2026 бьёт рекорды
Если кажется, что новости о крупных взломах приходят каждые несколько дней, вам не кажется. Год ещё не закончился, а по нескольким главным показателям он уже худший за всю историю наблюдений:
2026 в цифрах, на начало ноября
Источники: база уязвимостей NVD (подсчёт на 5.11.2026); ransomware.live (6.11.2026); глава Национального киберуправления Йоси Каради в интервью Die Welt, по TNW (29.6.2026); Check Point Research (8.10.2026).
WordPress не отстаёт: с начала 2026 года опубликовано около 6 200 уязвимостей, в описании которых упоминается WordPress. За тот же период 2025 года их было около 3 500.
И страдают не только крупные компании:
- В мае 2026 года учебная платформа Canvas упала посреди экзаменов после взлома, а её страницы входа изуродовали.
- В июне 2026 года один забытый доступ, оставшийся с 2022 года у разработчика программ Klue, открыл злоумышленникам путь почти к 200 его клиентам.
Почему именно ваш сайт
Никто не сидит за компьютером и не решает взломать именно сайт клиники в Реховоте или ремонтной компании из Шарона. Сайты малого бизнеса почти всегда взламывают программы, которые круглые сутки сканируют весь интернет и ищут одно: плагин, тему или код с известной уязвимостью. Нашли — заходят. Название вашей компании им неинтересно.
В 2025 году около 40% всего интернет-трафика составляли вредоносные боты, то есть именно такие программы. А в WordPress, на котором сделаны сайты огромного числа компаний, цифры такие:
WordPress в 2025 году, коротко
Источники: Patchstack, State of WordPress Security in 2026; Thales Imperva, Bad Bot Report 2026.
На практике это значит: обновления важны, но их мало. Плагин, который разработчик перестал поддерживать, код, который вам написали пять лет назад, или форма, которая принимает файлы и не проверяет, что это, ни на одном экране обновлений не появятся.
Что происходит в день взлома
Что случилось со мной
Когда-то у меня был большой блог с миллионами просмотров. Хакер взломал его и подменил вредоносным сайтом. Блог пропал, а вместе с ним вся работа, которую я вложил в него и в его продвижение в Google.
Один взлом может стереть годы работы. И взломанный сайт не всегда возвращается на прежний уровень, даже после очистки.
Чаще всего владелец бизнеса не узнаёт об этом сам. Клиент присылает скриншот, или заявки с сайта просто перестают приходить. Вот что происходит чаще всего:
- Посетителей перенаправляют на другой сайт. По отчёту GoDaddy и Sucuri за 2024 год, на 74,7% заражённых сайтов нашли вредоносный код, и обычно он уводит посетителей на другой сайт.
- На сайте появляются страницы, которых вы не писали. Спам-страницы на иностранных языках, сделанные для Google, а не для вас. Так было на 38,4% заражённых сайтов.
- Google предупреждает о сайте. В результатах поиска появляется надпись «Этот сайт может быть взломан», а в Chrome красный экран показывается ещё до загрузки сайта. После очистки нужно попросить Google о повторной проверке, и она занимает от нескольких дней до нескольких недель.
- Страдает продвижение в Google. Кто видит в поиске предупреждение о взломе, на сайт не заходит, а спам-страницы, которые добавил злоумышленник, конкурируют с вашими настоящими. Позиции, которые вы строили годами, могут исчезнуть за несколько дней и не всегда возвращаются.
- Утекают данные клиентов. Каждая форма на сайте сохраняет имя, телефон, а иногда и больше. С августа 2025 года, после поправки 13 к закону о защите частной жизни, Управление по защите частной жизни может штрафовать бизнес, который не уберёг эти данные. И обязанность сообщать об инциденте безопасности уже применяют на деле: в июле 2026 года больничная касса получила штраф 256 000 ₪ за то, что сообщила с опозданием.
Что происходит в Израиле
У израильских сайтов есть ещё одна причина стать мишенью: они политическая цель, а не только экономическая. Три случая, которые это показывают:
Три взлома, которые ударили по бизнесу в Израиле
- Больше тысячи сайтов за один разЗлоумышленники использовали уязвимость в плагине WordPress у израильской хостинг-компании и заменили главную страницу на сайтах муниципалитетов, ресторанов и некоммерческих организаций антиизраильским посланием
- Взломали хостинг-компанию, и сайты её клиентов упали вместе с нейГруппа Black Shadow взломала Cyberserve. Упали сайты автобусных компаний и музея, а из базы одного из клиентов утекли данные. В Национальном киберуправлении сказали, что несколько раз предупреждали компанию
- Стёрты данные более 50 малых компанийЗа несколько недель. По словам главы Национального киберуправления, у большинства из них уже были известные слабые места в защите, а хорошо защищённые компании не пострадали
Источники: Security Affairs и Radware (2020); Times of Israel и Ynet (2021); Bloomberg через Insurance Journal (2026).
