MAC Affiliate Conference in Armenia 30-31 мая 2024 года Подробнее

Кибербезопасность в e-commerce: как владельцам бизнеса защититься от хакеров

В 2020 году вдвое выросло количество киберпреступлений в сфере электронной коммерции, по информации Freight Waves. С каждым годом мошенники на 9,09% чаще атакуют онлайн-магазины, и процент хакерских атак только растет в связи с пандемией и активным выходом организаций в сеть. В результате страдают как предприниматели, так и потребители. Первые из-за киберпреступности теряют репутацию и доход, вторые – контроль над аккаунтами и онлайн-банкингом. Как компании распознать хакерскую атаку и защититься от преступных происков — об этом расскажем в статье.

Фото: Myriam Jessier

Экономика преступности

Компания Sift проанализировала 34 000 сайтов и приложений и выяснила, что хакерские атаки так часто бомбардируют онлайн-магазины, что впору ввести понятие «экономика преступности». В прошлом году из-за преступников коммерческие организации потеряли $1 трлн. В основном атаки осуществляются при помощи программ-вымогателей (количество таковых выросло на 40%) и вирусов, отправленных пользователям в виде прикрепленных файлов по электронной почте. Число последних сегодня на 600% больше, чем в 2019 году.

Жертвами преступников становятся организации по всему миру, которые работают в сфере логистики, криптовалюты, игр (как компьютерных, так и азартных), туристических услуг, досуга и знакомств.

Механизм киберпреступлений

Всему виной – не только новые вирусы, которыми киберпреступники атакуют сферу электронной коммерции, но и неправильное поведение пользователей:

  • отсутствие лицензионного программного обеспечения и антивирусов;
  • игнорирование обновлений — используя уязвимости системы и ПО, хакеры осуществляют взлом, поэтому нужно устанавливать официальные патчи, в которых создатель ПО устранил слабые стороны продукта;
  • использование пиратской продукции;
  • незнание схем действия киберпреступника — фишинга, кражи персональных данных, социальной инженерии;
  • пересылка паролей, имен пользователей, прочих личных сведений через социальные сети или мессенджеры — эту информацию хакеры используют для вторжения в аккаунт.

Так, 65% пользователей используют одни и те же пароли на разных маркетплейсах, не задумываясь, что если они станут жертвой утечки данных на одной платформе, под угрозой окажется вся их финансовая активность.

Фото: Roberto Cortese

В свою очередь, владельцы интернет-магазинов зачастую концентрируются на коммерческой стороне вопроса и не проводят онлайн-аудит системы, не видят смысла тестировать сайт, не мониторят уязвимости.

Киберпреступность в действии

Увлекшись коммерческой деятельностью, владельцы онлайн-магазинов часто не подозревают, что преступником может быть их сотрудник. Например, корпорация Internet Trading Technologies в Нью-Йорке пострадала из-за того, что один из работников, дабы получить прибыль, взломал сервер и в течение трех дней пытался перевести на свой счет деньги, собранные в результате сделок. Впрочем, инсайдер не слишком хорошо владел основами киберпреступности, и его быстро рассекретили, упрятав за решетку на пять лет.

Что делать

Чтобы такого не случилось, нужно заниматься пентестом — испытанием системы на проникновение. Специалисты в области кибербезопасности смогут отследить, не происходит ли утечка данных.

Но часто онлайн-преступников не удается обнаружить, особенно когда они используют продвинутое ПО. Именно так хакеры довели до отказа системы таких гигантов, как Yahoo, Amazon и eBay. Киберпреступники воспользовались мощной пропускной способностью коммуникаций, чтобы перегрузить серверы трафиком, который в итоге заблокировал работу сервисов.

Что делать

Лучший способ защититься от атаки — не допустить ее. Хотя такое тип киберпреступлений сложно отследить, есть несколько признаков, подсказывающих, на вашем сайте «хозяйничает» коварный хакер:

  • IP-адрес выдает больше запросов, чем обычно;
  • технически вы наблюдаете, что на сайте каждую секунду кто-то загружает новые страницы;
  • время от времени онлайн-платформа не работает;
  • сервер показывает ошибку в ответ на запрос.

