность за нарушение достигает 15 миллионов рублей, а в случае повторной утечки компании будут вынуждены платить уже оборотные штрафы – до 3% годовой выручки, но не менее 20 миллионов рублей. Ритейл с этой проблемой пока сталкивается нечасто, но если в качестве примера привести банки, которые рискуют лицензией, если не соответствуют требованиям безопасности, то их системы гораздо более защищены.

Один из популярных векторов атак на ритейл – атаки через подрядчика. Будь это ПО для логистики и управления складом, мобильное приложение или бухгалтерия.

Отдельно стоит сказать о мобильных приложениях. 70% покупок в ритейле совершались через смартфоны, а установка ecom-приложений выросла на 61% – данные 2024 года. При этом сами по себе мобильные приложения – это программное обеспечение, которое работает в незащищенной среде и содержит массу возможностей для взлома. Как показало исследование платформы анализа безопасности мобильных приложений AppSec.Sting, в 2024 году 94% мобильных приложений ритейл-компаний содержали уязвимости, причем они протестировали наиболее скачиваемые из российских сторов мобильные приложения в категориях e-com и е-grocery. В ходе исследования обнаружили более 3200 уязвимостей, среди которых почти половина – более 1200 – входят в категории сritical и high, то есть могут быть потенциально опасны для пользователей и компаний-владельцев.