Я поставил ловушку на свой сайт — и перестал верить в «да кому я нужен»

Есть фраза, которую я слышу от каждого второго владельца бизнеса, когда речь заходит про безопасность сайта: «Да кому я нужен». Маленькая компания, три страницы, десяток заказов в месяц — кому интересно её ломать? Логично же. Я и сам так думал когда-то.

А потом мы поставили на свой корпоративный сайт ловушку и девятнадцать дней просто смотрели, кто в неё придёт.

Что за ловушка

Идея простая до неприличия. Разбрасываешь по сайту фальшивые двери — адреса, которых там быть не должно и по которым нормальный человек не пойдёт. Страница входа в чужую CMS. Файл с паролями. Дамп базы в корне. Каждая такая дверь ведёт не внутрь, а в отдельный лог: кто постучал, когда, откуда. Живому посетителю там делать нечего. Значит, всё, что прилетает, — это не люди.

За девятнадцать дней прилетело 595 обращений с 97 разных адресов. Если растянуть на месяц — под девятьсот, хотя точная цифра тут и не важна. Важно, что поток не прекращался ни на сутки. Маленький сайт, который «никому не нужен», методично обшаривали круглые сутки.

Почему «кому я нужен» — это ловушка мышления

Вот что до меня наконец дошло, когда я смотрел на этот лог.

Вас никто не выбирал. Серьёзно. Ни один человек не сидел и не думал: «а взломаю-ка я сайт вон той компании». Всё устроено скучнее и страшнее. По интернету едет конвейер из ботов — адрес за адресом, подряд, весь диапазон, — и на каждом сайте пробует один и тот же список стандартных дыр. Вы не цель. Вы просто следующая строка в списке.

И поэтому «кому я нужен» не работает вообще. Боту всё равно, кто вы, чем торгуете и сколько у вас посетителей. Ему нужно не вы — ему нужна незакрытая дверь. Одна на весь сайт. И если она есть, размер вашего бизнеса не спасёт, а наоборот: у маленьких как раз чаще забытый дамп в корне и админка с паролем admin.

Что меня зацепило в логе

Не буду пересказывать всю статистику — за этим ниже дам ссылку на полный разбор. Но пара вещей задела.

Первое: треть всех визитов — охота за бэкапами. Боты перебирали все ходовые имена дампов, вплоть до русского архив.sql (кто-то не поленился научить скрипт нашим привычкам). А ведь один дамп базы, забытый в открытой папке, — это не «уязвимость», это уже готовая утечка. Скачивается по прямой ссылке, без всякого взлома.

Второе: боты искали не пароли, а ключи. Разница принципиальная, и я раньше её недооценивал. Пароль надо подобрать — это долго и шумно. А ключ (тот же файл .env с доступами к базе) вы иногда выкладываете наружу сами, по недосмотру. Его не подбирают. Его просто поднимают с земли и заходят.

И третье, почти смешное: треть ударов пришлась на WordPress, которого у нас нет и никогда не было. Боту неинтересно, какой у вас движок. Он бьёт веером по всем сразу — вдруг где-то откликнется.

Чего я теперь боюсь по-настоящему

Пока боты стучат в закрытые двери — это просто фон, белый шум интернета. Страшно становится в ту секунду, когда одна дверь оказалась открыта. Дальше сценарии невесёлые: сайт подменили и клиенты видят чужой баннер; всё зашифровали и просят выкуп; сервер тихо майнит на чужого дядю; клиентская база уехала — а это уже штрафы по 152-ФЗ и реестр нарушителей.

И самое неприятное — узнаёшь ты об этом обычно не из умной системы мониторинга, а из требования выкупа или звонка злого клиента. Когда чинить уже долго и дорого.

Короткий вывод

Я не пытаюсь никого напугать до паралича. Сканирование не убрать — это фон, он идёт на любой сайт, и это нормально. Ненормально — оставлять для него открытую дверь. Уберите дампы из веб-доступа, закройте служебные файлы, гляньте хоть раз в логи. Это не про дорогие средства защиты, это про элементарную гигиену.

А «да кому я нужен» я с тех пор не говорю. Проверено ловушкой: нужен всем. Точнее — не вы, а ваша незакрытая дверь.

Что из этого следует практически: закрыть базовую гигиену и понять, какие обязанности закон вешает на вас как на владельца данных. Разобрал это в статьях про защиту персональных данных и аудит сайта на 152-ФЗ.

Полный технический разбор этого эксперимента — с разбивкой всех 595 обращений по целям, таблицей реальных штрафов по 152-ФЗ и чеклистом «что закрыть сегодня» — мы выложили в блоге компании: Что боты ищут на корпоративном сайте →