Наличие таких признаков — повод обратиться к специалистам, которые дадут ответ, что же происходит с вашим сайтом.

Как правило, организации не знают, что стали жертвами в течение двух-четырёх недель. А, согласно отчету 2020 года о стоимости восстановления после утечки данных (IBM и Институт Понемон), в период с апреля 2019 по апрель 2020 американские организации суммарно потеряли $8 640 000.

Среди хакеров бытует мнение, что проще взломать человека, чем систему. Производители товаров, которые больше концентрируются на качестве продукта, чем на состоянии сети, сайта или сервера, обречены на взлом. Поэтому важно позаботиться о кибербезопасности — проводить аудит онлайн-платформы, обращаться к специалистам, устанавливать обновления ПО, не открывать прикрепленные файлы в сообщениях от незнакомых людей, ведь там могут содержаться вирусы.

Виды киберпреступлений

Рассмотрим подробнее основные киберпреступления в сфере электронной коммерции.

DDoS-атака

DDoS — иначе говоря, атака типа «доведение системы до отказа». Киберпреступники направляют такое количество запросов, на которое система просто не рассчитана. При этом реальные пользователи не могут зайти на сайт, либо сильно тормозится работа платформы.

В феврале 2020 года именно от этого преступления пострадала компания Amazon: трафик, с помощью которого хакеры бомбардировали гигантскую онлайн-платформу, превысил 2,3 терабайт в секунду. Хакеры взломали серверы CLDAP, и компании пришлось обратиться к специалистам по кибербезопасности, которые только через три дня смогли прекратить массированную DDoS-атаку.

Зачастую организации становятся жертвами хакерских атак в интернете из-за омниканального маркетинга. Этот подход позволяет достичь непрерывного вовлечения аудитории в воронку продаж за счет интеграции различных каналов коммуникации (веб-страницы, приложения, социальные сети). Увы, хакеры используют данный подход, чтобы перехватить сообщение, которое компании отправляют покупателям. Например, киберпреступник может замаскироваться под онлайн-магазин и отправить потребителю фишинговое письмо, в котором предложит пройти по ссылке, дабы получить 95%-ную скидку. Как вы уже догадались, вместо дисконта пользователя ждет вирус.

Как же противостоять DDoS-атакам?

  1. Проведите тюнинг серверов и баз данных.
  2. Увеличьте наибольшее число соединений, которое поступает к базе данных в одно и то же время.
  3. Чтобы сервер выдержал направленный на него трафик, установите NGINX — бесплатный веб- и почтовый прокси-сервер.
  4. Инсталлируйте запасной интерфейс, через который можно будет зайти на сервер, если основной канал окажется перегружен.
  5. Устанавливайте обновления и патчи, пользуйтесь лицензионным программным обеспечением и антивирусом.
  6. Воспользуйтесь системой анализа трафика — эта программа сообщит о начале DDoD-атаки.
  7. Защитите сетевые серверы посредством брандмауэра, чтобы доступ к ним был только у администратора.
Фото: Sigmund

Скимминг

Скимминг – еще одна разновидность киберпреступлений, распространенная в электронной коммерции. Хакер встраивает вирусный код, написанный на языке программирования JavaScript, на несколько сайтов, чтобы собрать личные и финансовые сведения о покупателях. Именно от скимминга пострадал британский розничный магазин – производитель женской спортивной одежды Sweaty Betty. Хакер получил несанкционированный доступ к страницам сайта, где проходило подтверждение заказа и транзакции, и ввел вредоносный код. В результате в руках мошенника оказались логины, пароли, адреса, email, контакты клиентов, а также номера их платежных карт, включая CVV, что само по себе располагает к снятию средств.

Как защититься от скимминга?
  1. Если вы создали интернет-магазин на базе бесплатных шаблонов WordPress, установите плагины безопасности, такие как Sucuri.
  2. Не забудьте поставить на сайт брандмауэр, установите двухфакторную аутентификацию.
  3. Используйте надежный, уникальный, рандомный пароль, который состоит из 10 знаков и, кроме букв, содержит цифры и символы.
  4. Обновляйте плагины — так вы будете уверены, что в патчах присутствует защита от уязвимостей.

