Боты, бонусы и подрядчики: главные киберугрозы для ритейла и e-commerce в 2026 году

26.06.2026

Мария Снегова

Автор

Ритейл и e-commerce остаются одними из самых привлекательных целей для киберпреступников. Интернет-магазины работают с платежами, персональными данными, бонусными программами, API мобильных приложений и большим числом подрядчиков. Поэтому атаки на отрасль давно не ограничиваются DDoS или взломом сайта: злоумышленники атакуют бизнес-логику, личные кабинеты, программы лояльности, партнерские интеграции и цепочки поставок.

Кибер Медиа вместе с экспертами разбирает основные угрозы для ритейла и e-commerce, применяемые техники атак и способы защиты.

Содержание

Почему ритейл и e-commerce остаются привлекательной целью

Для злоумышленников ритейл — удобная и прибыльная цель. Причин несколько: большой объем операций, концентрация персональных и платежных данных, а также сложная экосистема из подрядчиков, интеграторов, платежных сервисов, логистических и маркетинговых партнеров.

Каждая внешняя интеграция, учетная запись или программа лояльности может стать точкой входа для атаки. При этом злоумышленники все чаще действуют не вручную, а с помощью автоматизации, прокси-инфраструктуры и готовых криминальных сервисов.

Алексей Тихонов

Руководитель группы расследования инцидентов ИБ ГК Softline

Наиболее популярными векторами атаки являются компрометация цепочек поставок — взлом подрядчиков, кража учетных данных, уязвимости API и веб-приложений, а также фишинг и социальная инженерия, в том числе с использованием искусственного интеллекта, направленные на продавцов и клиентов. Специфичным направлением в ритейле являются атаки на селлеров с целью накрутки негативных отзывов с помощью ботов, снижения рейтинга или блокировки карточек товаров. Эти атаки не направлены непосредственно против торговых площадок, но влекут за собой репутационные и финансовые издержки.

Малые интернет-магазины: почему размер бизнеса не защищает

Владельцы небольших интернет-магазинов часто считают, что их бизнес «слишком мелкий», чтобы заинтересовать киберпреступников. Это опасное заблуждение: современные атаки автоматизированы и не требуют ручного выбора цели.

Боты массово сканируют сайты в поисках устаревших CMS, слабых паролей, открытых админ-панелей, уязвимых плагинов, незащищенных форм авторизации и API. Для такой системы неважно, кому принадлежит сайт — крупному маркетплейсу или небольшому магазину.

Дмитрий Царев

Руководитель управления облачных решений кибербезопасности BI.ZONE

У небольших магазинов обычно нет ИБ-специалиста, движок редко обновляется, пароли простые и одинаковые в разных сервисах. Взломать такой сайт боту почти ничего не стоит.

Базовая защита небольшого интернет-магазина начинается с регулярных обновлений CMS и плагинов, сложных уникальных паролей, MFA для админ-панели, резервного копирования, ограничения доступа к административным разделам и базовой защиты от ботов и DDoS.

Боты, ATO и программы лояльности

Злоумышленники все чаще атакуют не только сайт как таковой, а бизнес-логику интернет-магазина. Речь идет о скрейпинге цен и ассортимента, сборе данных о наличии товаров, захвате аккаунтов, злоупотреблении программами лояльности и автоматизированной скупке дефицитных товаров.

Такие атаки могут не выглядеть как классический взлом: сайт работает, заказы оформляются, пользователи заходят в личные кабинеты. Но при этом боты собирают коммерчески значимую информацию, перебирают учетные данные или списывают бонусы со скомпрометированных аккаунтов.

Дмитрий Царев

Руководитель управления облачных решений кибербезопасности BI.ZONE

Злоумышленники все чаще нацеливаются не на витрину интернет-магазина, а на API, через которые работают мобильные приложения и партнерские сервисы. Еще одна заметная тенденция — использование ботов для массового сбора коммерчески значимой информации: цен, складских остатков, акций и ассортимента. Отдельное направление — мошенничество с программами лояльности. Злоумышленники получают бонусные баллы через скомпрометированные аккаунты, злоупотребление реферальными программами и ошибки в механизмах начисления бонусов, после чего конвертируют их в товары, скидки или денежные средства.

Программы лояльности и бонусные счета клиентов все чаще становятся целью атак Account Takeover — захвата аккаунтов. Для этого мошенники используют credential stuffing: автоматизированную подстановку логинов и паролей, ранее утекших из других сервисов. В отдельных случаях применяется и классический брутфорс.

По оценке специалистов BI.ZONE Digital Risk Protection, в середине мая 2026 года свыше 37 тысяч объявлений на онлайн-досках могли потенциально исходить от недобросовестных продавцов, которые предлагали сомнительные бонусы. Покупая баллы или скидку, жертвы могли лишиться денег или чувствительных данных.

Как защищаться от «умных» ботов и захвата аккаунтов

Одной CAPTCHA или обязательного подтверждения каждого входа через SMS уже недостаточно. Современные боты умеют имитировать поведение пользователей, использовать браузерную автоматизацию и распределенную инфраструктуру. А постоянные SMS-проверки ухудшают пользовательский опыт и могут снижать конверсию.

Защита должна быть многоуровневой: поведенческий анализ, ML-модели, анализ аномалий, проверки браузерной среды, контроль API-трафика и адаптивная аутентификация.

