Взломали сайт — что делать: пошаговый план и защита от ИИ-атак

Я основатель КиберОснова и 12 лет в информационной безопасности. Защищаю бизнес от подобных атак каждый день, а не пишу про них с дивана. Объясню на языке денег и сроков: что грозит, сколько стоит, как закрыться, — без запугивания и жаргона.

Один хакер, пять недель, 600 устройств

Один человек. Пять недель. Больше 600 взломанных корпоративных межсетевых экранов (FortiGate) в 55 странах. Не команда, не годы подготовки: один хакер, который подключил к делу обычные, доступные любому нейросети. Это не сюжет сериала, а сводка начала 2026 года.

Ещё пару лет назад такое было невозможно. А теперь это новая норма, и важно понять, что именно изменилось.

Почему раньше было не так страшно

Раньше взлом сайта был занятием дорогим. Нужен был специалист, время и написанный под конкретную цель код. При таком раскладе малый бизнес никто не трогал: возни много, добычи мало. Хакеры ловили крупную рыбу, где окупались усилия.

Поэтому у владельца небольшого сайта годами работал успокаивающий аргумент: «да кому мой сайт вообще нужен». И он был отчасти справедлив.

Что изменил ИИ

ИИ убрал этот аргумент. Теперь не нужно быть хакером, нужно уметь поставить задачу. Нейросеть сама прочёсывает сайты пачками, находит дыры, пишет фишинговые письма без единой ошибки на чистом русском и подбирает пароли. Взлом превратился в конвейер.

А конвейеру всё равно, кто вы: салон красоты, автосервис или магазин запчастей. Он не выбирает жертву, он перемалывает всех подряд. Есть сайт — вы уже в очереди.

В ноябре 2025 года случилось то, чего в отрасли ждали: первая атака, которую ИИ провёл почти самостоятельно. Злоумышленники поставили задачу ИИ-агенту, и тот сам отработал около 30 крупных компаний, банков и госорганов. По данным Anthropic — компании, которая выпустила этот ИИ, — до 90% действий шли без человека: людям оставалось иногда нажимать «продолжай». Ту атаку, к слову, заметил и остановил сам разработчик. Но порог уже перейдён: машина показала, что умеет вести взлом конвейером и почти без оператора.

Что ищут на сайте вашей компании

ИИ-атака не охотится за вами лично. Она собирает лёгкую добычу. Вот что для неё лёгкая добыча.

• Старая CMS и плагины. WordPress, который не обновляли три года, похож на дачу с навесным замком из 90-х: открывается за минуту. В старых версиях известны все дыры, и нейросеть проверяет их первым делом.
• Дыра в форме заявки. Через плохо сделанную форму обратной связи можно влезть в базу данных. А в базе лежат телефоны и адреса ваших клиентов.
• Слабые пароли к хостингу и админке. Пара admin / 123456 подбирается мгновенно. С паролем от хостинга чужой человек получает ваш сайт целиком.
• Данные клиентов. Если вы храните заказы, личные кабинеты и контакты, это готовый товар. Его либо продадут, либо зашифруют и попросят выкуп.

5 сценариев после взлома

Самое неприятное: чаще всего взлом тихий. Сайт работает, продажи идут, а внутри уже сидит чужой. Пять типичных сценариев.

SEO-заражение. На страницы подсаживают спам: рекламу казино, «японские иероглифы», ссылки на чужие сайты. Видят это не люди, а поисковик. Яндекс и Google решают, что вы спам-ресурс, и выкидывают из выдачи. Был случай: компания в Туле не замечала заражение три месяца, пока не обвалился трафик. Вернуться в поиск удалось только через полгода.

Кража данных клиентов. Утекла база с телефонами и адресами, и вы попадаете под 152-ФЗ. Первичный штраф за утечку для юрлица сейчас от 3 до 15 миллионов рублей (закон в силе с 30 мая 2025 года). Если хотите проверить, как ваш сайт защищён прямо сейчас, начните с автоматического аудита на 152-ФЗ. Как собрать согласие на обработку данных и не отдать базу дёшево, разобрал в отдельной статье про согласие на ПДн.

Шифровальщик. Всё на сайте и сервере шифруется, на экране требование выкупа. Для малого бизнеса это обычно от полумиллиона до нескольких миллионов рублей плюс простой, пока всё лежит.

Фишинг на вашем домене. На взломанном сайте поднимают поддельные страницы оплаты или входа в личный кабинет. Клиент видит ваш привычный адрес, вводит данные карты и теряет деньги, а домен за это блокирует Роскомнадзор. Репутацию потом отмывать дольше, чем возвращать деньги.