Два вывода. Первый: самые крупные взломы здесь не были направлены на конкретный бизнес, а зашли через один плагин или одну хостинг-компанию. Второй: компании, пострадавшие в 2026 году, упали не из-за особо изощрённой атаки, а из-за слабых мест, которые там уже были.
ИИ изменил скорость
Ещё недавно, чтобы найти новую уязвимость, нужны были эксперт и время. Сегодня это уже не так:
- В мае 2026 года Google впервые сообщила о злоумышленниках, которые использовали никому не известную уязвимость, по оценке созданную с помощью ИИ. Она обходила код подтверждения, который приходит на телефон, в популярной программе для управления сайтами, и преступные группы планировали использовать её массово.
- По отчёту Verizon за 2026 год, использование уязвимостей в программах стало самым частым началом взлома, 31%, и обогнало украденные пароли.
Та же технология работает и в обратную сторону. Если злоумышленники могут запустить ИИ, который ищет дыры в коде, можно запустить ИИ, который найдёт их первым. Этим я и занимаюсь.
Что я делаю
Я получаю доступ к коду сайта, и по нему проходит система агентов Platin Digital. ИИ-агент — это программа, которая понимает код и читает его как программист, только не устаёт. Вместо одного агента, который читает всё, работает целая команда, и у каждого агента своя задача:
Как агенты работают с вашим сайтом
- Карта сайтаПервые агенты составляют карту сайта: где заходят посетители, куда они отправляют данные, кто чем может управлять и какие плагины и библиотеки кода использует сайт
- ПоискКаждый агент получает один участок карты и прослеживает в коде всё, что туда попадает, до места, где это сохраняется или запускается. Агенты работают параллельно
- Повторная проверкаКаждая находка уходит другому агенту, который её не находил, и его задача — попытаться её опровергнуть. Только то, что выдержало проверку, попадает в отчёт как подтверждённая находка
- ОтчётЯ просматриваю результаты и присылаю вам понятный отчёт с предложенным исправлением для каждой проблемы
Что проверяют агенты:
- Вход и права. Кто может зайти в админку и можно ли обойти пароль или получить больше прав, чем положено.
- Всё, что отправляют посетители. Формы, загрузка файлов, поиск по сайту, комментарии. Через это проходит большинство взломов снаружи.
- Чужие плагины и библиотеки кода. Каждый плагин — это код, который написал кто-то другой, и он работает на вашем сайте с теми же правами.
- Разделение данных клиентов. Может ли один клиент увидеть заказ, файл или данные другого.
- Чат-бот или ИИ-инструмент на сайте, если есть. Можно ли заставить его раскрыть данные или сделать то, чего он делать не должен.
Две важные вещи. Агенты читают код, а не атакуют сайт. Живой сайт работает как обычно, и никто не отправляет на него попытки взлома. И раз проверка идёт по самому коду, она находит то, чего не видит сканирование снаружи: форму, которая проверяет файл только в браузере, а не на сервере, или страницу админки, которая проверяет, что вы вошли, но не проверяет, можно ли вам туда.
Как выглядит отчёт
Отчёт не заваливает вас 200 предупреждениями. Он устроен так:
- Общая картина. В нескольких предложениях: в каком состоянии сайт и что срочнее всего.
- Подтверждённые находки. Проблемы, которые прошли повторную проверку. Для каждой: где именно в коде она находится, что с ней может сделать злоумышленник и какое самое маленькое исправление её закрывает.
- Находки, которые нужно проверить. То, что выглядит подозрительно, но по одному коду этого не доказать. Для каждой написано, что проверить, чтобы её закрыть.
- Рекомендации по усилению. Не уязвимости, а то, что стоит улучшить, чтобы следующую проблему было сложнее использовать.
- Что сделано хорошо. Да, это тоже пишем.
- Что проверили, а что нет. Чтобы вы точно знали, что покрывает отчёт.
Так выглядит одна находка в отчёте. Это пример для иллюстрации, а не сайт клиента:
Форма «Отправьте резюме» принимает файлы любого типа
- Что нашли
- Форма проверяет тип файла только в браузере. Сервер сохраняет любой пришедший файл в папку, до которой можно добраться снаружи.
- Что это значит для вас
- Тот, кто умеет отправить файл прямо на сервер, может загрузить файл, который запускает код на сайте. Обычно так и начинаются вредоносные перенаправления и спам-страницы.
- Что делать
- Проверять тип файла и на сервере, а сохранять файлы в папку, где код не запускается. Предложенное исправление описано в отчёте.
