ЦИРБИКС - Цифровые риски бизнеса

🔎 Кнопка «Заказать звонок» может создать проблемы с законом. Почему?

Представьте обычную ситуацию.

Человек заходит на сайт, нажимает «Заказать звонок». Открывается небольшое окно, где нужно указать имя и телефон.

Всё удобно. Но есть один нюанс.

🔎 Может ли человек прямо из этой формы узнать, как компания будет использовать его данные?

По закону политика обработки персональных данных должна быть доступна на страницах сайта, где эти данные собираются.

При этом размещать весь документ прямо в форме не нужно. Достаточно обеспечить удобный доступ к нему.

Например, добавить ссылку на политику рядом с кнопкой «Отправить».

⚠️ А вот если ссылка есть только внизу главной страницы, но при открытом всплывающем окне до неё невозможно добраться, это уже проблема.

🔎 Проверьте свой сайт:

• Откройте форму обратного звонка или заявки.

• Найдите ссылку на политику обработки ПДн.

• Попробуйте перейти по ней, не закрывая форму.

• Повторите проверку с телефона.

‼️ Если для поиска политики приходится закрывать форму и искать документ где-то на сайте, лучше исправить этот момент.

Закон не требует ставить ссылку строго под кнопкой. Но пользователь должен иметь возможность ознакомиться с политикой там, где собираются его данные.

📖 Основание: 152-ФЗ «О персональных данных», ст. 18.1, ч. 2

🚨 Критические уязвимости в PHP
❗Проверьте ваш сайт прямо сейчас

В 20х числах октября в интернете началась настоящая тревога.
Причина в двух критических уязвимостях PHP - технологии, на которой работают многие сайты.

Проблемы оказались настолько серьёзными, что 22 октября Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ выпустил предупреждение.

Организациям, отвечающим за критическую инфраструктуру, рекомендовали временно ограничивать доступ к уязвимым сайтам, если быстро обновить их невозможно.

⚠️ Что произошло?
В PHP обнаружили две уязвимости, которые получили название PHP2Shell.
Они могут позволить злоумышленнику при определённых условиях выполнить вредоносный код на сервере, даже не зная пароля.

‼️ Последствия могут быть очень серьёзными:
• кража данных клиентов;
• получение доступа к файлам и настройкам сайта;
• изменение содержимого страниц;
• проникновение в другие системы компании.

Причём ошибки обнаружили с помощью ИИ. И это ещё один пример того, как новые инструменты ускоряют поиск проблем, которые раньше могли оставаться незамеченными годами.

🔎 Что делать владельцам сайтов?
Прежде всего выяснить, используется ли PHP на вашем сайте и какая версия установлена.

Если PHP используется:

• уточните у разработчика или хостинг-провайдера, затрагивают ли уязвимости вашу систему;
• проверьте, установлены ли обновления безопасности от 21 октября;
• попросите проверить сервер на подозрительную активность.

Исправления уже выпущены. Но само обновление не гарантирует, что до его установки никто не успел воспользоваться уязвимостью.

❗И важный момент
Многие владельцы сайтов даже не знают, на каких технологиях работает их проект. Особенно если сайт разрабатывался несколько лет назад или за это время сменил подрядчиков.

‼️Поэтому начинать стоит с простой проверки

🔐Проверьте свой сайт бесплатно на cirbix.ru

Сервис поможет получить первичную информацию о возможных проблемах с сайтом.
Такая проверка поможет понять, есть ли повод обратиться к профильным специалистам за более подробным анализом.

📖 Источник: официальное предупреждение НКЦКИ от 22 октября 2026 года

Тестовый сайт, который пережил сам проект

Сайт запустили. Тестовый стенд выполнил свою задачу. Проект закрыли.

⚠️ Сам стенд выключить забыли.

О нём не вспоминали год или два, пока кто-то случайно не обнаружил старый поддомен.
Там всё ещё открывалась копия сайта. Со старым кодом, прежними настройками и доступами, которые выдавались разработчикам ещё во время запуска.

Это типовая ситуация. Тестовое окружение редко воспринимают как полноценную систему. Оно же временное. На нём не бывает клиентов. Через него не идут продажи.