Тихий редирект. Часть посетителей незаметно уводят на сайт конкурента или мошенников. В метрике трафик есть, а заявок всё меньше, и вы списываете это на «несезон». Прямая потеря продаж, которую месяцами не с чем связать.

Что делать, если сайт уже взломали

Первые часы после взлома — самые важные. Не паникуйте и не удаляйте всё подряд: это уничтожает следы для разбора. Вот план.

1. Снимите сайт с публикации или закройте заглушкой. Пока взломанный сайт онлайн, атака продолжается. Хостер даёт эту опцию в один клик.
2. Восстановитесь из чистого бэкапа. Датированный бэкап до взлома — единственный надёжный путь. Если бэкапов нет — нужен специалист для ручной очистки файлов и базы.
3. Смените все пароли и включите двухфакторку. Хостинг, CMS, почта — всё сразу. Иначе зайдут через ту же дверь снова.
4. Проверьте, утекли ли данные клиентов. Посмотрите логи базы данных и доступы. Если утечка есть или вы не можете её исключить — немедленно уведомите РКН.
5. Уведомите Роскомнадзор, если утекли персональные данные. По 152-ФЗ (ч. 3.1 ст. 21) у вас есть 24 часа на первичное уведомление, 72 часа — на результаты расследования. Штраф за молчание дороже, чем штраф за взлом.

Бэкапов нет, данные клиентов под угрозой — подключите специалиста сразу: каждый час промедления увеличивает ущерб. В КиберОснова разбираем такие ситуации.

Почему пароль и антивирус уже мало

Частое возражение: «у меня сложный пароль и стоит антивирус, я защищён». Антивирус на вашем ноутбуке к сайту отношения не имеет: сайт живёт на чужом сервере, и программа на вашем компьютере его не охраняет. А один сложный пароль закрывает ровно одну дверь из нескольких.

ИИ-атака ломится во все двери сразу: в плагины, в форму заявки, в панель хостинга, в забытый тестовый поддомен, который вы поднимали два года назад и не закрыли. Поэтому защита — это не одна мера, а несколько простых, которые перекрывают друг друга. Ни одна из них не стоит дорого, но вместе они отсекают почти весь конвейер.

Как защититься без ИБ-отдела

Хорошая новость: большую часть автоматических атак отсекает базовая гигиена. Не нужен отдел и дорогая платформа. Нужен вечер, Яндекс.Вебмастер и Cloudflare — оба бесплатны.

С чего начать: понять текущее состояние сайта. Базовую самопроверку дал в статье про аудит сайта на 152-ФЗ — это первый шаг, и займёт 20 минут. Другие разборы в том же духе — в блоге. А дальше по списку.

• Обновите CMS и все плагины. Сегодня, не «на следующей неделе». Это закрывает большинство известных дыр.
• Включите двухфакторный вход на хостинг и в админку. Десять минут работы, и пароль перестаёт быть единственной дверью.
• Настройте ежедневные бэкапы на отдельный аккаунт. Чтобы после шифровальщика просто откатиться назад, а не платить выкуп.
• Поставьте бесплатный антибот-фильтр. Cloudflare или российский аналог отсекают ботов раньше, чем они дойдут до сайта.
• Подключите мониторинг доступности. Бесплатный сервис пришлёт письмо, если сайт лёг или повёл себя странно.
• Раз в неделю заглядывайте в раздел «Безопасность» в Яндекс.Вебмастере и Google Search Console. Там заражение видно раньше, чем его заметят клиенты.

Сколько это стоит в обе стороны

Защита: от 0 до 5 000 ₽/месяц + вечер настройки.

Взлом — другая арифметика:

• Штраф за утечку данных: 3–15 млн ₽ (первый раз)
• Выкуп шифровальщику: 500 тыс. — несколько миллионов рублей
• Возврат в поиск после SEO-заражения: 3–6 месяцев
• Потеря выручки интернет-магазина за простой: счёт в рабочих неделях

Раньше можно было отмахнуться: «да кому мой сайт нужен». ИИ убрал этот аргумент. Вашему сайту лично никто не угрожает, его просто перемалывает конвейер вместе с тысячами других. И вопрос давно не «если», а «когда». Хорошо, что закрыться от большей части этого конвейера дешевле, чем один поход к юристу. Это и есть светлая сторона: не пугать, а показать, что защита по карману любому.

Что боты ищут на обычном сайте, я проверил экспериментом: поставил ловушки и 19 дней смотрел, кто придёт.

Технические меры из чек-листа выше — это часть того, что закон называет защитой персональных данных. Что ещё обязательно, а за что не стоит переплачивать, разобрал в статье про защиту персональных данных.

Частые вопросы