Эксперты «1С-Битрикс» предупреждают: бизнес сталкивается с волной атак через подстановку паролей⚡️

Летом 2025 года участились атаки на корпоративные аккаунты в различных системах с использованием уже скомпрометированных пар «логин-пароль».

Уязвимы те сотрудники, которые:
— Используют один и тот же пароль в разных сервисах;
— Используют пароли, которые уже фигурировали в базах утечек других сайтов;
— Не применяют двухфакторную аутентификацию (2FA).

Основная цель атак — получить доступ к внутренним системам и данным компании, не взламывая ничего напрямую, а просто подставляя данные для входа из ранее утёкших баз.

Как это работает?

Такие атаки не требуют взлома сервера, хитрых вирусов или социальной инженерии - они работают за счёт человеческой ошибки. Миллионы логинов и паролей из старых утечек доступны в интернете.
Злоумышленники просто автоматизируют процесс: «подставляют» эти пары, пытаясь войти в ваш корпоративный аккаунт. Если пароль повторяется и двухфакторка отключена — они получают доступ.

Как защититься
👍 Включите двухфакторную аутентификацию (2FA) — даже если пароль утёк, вход без второго фактора станет невозможен.
👍 Проверяйте ваши аккаунты по базе утечек — существуют сервисы, которые позволяют проверить, не был ли ваш email скомпрометирован.
👍 Используйте разные пароли для каждого сервиса. Никогда не повторяйте рабочий пароль в личных аккаунтах.
👍 Регулярно обновляйте программное обеспечение.
👍 Регулярно проверяйте список авторизованных устройств и отключайте лишние.

❗️И главное: обучайте сотрудников.
Многие атаки успешны не потому, что произошел взлом, а потому что кто-то когда-то ввёл один и тот же пароль в пять разных мест.

Рассылайте короткие и понятные напоминания. Внедряйте привычку думать, прежде чем задать пароль.

Что должна делать компания для безопасности работы удаленных сотрудников?

В посте выше мы рассказывали, на что обратить внимание сотрудникам.

Сегодня рассказываем, какие шаги должна предпринять компания 👇

👍 Установить антивирус и шифрование на корпоративных устройствах.
👍 Настроить VPN, двухфакторную аутентификацию при подключении и систему обнаружения угроз.
👍 Провести внутренние тренинги и тестирования.

Важно помнить, что вы можете выстроить самую надёжную систему, но, если кто-то из ваших сотрудников случайно отправит пароль в Telegram или откроет вредоносное письмо — всё рушится.

Несколько простых правил, которые можно отправить команде прямо сейчас:

— Используйте корпоративные устройства и приложения
— Подключайтесь через VPN с 2FA
— Проверяйте письма на фишинг
— Храните файлы в защищенных системах компании

Не делаем/избегаем:

— Работы с личного ПК без защиты
— Открытых сетей Wi-Fi
— Переходов по подозрительным ссылкам
— Отправки документов в личные чаты

Что делать, если что-то пошло не так:

Случайно кликнули на подозрительное письмо? Потеряли ноутбук? Отправили не тот файл?

👍 Сразу сообщить в отдел информационной безопасности. Раннее предупреждение помогает быстро предотвратить проблемы.

👉Сохраняйте этот чек-лист и делитесь с коллегами.

Как мы подходим к работе с пентестерами? 🔛

Сегодня поговорим про offensive security. Вокруг темы много споров — стоит ли контролировать подрядчиков, что выбрать — пентест или баг баунти, как определить квалификацию команды хакеров.

👉 Расскажем про наш подход к «наступательной безопасности» и дадим советы о том, как получить максимум выгоды из работы с «этичными хакерами».

Почему мы выбрали Black Box для проверки облачной инфраструктуры Битрикс24?

Для нас проверки на уязвимость — это не формальность, а жизненная необходимость. Мы постоянно играем в «белых хакеров». Не ждем проблем, а сами ищем дыры в безопасности, пока это не сделал кто‑то другой. Это касается всего. Мы постоянно пробуем взломать наши сайты, API и сервера — именно так, как это делают настоящие злоумышленники.

Тестируем инфраструктуру изнутри. Особенно тщательно проверяем настройки сервисов в инфраструктуре. Часто проблемы возникают не из‑за багов, а потому что что‑то случайно оставили открытым, оставили конфигурацию не крайней версии. Мы смотрим: а туда ли ушли пароли? Тот ли доступ у этого сервиса? Нельзя ли из одного артефакта сделать другой?

Проверяем, что будет, если кто‑то уже внутри? Мы моделируем ситуацию, будто злоумышленник уже проник в систему. Сможет ли он там безнаказанно перемещаться? Это помогает выстроить внутреннюю защиту.

