Количество кибератак растет

С начала года отмечается рост числа кибератак на российские организации с использованием вредоносных скриптов, внедряемых в популярные веб-приложения. Злоумышленники эксплуатируют уязвимости сайтов для получения доступа к пользовательским данным, что может привести к масштабным утечкам. С конца мая за такие инциденты бизнесу будут грозить высокие штрафы.

В первом квартале 2025 года из 270 млн зафиксированных атак на веб-приложения крупных компаний 40%  пришлось на межсайтовый скриптинг (XSS). Это на 10 процентных пунктов больше, чем за аналогичный период прошлого года.

XSS (Cross-Site Scripting) — это метод кибератаки, при котором злоумышленник внедряет вредоносный код (чаще всего JavaScript) в уязвимый сайт, веб-приложение или API (позволяет получать информацию с сайта в обход пользовательского интерфейса). Когда пользователь заходит на зараженную страницу, скрипт автоматически выполняется в его браузере, что может привести к краже данных. Чаще всего атакам подвергаются сайты интернет-магазинов, авиакомпаний и транспортных сервисов, поскольку там высока вероятность хищения банковских данных.

Помимо кражи данных, XSS может применяться для криптоджекинга (несанкционированного майнинга криптовалюты), а также компрометации сайтов и размещения чужого контента.

Большинство экспертов сходятся во мнении, что полностью искоренить XSS-атаки невозможно. По их словам, это связано с человеческим фактором при разработке, сложностью защиты и использованием злоумышленниками искусственного интеллекта для усовершенствования атак. Современные фреймворки и браузеры внедряют защитные механизмы, снижающие риски. Однако из-за ошибок пользователей и разработчиков уязвимости будут возникать снова.

Напомним, 30 мая вступают в силу поправки к закону 152-ФЗ, в соответствии с которыми за первую утечку персональных данных компании грозит штраф до 15 млн рублей, а при повторном нарушении — до 3% от оборота (но не более 500 млн рублей).