Взлом сайта на Битриксе редко начинается с ошибки владельца. Вы ничего не меняли, подрядчик тоже, а покупатели пишут, что с вашего сайта их перекидывает на чужие страницы, и хостинг жалуется на нагрузку. Причина обычно в чужом коде, который когда-то подключили и забыли. Это шаблон, модуль, счётчик, онлайн-чат или виджет отзывов. Отвечать перед покупателями при этом будете вы.
Как это случилось с сайтами на шаблонах Аспро
Аспро входит в число самых популярных разработчиков готовых решений для 1С-Битрикс. Магазин на таком шаблоне запускается за пару недель, сразу с каталогом, корзиной и фильтрами. Обновления приходят, пока действует лицензия. Многие её не продлевают, ведь сайт и так работает.
Разработчик нашёл уязвимости в своих решениях и закрыл их в обновлениях летом 2023 года, подробности намеренно не раскрывал. Сайты, которые с тех пор не обновлялись, остались открытыми. Осенью 2024 года в поддержку Аспро пошла волна обращений о взломах, и 6 февраля 2025 года компания опубликовала официальное обращение к владельцам сайтов. По словам Аспро, страдают проекты на старых версиях и сайты, перенесённые на новые решения с ошибками. 1С-Битрикс тоже предупредил клиентов о росте атак на такие сайты и о том, что активность злоумышленников усилилась повторно.
Через уязвимость шаблона на сервер попадает вредоносный код. Дальше злоумышленник оставляет себе скрытый вход, подменяет содержимое страниц, показывает чужие баннеры, рассылает письма от имени сайта или запускает на вашем сервере майнер криптовалюты. Владелец узнаёт об этом от покупателей или из письма хостинга.
Лицензия закончилась, риск остался
Шаблон без действующей лицензии продолжает работать, но перестаёт получать исправления. Каждая найденная в нём уязвимость остаётся на вашем сайте, пока его кто-то не обновит.
Сайт собран из чужих частей
Сайт небольшого интернет-магазина почти всегда состоит из компонентов разных разработчиков. Обычно в нём есть такие части.
- платформа и её модули
- шаблон от отдельной студии
- счётчики и пиксели рекламных систем
- онлайн-чат, форма обратного звонка, виджет отзывов
- платёжная форма и скрипты служб доставки
Каждый компонент обновляет кто-то другой, со своим графиком и своими ошибками. Безопасность интернет-магазина определяется самым слабым из них. Покупатель не отличает ваш код от чужого. Если на странице оформления заказа появилось поддельное окно, для него это ваш сайт.
Два случая 2026 года хорошо показывают масштаб. 14 мая 2026 года исследователи Zscaler заметили вредоносный код в виджете отзывов Okendo, которым пользуются более 18 000 брендов (отчёт Zscaler). Код виджета загружается с серверов разработчика, поэтому владельцы магазинов у себя ничего не меняли. Скрипт запускался в браузерах посетителей и подгружал следующие этапы атаки. Цепочки этой группировки обычно заканчиваются поддельной проверкой «я не робот», которая просит человека вставить команду в системное окно Windows и так заражает его компьютер.
В конце июня 2026 года у пользователей платформы прогнозов Polymarket вывели около 3 млн долларов. Злоумышленники взломали стороннего поставщика и через подключённый к сайту компонент внедрили вредоносный скрипт (BleepingComputer). Серверы самой платформы не пострадали. Пользователи подписывали поддельные транзакции прямо на её сайте.
Как распознать взлом сайта на Битриксе
Взломанный сайт редко падает. Чаще он работает как обычно, а злоумышленник зарабатывает на нём тихо. Обратите внимание на следующие признаки.
- сайт перенаправляет на другие страницы, особенно при переходе из поиска или с телефона
- на страницах появились чужие баннеры, ссылки или текст, которого вы не писали
- хостинг сообщает о высокой нагрузке на процессор без роста посещаемости
- в каталогах сайта появляются незнакомые файлы, которые возвращаются после удаления
- поисковик или браузер помечает сайт как опасный
- с вашего домена уходят письма, которые вы не отправляли
- в административной панели появились новые пользователи
Перенаправление часто срабатывает не для всех. Владелец открывает сайт по закладке и видит нормальную главную, а покупатель из поиска попадает на казино. Поэтому жалобу клиента стоит проверить с другого устройства и через поиск, а не отвечать, что у вас всё работает.
Если признаки есть, ручное удаление подозрительных файлов обычно не помогает. Пока уязвимость открыта, они появляются снова. Сначала закрывают вход, потом чистят и восстанавливают. Порядок действий описан в статье о том, что делать, если взломали сервер.
Что сделать без бюджета
Первые шаги не требуют денег, только нескольких часов работы подрядчика, который делал сайт, или вашего айтишника.
- Составьте список чужого кода. Попросите выписать всё, что подключено к сайту, то есть шаблон и его версию, модули, счётчики, чаты, виджеты и внешние скрипты. Для каждого пункта укажите разработчика, дату последнего обновления и человека, который за него отвечает.
- Удалите лишнее. Счётчик от прошлого маркетолога, чат, который никто не читает, виджет акции трёхлетней давности. Каждый лишний скрипт добавляет ещё одного поставщика, которому вы доверяете своих покупателей.
- Проверьте лицензии и обновления. Если лицензия на шаблон истекла, сравните стоимость продления с выручкой магазина за один день простоя. Обновите ядро Битрикса, шаблон и модули. Для решений Аспро разработчик выпустил патчер, но сам называет его латанием дыр, а не заменой обновлений.
- Наведите порядок в доступах. Отдельная учётная запись для каждого подрядчика, сложные пароли, второй фактор для администраторов. Доступы бывших сотрудников и агентств удалите.
- Сделайте резервную копию сайта и базы. Храните её отдельно от хостинга, чтобы после заражения было из чего восстановиться.
Ответственность остаётся на вас
Если через чужой скрипт утекут данные покупателей, отвечать будет владелец сайта. При утечке данных от 1 000 до 10 000 человек штраф для компании составит от 3 до 5 млн ₽, подробнее в статье о штрафах за утечку персональных данных.
Непрерывный контроль периметра
Список чужого кода устаревает в тот день, когда его составили. Подрядчик подключает новый виджет, разработчик шаблона выпускает исправление, в популярном модуле находят уязвимость. Злоумышленники проверяют сайты автоматически и массово. По данным Positive Technologies, 31% успешных атак на организации начинается с эксплуатации уязвимостей (исследование Positive Technologies). Проверка раз в год показывает состояние сайта на один день из 365.
Поэтому всё, что смотрит в интернет, нужно контролировать постоянно. Кибер.Радар непрерывно проверяет ваши сайты и сервисы, доступные снаружи, и сообщает о найденных уязвимостях. SMART-помощник к каждой находке даёт инструкцию по устранению, которую можно сразу передать подрядчику. Стоимость 25 000 ₽ в месяц. Как выстроить такой процесс внутри компании, мы разобрали в статье об управлении уязвимостями.
Если в компании нет своего ИТ и сайт поддерживает внешняя студия, проще взять безопасность целиком. Кибер.Дозор включает контроль периметра, облачные копии и до трёх агентов на ключевых машинах за 24 900 ₽ в месяц.
Чужой код на вашем сайте никуда не денется. Магазину нужны оплата, отзывы и аналитика. Но вы можете знать, что именно подключено, убирать лишнее и узнавать о проблеме раньше покупателей.