Их ебали, а мы крепчали
История о том, как можно запутаться в жертвах твоего шантажа. И не очень-то шарить при этом в системах. Но быть хакером, ёпти!
Недавно приходит к нам обеспокоенный клиент. И приносит сообщение из какого-то тг-канала, где мы выставляемся в каком-то... Мягко говоря, странном свете:)
Тут вот писал наш коллега-разработчик статью, о которой даже говорится в посте наших предприимчивых хакеров. Нам очень нравится эта работа, и мы поддерживаем сайт в SEO — он у нас первый по брендовому запросу.
Но есть и второй.
Суть в том, что когда-то давно руководитель производственной компании "Интерьерно" Сергей разошёлся со своим партнёром. Партнёр почему-то решил, что ему тоже можно быть Интерьерно: бренд успешный, вкладываться в развитие не надо. Поэтому самое логичное просто всё отобрать, несмотря на то, что "партнёрство" держалось на личном бренде Сергея Интерьерно. По работе этого бренда с нашей командой тоже, кстати, консультировались. А ещё наш Сергей "Тот Самый" Интерьерно — владелец товарного знака. В общем, без судов не обходится и по сей день...
Мы обсудили сложившуюся ситуацию — письмо об утечке — с коллегами в рабочем чате, так как оказываем техническую поддержку и обеспечиваем "seo на минималке" сайту клиента.
Далее мы пошли выяснять, из какой жопы растут ноги:
Попутно с техническим исследованием, написали своим кибербезопасникам (они душки!):
И клиент даже подумал, что атака призвана подорвать и нашу агентскую репутацию! Поэтому далее мы ответим — и предложим вам оригинальную арку всего этого драматического сюжета:)
В свою очередь, уточним ряд моментов:
1. Персональные данные на сайте не хранятся. Кроме нашей почты, увы и ах, там украсть нечего. Форма заявки на сайте передаёт данные напрямую в CRM по GET‑запросу (crm.lead.add.json), включая параметры пользователя.
- сайт не сохраняет данные на своей стороне (ни в базе, ни в логах, ни в кэше))
- данные "живут" только в пределах формы: пользователь заполнил → отправил → данные исчезли.
Даже если обновить страницу или закрыть её — всё обнуляется.
Никакого локального хранения не происходит.
2. После отправки форма полностью очищается.
Мы буквально "отдаём данные и забываем о них" — никакой обработки на стороне сайта нет. Всё уходит напрямую в Битрикс) А это, при всех нюансах, сейчас действительно самая большая, мощная и развитая система из всех CMS.
3. Сервер не содержит пользовательских данных.
На сервере размещены только статические файлы и контент сайта. Ни одна сущность, связанная с персональными данными, там не хранится.
Проще говоря, сайт — это "обёртка", внутри которой нет ПДн вообще. Взламывать его ради данных просто бессмысленно: красть там нечего.
Если бы теоретически и произошла утечка, это могло бы касаться исключительно Битрикса (что крайне маловероятно, но в современных реалиях вполне себе возможно. Машем ручкой самолётам Аэрофлота и идём за валидолом в Аптеки столички, потому что Винлаб закрыт...).
Утверждать, что «данные слились с сайта», — это очевидное заблуждение. Человек, написавший подобное, не понимает базового механизма работы формы и маршрута передачи данных) Хакерам наш большой привет!
В итоге — хихихи — базу эту несчастную в отличном качестве наши кибербезопасники, собственно, спокойно нарыли по своим каналам. Дело заняло не более часа.
Расследование, кстати, в итоге действительно привело нас к тому, что мы ещё раз обновили Битрикс.
Однако следов утечек там и не было!
Потому что... Хакеры, очевидно, напали не на тот след:)
Короче, как мы прикинули, дело было так:
1) Уважаемые хакеры купили слитую базу, ну, или скачали в открытом доступе;
2) Погуглили, что есть такое "Интерьерно", поняли, что есть сильный бренд намбер уан — наш клиент — и решили, что его-то базу они и заполучили;
3) Оказалось, что промахнулись, потому что в брендовой выдаче есть ещё один сайт с конкретным названием. Да, если уж "хакеры-в-кавычках" путаются, то уж что говорить о клиентах... Но что поделать, живём в суровой конкурентной среде! Главное — быть неуязвимым, в том числе и в рамках технических систем. Чтобы твоя база не оказывалась в открытом доступе!
Ну и мы на всякий случай напоминаем, что незаконное хранение и распространение персональных данных карается законом!)
Рекомендуем вам наши маркетингово-юридические митапы:
Большой митап: принципы законоприменения в маркетинге в 2025:
💘 ЮТУБ
✅ РУТЬЮБ
Митап с юристами о маркировке рекламы и принципах работы с ОРД:
💘 ЮТУБ
Что ещё интересного посмотреть?
Подкаст Алёны «Почему у вас ж*па с маркетингом?»
💘 ЮТУБ
✅ РУТЬЮБ
Minimasneva Project Team — практики, объединённые исключительным доверием клиентов и высочайшим уровнем профессионализма, подтверждающимся кейсами и портфолио. Мы не зависим от работодателей или корпораций, потому что взяли из этого опыта самое лучшее и ушли в самостоятельное плавание. Наша реальная зависимость — крутые проекты, в которые мы вкладываемся по-полной, и измеримый рост заказчиков, которые остаются с нами на долгие годы сотрудничества.
Мы поможем реализовать любую задачу, связанную с бизнес-процессами и маркетингом полного цикла: от стратегии и консалтинга, аудита бизнес-процессов и технического совершенства до внедрения мощнейших инициатив, ребрендинга, создания сайта, трафик-менеджмента — и всё это на основе аналитики данных. С нами обучаются целые рынки и отрасли, заключаются уникальные контракты, конкуренты чувствуют свою несостоятельность, а клиенты — силу и надёжный фундамент бренда, постоянно растущего и развивающегося.