Как со мной работать
Большинство владельцев бизнеса опасаются технической части. На деле ваша часть короткая:
Что делаете вы и что делаю я
- Присылаете адрес сайтаВ WhatsApp. Знать, на чём он сделан, не нужно. Я отвечу и назову цену
- Даёте доступ к кодуОтдельный пользователь SFTP или FTP для меня. Хостинг-компания или тот, кто делал сайт, открывают его за несколько минут, а я присылаю им точную инструкцию. Не знаете, где размещён сайт, или того, кто его делал, уже не найти? Так бывает часто, разберёмся вместе
- Агенты работают, вы получаете отчётОт вас ничего не требуется, сайт работает как обычно. В течение 3 рабочих дней с момента, когда есть доступ, я присылаю отчёт и отвечаю на любые вопросы, ваши или вашего программиста
- Решаете, кто исправляетЯ, по отдельному предложению, или ваш программист по отчёту. А в конце вы удаляете пользователя, которого создали для меня
Сайт написан с нуля, без WordPress? Вместо FTP вы даёте мне доступ на чтение к репозиторию с кодом, например в GitHub.
Сколько это стоит
Полная проверка и отчёт в течение 3 рабочих дней: от 1 000 ₪. Цена зависит от размера сайта: сайт с магазином, личным кабинетом и десятками плагинов требует от агентов намного больше работы, чем сайт-визитка на пять страниц. Точную цену вы узнаете до начала работы. Исправления, если захотите, оцениваются отдельно после отчёта, по тому, что нашли.
Частые вопросы
Проверка может положить или замедлить сайт?
Нет. Агенты читают код, а не отправляют на сайт попытки взлома. Для сайта и посетителей ничего не происходит.
Зачем нужен доступ к коду? Разве не хватит адреса сайта?
Снаружи видно только то, что показывает сайт. Большинство проблем сидит в коде: как форма сохраняет файлы, кому что разрешено видеть, что плагин делает с полученными данными. Не читая код, можно только гадать.
Безопасно давать вам доступ?
Вы создаёте отдельного пользователя только для проверки и не даёте мне свой пароль. Если хостинг-компания позволяет, у этого пользователя будет доступ только на чтение. Никто, кроме участников проверки, ваш код не видит, а в конце вы его удаляете.
Можно вместо этого дать пароль приложения WordPress?
Пароль приложения даёт доступ к содержимому через интерфейс WordPress: записям, страницам, пользователям. Он не даёт доступа к файлам и коду плагинов и темы, а именно там большинство проблем. Поэтому мне нужен доступ по SFTP или FTP.
Мой сайт на Wix или Shopify. Мне это подходит?
В меньшей степени. На этих платформах сервером и большей частью кода управляет сама компания, и доступа к ним нет. Если поверх платформы вам написали собственный код, его можно проверить. Напишите, что у вас, и я скажу, есть ли что проверять, до того как вы заплатите.
Это тест на проникновение?
Нет. Тест на проникновение (пентест) — это контролируемая атака на живой сайт, которую эксперт проводит несколько дней, и иногда его требует крупный клиент или регулятор. Здесь агенты глубоко читают код и не атакуют сайт. Если вам нужен официальный тест на проникновение, я скажу об этом до начала работы.
Через сколько времени будет отчёт?
В течение 3 рабочих дней с момента, когда есть доступ к коду.
А если ничего не найдут?
Вы получите отчёт, где видно, что проверили, что сделано хорошо и что проблем не нашли. Это не гарантия, что сайт никогда не взломают: завтра может выйти новая уязвимость в плагине, который у вас установлен.
Кто видит отчёт?
Только вы и те, кому вы решите его отправить.
Источники
- Patchstack, State of WordPress Security in 2026
- Thales Imperva, 2026 Bad Bot Report
- GoDaddy, Annual Cybersecurity Report 2024
- Google Search Central, взломанные сайты и предупреждения в поиске
- Herzog Fox & Neeman, поправка 13 к закону о защите частной жизни
- Pearl Cohen, первый штраф за опоздание с сообщением об инциденте безопасности
- Security Affairs, взлом израильских сайтов, 2020
- Times of Israel, взлом Cyberserve, 2021
- Insurance Journal (Bloomberg), стирание данных у малых компаний, 2026
- Google Threat Intelligence, уязвимость, созданная с помощью ИИ
- Verizon, Data Breach Investigations Report
- NVD, национальная база уязвимостей США
- ransomware.live, статистика за 2026 год
- TNW, глава Национального киберуправления о росте атак в 2026 году
- Check Point Research, сентябрь 2026
- TechCrunch, крупнейшие взломы 2026 года