Алексей Тихонов

Руководитель группы расследования инцидентов ИБ ГК Softline

Крупные WAF для выявления современных ботов используют анализ траекторий, тайминг и скорость переходов. Для этого применяется в том числе машинное обучение. Также внедряются механизмы fingerprinting, включая анализ параметров TLS-приветствия, HTTP/2 fingerprinting и поиск несоответствий в параметрах браузера.

Для защиты программ лояльности и личных кабинетов эксперты рекомендуют адаптивную аутентификацию. Система оценивает риск сессии по IP-адресу, устройству, цифровому отпечатку, истории входов и поведению пользователя. Дополнительная проверка включается только при подозрительной активности: например, при входе с нового устройства, резкой смене географии или попытке списать крупный объем бонусов.

В мобильных приложениях вместо постоянной SMS-проверки можно использовать Face ID или Touch ID. Также помогают антифрод-модели, которые выявляют нетипичные действия: резкий рост суммы заказов, массовые покупки или необычное списание бонусов.

API и цепочки поставок

Для ритейла API стали критической частью инфраструктуры: через них работают мобильные приложения, партнерские интеграции, программы лояльности, платежные и складские сервисы. Ошибки авторизации, отсутствие лимитов запросов, небезопасное хранение ключей и прямой доступ к внутренним данным превращают API в удобный канал для атак.

Защищать API нужно отдельно: использовать API-шлюзы, строгую валидацию запросов, rate limiting, мониторинг аномалий, контроль доступа к методам, регулярную ротацию ключей и запрет прямого обращения к базам данных.

Не менее важны цепочки поставок. Ритейл работает с большим количеством подрядчиков: интеграторами, разработчиками, поставщиками ПО, сервисными компаниями, логистическими и маркетинговыми партнерами. Поэтому злоумышленники часто атакуют не саму компанию, а ее партнера.

Алексей Тихонов

Руководитель группы расследования инцидентов ИБ ГК Softline

Подрядчики являются одним из основных рисков для ритейлеров. Необходима изоляция сегмента инфраструктуры, предназначенного для подрядчиков, внедрение PAM-систем для управления доступом и строгий контроль API, включая использование API-шлюзов, выявление аномалий трафика и регулярную ротацию API-ключей.

Для снижения рисков компаниям нужны отдельные учетные записи для подрядчиков, MFA для внешних подключений, PAM-системы, изоляция партнерского сегмента, регулярный пересмотр прав и отзыв доступов после завершения работ.

Подготовка к распродажам и реагирование на инциденты

Сезонные распродажи — это пик не только продаж, но и DDoS-атак, бот-активности и нагрузки на инфраструктуру. Перегрузка серверов ведет к простоям сайта, что напрямую влияет на выручку и может увести клиентов к конкурентам.

Подготовку нужно начинать заранее: проверить запас производительности, настроить защиту от DDoS и ботов, протестировать отказоустойчивость, вынести тяжелый статический контент на CDN и определить ответственных за реагирование.

Артем Фомичев

Начальник отдела технического аккаунтинга компании NGENIX

Минимальный чек-лист включает защиту от DDoS и ботов, аудит настроек WAF, проверку производительности API и механизмов авторизации, тестирование отказоустойчивости и сценариев масштабирования. Кроме того, важно заранее определить ответственных за реагирование на инциденты и настроить мониторинг не только инфраструктурных показателей, но и бизнес-метрик — регистраций, заказов и платежей.

Если инцидент все же произошел, критически важны первые 60 минут.

Что проверить уже сейчас: чек-лист для ритейла и e-commerce

Обновлены ли CMS, плагины, модули оплаты и компоненты сайта;
Используются ли сложные уникальные пароли и MFA для админ-панелей, сотрудников и подрядчиков;
Ограничен ли доступ к административным разделам;
Настроены ли резервные копии и проверено восстановление;
Подключены ли WAF и Anti-DDoS-защита;
Настроена ли фильтрация бот-трафика до сезона распродаж;
Защищены ли API мобильного приложения, программы лояльности и партнерских сервисов;
Есть ли rate limiting на авторизацию, регистрацию, восстановление пароля, оформление заказа и операции с бонусами;
Используются ли антибот-механизмы, поведенческий анализ и проверка аномалий;
Отслеживаются ли бизнес-метрики: регистрации, заказы, платежи, списания бонусов, ошибки авторизации;
Ограничены ли права подрядчиков по принципу минимально необходимых привилегий;
Фиксируются ли действия привилегированных пользователей и внешних исполнителей;
Пересматриваются ли регулярно доступы подрядчиков и отзываются после завершения работ;
Есть ли план реагирования на инциденты и назначены ответственные за ИБ, ИТ, e-commerce, поддержку, PR и юридические коммуникации.

Заключение

Кибербезопасность ритейла и e-commerce в 2026 году требует комплексного подхода. Защищать нужно не только сайт, но и API, мобильные приложения, личные кабинеты клиентов, бонусные программы, подрядчиков и инфраструктуру распродаж.

Базовая цифровая гигиена — обновления, MFA, резервные копии и контроль доступов — остается обязательной, но ее уже недостаточно. Бизнесу нужны антибот-защита, мониторинг бизнес-метрик, управление привилегированным доступом, контроль сторонних интеграций и заранее отработанный план реагирования на инциденты.

Чем раньше компания выстраивает защиту вокруг реальных бизнес-процессов, тем ниже риск простоев, финансовых потерь и утраты доверия клиентов.