Только для человека снаружи разницы почти нет.
• Если сайт отвечает, его можно изучать.
• Если используется старая версия ПО, можно проверить известные уязвимости.
• Если внутри осталась копия базы или рабочие настройки интеграций, последствия уже не ограничиваются тестовым стендом.

⚡️ Отдельная проблема - ответственность. Основной сайт передали на поддержку. А тестовый формально не передавали никому. Он просто остался между старым подрядчиком, новым подрядчиком и ИТ-службой заказчика.

❗️Так и появляются бесхозные системы.

После запуска проекта стоит делать довольно приземлённую вещь: составлять список всех созданных окружений и отдельно решать судьбу каждого.
Ненужное - удалить.
Нужное - закрыть от внешнего доступа и назначить ответственного.

‼️ Иначе слово «тестовый» постепенно начинает означать не назначение системы, а отсутствие контроля над ней."

Подрядчик закончил проект. Почему его доступ может остаться навсегда

1. Проект завершён.
2. Сайт работает.
3. Документы подписаны.
4. Все довольны.

Но через год случайно выясняется: у бывшего подрядчика всё ещё есть доступ к административной панели.

Классический вопрос:
Кто должен был его закрыть?
Подрядчик?
Заказчик?
Системный администратор?
Руководитель проекта?

На практике часто получается так: каждый считает, что это зона ответственности другого.
И доступ остаётся.

Опасность не только в самом подрядчике.

⚡️ Проблема в отсутствии процесса:
• кто выдаёт доступ;
• кто согласует его срок;
• кто проверяет актуальность;
• кто закрывает после завершения работ.

⚡️ Особенно опасны:
• общие учётные записи;
• доступы без владельца;
• аккаунты сотрудников, которые уже не участвуют в проекте;
• постоянные пароли, которые никогда не менялись.

❓Хороший вопрос для любой компании:
можете ли вы за один день получить список всех людей, которые имеют административный доступ к вашему сайту?

Если нет - это уже зона риска ‼️

⚠️ Одна из самых опасных иллюзий: «Наш сайт работает уже пять лет. Значит, всё нормально».

Но стабильная работа сайта говорит только об одном:
сервер отвечает на запросы.

Она не показывает:
• насколько давно обновлялось ПО;
• есть ли известные уязвимости;
• кто имеет доступ к административной части;
• какие компоненты используются внутри;
• как защищены данные пользователей.

Представьте автомобиль. Он может заводиться каждое утро. Но это не означает, что у него исправны все системы безопасности.

С сайтами происходит то же самое.

❗️ Особенно часто проблемы появляются на проектах, которые:
• запускались несколько лет назад;
• передавались между подрядчиками;
• постепенно дорабатывались;
• имеют много интеграций;
• работают без регулярного технического сопровождения.

Самый сложный момент:
чем дольше система работает без изменений, тем выше ощущение, что менять ничего не нужно.

Но в информационной безопасности отсутствие изменений иногда становится риском.

‼️ Проверять нужно не только то, что сломалось.
Проверять нужно то, что продолжает работать

❓Что можно узнать о компании за 10 минут, зная только её домен

Допустим, злоумышленник выбрал конкретную компанию. Доступа внутрь у него нет. Паролей тоже. Есть только адрес сайта.
Этого уже достаточно, чтобы начать.

🔎 По домену можно попытаться определить:
• на чём работает сайт,
• какие внешние сервисы к нему подключены,
• существуют ли поддомены
• и не остались ли в интернете старые версии проекта.

Иногда наружу торчит тестовый стенд.
Иногда - страница входа в административную часть.
Иногда сайт сам сообщает версию программного обеспечения, с которой давно пора было что-то сделать.

Ничего из этого ещё не означает, что компанию обязательно взломают. Но атакующему и не нужен готовый вход с первой минуты. Сначала он собирает зацепки и выбирает, куда давить дальше.

Особенно удобны для него системы, которыми компания давно не занимается. Основной сайт могут регулярно проверять и обновлять. А какой-нибудь test, old или dev живёт сам по себе третий год.

Поэтому мы бы начинали проверку не с вопроса «насколько хорошо защищён наш главный сайт».

❗️ Сначала надо понять другое: сколько вообще ваших систем сейчас видно из интернета и кто за каждую из них отвечает.

⚡️ У многих компаний уже на этом месте начинаются сюрпризы.

Приветствуем всех 👋🏼