Меня зовут Антон, я работаю частным риелтором. Мой сайт устроен просто: список услуг, несколько объектов и кейсов, телефон и форма заявки. Никаких личных кабинетов, онлайн-оплаты и сложных функций.
При этом сайт для меня важнее, чем может показаться. Человек ищет риелтора в поиске, переходит на мой сайт, смотрит объекты, которые сейчас в продаже или читает об успешных сделках, оставляет номер и уже после этого мы созваниваемся. Значительная часть клиентов используют этот канал.
О защите сайта я раньше не думал. Мне казалось, что кибератаки касаются банков, крупных магазинов и компаний, у которых хранятся миллионы записей о клиентах.
А у меня что? Несколько страниц и форма обратной связи. Зачем кому-то тратить время именно на мой сайт?
Позже я понял, что вопрос был поставлен неправильно. Небольшие сайты часто проверяют не люди, которые заранее выбрали конкретную компанию для атаки или взлома. Это делают автоматические программы. Им все равно, кому принадлежит сайт: банку, магазину или риелтору, который работает один.
В этой статье расскажу, что заставило меня посмотреть на сайт иначе, как я заметил проблему с данными клиентов и почему защита оказалась не сложным проектом для большой компании, а обычной рабочей задачей.
Клиентам начали звонить сразу после заявки
Первым об этом сказал клиент, который оставил номер через форму на сайте. Через несколько часов ему позвонили из другой компании и предложили помощь с продажей квартиры. Я решил, что это совпадение. Контакты собственников часто попадают в разные базы, особенно если объявление размещено на нескольких площадках.
Через пару недель похожую историю рассказал другой клиент. Потом еще один. Сценарий был одинаковым: человек отправлял заявку на моем сайте, а вскоре получал звонки с посторонними предложениями.
Тогда я впервые задумался, что проблема может быть не в площадках и не в случайной утечке номера. Общим звеном был мой сайт.
Я обратился к знакомому специалисту и узнал, что через обычную форму проходят контактные данные клиентов. Даже если человек оставляет только имя и телефон, эта информация уже представляет ценность для тех, кто собирает базы или пытается перехватить обращения.
Но дальше он сказал вещь, о которой я раньше не задумывался.
Проблема может быть не только в самих персональных данных. Есть автоматические программы, которые «считывают» сайты целиком: формы, тексты, цены, описания объектов. Это называется парсинг: бот не взламывает сайт, а просто массово собирает с него доступную информацию, как с открытого источника.
И если форма не защищена, такие системы могут фиксировать не только общие данные, но и данные клиентов.
Он объяснил, что это не обязательно выглядит как взлом. Сайт может работать нормально, но при этом его содержимое и персональные данные уже кто-то автоматически собирает и складывает в базы.
Я понял, что уже столкнулся с эти в своей работе: стоило мне обновить на сайте стоимость услуг или выложить новое предложение, как через день-два у одного из конкурентов тоже обновлялся прейскурант, но на 10–20% дешевле и появлялись очень похожие на мои предложения. Причем это происходило слишком часто, чтобы быть случайностью.
До этого разговора я воспринимал сайт как витрину. Теперь стало понятно: это еще и рабочий канал, через который люди передают мне свои данные.
Значит, от его безопасности зависит не только количество заявок. Клиент оставляет номер и рассчитывает, что он попадет ко мне, а не начнет гулять по чужим базам. Если после обращения человеку звонят неизвестные компании, разбираться в причинах он, скорее всего, не станет, а пострадает моя репутация.
Специалист объяснил еще одну важную вещь. Небольшие сайты атакуют не потому, что кто-то заранее выбрал конкретного риелтора, психолога или фотографа. Автоматические программы постоянно обходят тысячи страниц и ищут типовые слабые места: устаревшие модули, незащищенные формы, ошибки в настройках.
Для такой программы нет разницы, сколько сотрудников работает в компании и какой у нее оборот. Если сайт доступен в интернете, его могут проверить на уязвимость вместе с сотнями других.
Именно тогда я перестал считать свой небольшой бизнес слишком незаметным для цифровых угроз.
Защита оказалась проще, чем я думал
После разговора со специалистом я начал искать способ защитить сайт. Сначала ожидал, что придется покупать оборудование, искать подрядчика и разбираться в сложных настройках.
Решение этой задачи оказалось проще, чем думалось.
Я давно пользуюсь связью T2. Несколько месяцев назад мне звонили и предлагали подключить антивирус Kaspersky. Тогда я поблагодарил и отказался: компьютер работал без проблем, и дополнительная защита казалась мне лишней.