Межсайтовый скриптинг

Его еще называют XSS-атакой. Это не менее серьезная угроза в сфере e-commerce. Хакер вводит вирусный код на страницу сайта, как правило, созданный на основе JavaScript. Браузер не распознает этот код как вредоносный, а выполняет его, как и любой другой регулярный скрипт. В итоге данный крипт получает доступ к информации cookie сессии конечного пользователя. А хакер таким образом подбирается к конфиденциальной информации и использует компьютер жертвы для установления вирусного ПО и рассылки фишинговых писем. По сути, XSS-атаки влияют не на прямой доход производителя товаров, а на сохранность клиентской базы данных. Когда потребители узнают, что стали жертвами XSS из-за халатности интернет-магазина, они склонны разрывать отношения с брендом.

Как избежать межсайтового скриптинга?
  1. Ваше веб-или мобильное приложение должно отфильтровывать все входящие данные, чтобы убедиться, к какой информации пользователи получают доступ.
  2. Любые переменные данные на страницы необходимо зашифровать кодом, прежде чем эти сведения будут перенаправлены к пользователю.
  3. Удаляйте нежелательные данные, например, HTML-тэги считаются небезопасными, и их лучше убрать с сайта.

Хакер не пройдет: что делать владельцам сайтов

Хакерские атаки в сфере электронной коммерции напоминают борьбу — кто кого. Антивирусы и другие средства кибербезопасности могут выдержать удар преступника, а могут «сломаться». Тем не менее постоянный мониторинг подозрительной активности на сайте и работа IT-отдела позволяет защититься от хакерской деятельности. Итак, какие меры необходимо предпринимать каждому, кто занимается онлайн-бизнесом?

  • Во-первых, стоит проводить непрерывный мониторинг уязвимостей на сайте. Этим занимаются специалисты в области пентеста (испытания система на возможность вторжения и взлома).
  • Во-вторых, множество атак происходит по причине того, что на подготовительном этапе их просто не распознают. Например, владелец интернет-магазина думает, что у него неполадки с соединением либо стоит почистить cookies, в то время как хакер собирается осуществить DDoS-атаку на его ресурс.
  • В-третьих, важно доносить до сотрудников фирмы, что нельзя открывать ссылки в письмах от незнакомых пользователей, а также скачивать прикрепленные файлы. Именно так на компьютеры заходят вирусы.
  • Нельзя проводить транзакции, да и просто сообщать финансовую информацию в мессенджерах, подключившись к общественному Wi-Fi соединению.
  • Наконец, необходимо отслеживать тенденции в мире киберпреступности, дабы иметь представление о том, чего можно ждать. Например, на сегодня очень популярны программы-вымогатели (Ransomware) - зловредное ПО, которое сначала блокирует доступ к сайту, а затем требует денег за восстановление данных. Знания о таких вещах позволяют установить оборудование, которое способно обезвредить хакеров.

Вывод

Обычно хакеры нацеливаются на интернет-магазины в двух случаях:

  • чтобы перевести на свой счет средства пользователей, перечисленные как платеж за товар;
  • чтобы украсть клиентскую базу данных и воспользоваться персональной информацией пользователя (логинами/паролями, аккаунтами) для рассылки вредоносного ПО другим юзерам.

В первом случае и компания, и клиенты теряют деньги, во втором речь идет о краже цифровой личности. Если вы занимаетесь бизнесом самостоятельно, вам необходимо обращаться к специалистам по кибербезопасности, которые проведут мониторинг системы, определят ее слабые места и напишут план укрепления уязвимостей. Если в вашей компании работают и другие сотрудники, нужно прививать культуру информационной безопасности — рассказывать о типах киберпреступлений, объяснять, почему нельзя, например, проводить платежи, подключившись к публичному Wi-Fi соединению.

Автор статьи: Анастасия Шкуро, журналист, популяризатор идей кибербезопасности в СМИ

Продвигайтесь в Семантике

– Только качественный трафик
– Понятная отчетность о работе и о планах работ
– Полная прозрачность работ