Но после истории с сайтом подумал: если у T2 есть решения для защиты устройств, может быть, есть что-то и для самого сайта.
На сайте T2 я нашел услугу «Цифровая защита вашего бизнеса» и это было то, что нужно. Дальше стал разбираться с тарифами, потому что выбрать нужно было тот, который поможет решить именно мои задачи.
Их было две:
- Во-первых, не дать посторонним вмешаться в работу сайта: получить к нему доступ, изменить содержимое страниц или нарушить его работу.
- Во-вторых, снизить риск того, что автоматические программы будут собирать информацию с сайта: от контактных данных из форм обратной связи до стоимости услуг и описаний объектов.
Я подключил услугу T2 «Цифровая защита вашего бизнеса» и выбрал тариф «Продвинутый». Он стоит 180 ₽ в сутки и защищает сайт от взлома, спама и подмены контента.
Именно эти риски были для меня важнее всего.
Через форму на сайте клиенты оставляют имена и телефоны. Если злоумышленник найдет слабое место, он может изменить содержимое сайта, разместить чужие контакты или нарушить его работу. Я не мог точно утверждать, что звонки клиентам начались именно из-за взлома, но оставлять такую возможность без внимания уже не хотел.
Подмена контента раньше казалась мне чем-то из историй про крупные компании. На деле все проще. На странице могут появиться чужие контакты, фальшивая форма заявки или ссылка, которая ведет на другой ресурс. Посетитель по-прежнему видит мой адрес сайта и думает, что общается со мной.
Спам тоже создает проблемы. Автоматические программы могут отправлять через формы десятки и сотни сообщений, мешать разбирать настоящие заявки и искать слабые места в работе сайта.
Более доступные тарифы решали другие задачи:
- «Базовый» защищает от DDoS-атак, когда сайт перегружают большим количеством запросов.
- «Оптимальный» дополнительно помогает бороться со спамом и ботами.
- Максимальный тариф «Продвинутый +» включает защиту сразу от нескольких угроз и расширенную техническую поддержку 24/7. Для моего небольшого сайта такой набор пока оказался избыточным.
Подключение оказалось простым: я оставил заявку, и оператор помог с настройками подключения сервиса. Весь трафик к сайту проходит через их систему фильтрации, где автоматически отсеиваются подозрительные запросы и попытки атак. Мне не пришлось покупать оборудование или настраивать сложные решения — все работает на стороне оператора. Подключение сервиса стоит 0 ₽, а новым пользователям доступен пробный период на 14 дней.
Раньше мне казалось, что такие решения нужны только корпорациям. Теперь я отношусь к ним так же, как к замку на двери офиса: он не мешает работать, но закрывает очевидный риск.
Когда сайт уже пора защищать
После подключения я понял, что долго считал сайт обычной визиткой. На деле он давно стал частью бизнеса: приводит клиентов, принимает заявки и передает контакты людей, которые мне доверились.
Понять, пора ли защищать сайт, можно по нескольким признакам.
- Он регулярно приносит новые обращения. Через формы посетители оставляют телефоны, имена или другие данные. На рекламу уходят деньги, поэтому даже несколько потерянных заявок уже заметны.
- На сайте есть личный кабинет, онлайн-оплата или другие функции, где пользователь вводит информацию. Даже простая форма обратной связи — повод задуматься о защите, потому что через неё также передаются персональные данные пользователей.
- Что произойдет, если сайт не будет работать целый день? В моем случае часть клиентов просто уйдет к другому риелтору. Рекламный бюджет продолжит расходоваться, а заявки не придут.
- Есть ли собственный специалист по информационной безопасности? У меня нет. Значит, заметить подозрительную активность и быстро разобраться с атакой самостоятельно я вряд ли смогу.
Если хотя бы несколько пунктов совпали, сайт уже нельзя считать второстепенной страницей в интернете. Это рабочий актив, который стоит защищать так же, как офис, технику и документы клиентов.
Если бы год назад мне сказали, что я буду выбирать сервис для защиты сайта, я бы, скорее всего, только улыбнулся. Тогда мне казалось, что подобные решения нужны только крупным компаниям. Теперь я смотрю на это иначе.
Мне удалось подобрать решение без покупки оборудования, сложной настройки и отдельного специалиста по информационной безопасности.
Если у вас похожая ситуация, загляните на сайт T2. Там можно посмотреть, какие решения по защите сайта подходят небольшому бизнесу, и выбрать подходящий вариант для своих задач.
Листая дальше, вы перейдёте на t2.ru