📍Как уже говорилось выше, black box пентест максимально приближен к реальным атакам — тестирование проводится так же, как действовал бы настоящий злоумышленник. Но для нас было важно оценить еще несколько моментов.

👍 Облака чаще всего атакуют именно извне, а Black Box фокусируется на внешних уязвимостях. Такой подход помогает найти дыры в безопасности, которые могут использовать хакеры, даже если у них нет доступа к внутренним системам.

👍 Этот метод позволяет оценить, насколько легко злоумышленник может добыть конфиденциальные данные, используя только открытые источники.

Как выбрать исполнителя?

👉 Подробнее читайте в материале

🟡 Ваш сайт на 1С-Битрикс до сих пор не обновлен?

CyberOK проверил Рунет на предмет давно известных уязвимостей. Исследование показало, что в интернете все еще доступно множество необновленных пользователями сайтов с древними уязвимостями, которые мы исправили в продукте еще 2-3 года назад.

Наша CMS популярна (коллеги из CyberOK называют более 1 миллиона сайтов) и привлекает внимание не только СМИ, но и злоумышленников. Поэтому мы ведем постоянную работу по информированию пользователей о базовых правилах безопасности и о необходимости обновлений: рассылки, статьи, инструкции, экспертиза независимых специалистов и этичных хакеров. Вот даже Telegram-канал отдельный для вас завели 🔧

Мы постоянно выпускаем новые версии не просто так, а ради вашей безопасности. Специалисты CyberOK подтверждают: самая простая и эффективная защита — это своевременное обновление CMS!

Проявите бдительность, не будьте в числе потенциальных жертв.
И обновите ваш сайт СЕГОДНЯ!

Лучше один раз настроить процесс обновлений, чем поставить весь бизнес под угрозу⚠️

🗣Экспертный разбор: все о безопасности поставщиков

Леонид Плетнев, бизнес-партнер по информационной безопасности 1С-Битрикс, и Анастасия Харыбина, руководитель AKTIV.СONSULTING, обсудили безопасность поставщиков в новом подкасте «Безопасный выход».

👉Слушайте выпуск

Что разобрали:
✍️ Чем рискует организация, не уделяя внимание безопасности поставщиков
✍️ Нужно ли включать поставщика в периметр безопасности организации
✍️ Какой этап самый важный при выборе поставщика
✍️ Какой процент open source кода используется в закрытом ПО
✍️ Как разграничить ответственность между вендором, интегратором и поставщиком SaaS-решений

🎞 Видеоверсию подкаста «Безопасный выход» смотрите тут

👀Почему и как “1С-Битрикс” пересмотрел подход к кибербезопасности - бизнес-партнер по ИБ в “1С-Битрикс" Леонид Плетнев в колонке, подготовленной специально для SecPost😍, рассказывает об эволюции киберугроз и подходов к защите цифровых продуктов.

Встречайте новую документацию для разработчиков 1С-Битрикс и Битрикс24 🔥

👉Документация доступна по адресу

В ней уже есть вся основная информация по работе с BitrixFramework — основой продуктов 1С-Битрикс: Управление сайтом и Битрикс24.

В чем отличия новой документации:

✔ единый источник информации — в новой документации нет разделения на контент для разработчика, контент-менеджера или администратора. Не нужно искать информацию в разных источниках, чтобы собрать воедино всю картину.

✔ переработанная и дополненная информация — в новой документации только актуальная информация и механики, понятные примеры использования.

✔ раздел Справочник API — в нем собрана информация по актуальным классам системы.

✔ удобство коммуникации — привычный формат взаимодействия: issues и pull requests. На каждой странице документации можно в один клик создать issue с предложением или замеченной ошибкой. Если хотите внести свой вклад, создавайте pull request с правками и пополняйте список контрибьюторов нашего официального репозитория.

Мы хотим сделать единый и удобный источник информации для разработчиков, чтобы вы могли найти ответ на любой возникающий вопрос при работе с продуктами компании. Новая документация будет развиваться, планируем перенести в нее документацию для разработчиков и D7. Будем рады обратной связи!

📍Новая документация для разработчиков 1С-Битрикс и Битрикс24.
📍Официальный репозиторий компании.

Устойчивая безопасность: как управлять уязвимостями в современных продуктах 👀

Мы отказались от линейного подхода «нашел-исправил» в пользу непрерывной петли. Она не просто закрывает уязвимости, а постоянно повышает устойчивость системы в целом.

Наша петля разработки безопасного программного обеспечения (РБПО) строится на трёх ключевых точках обнаружения уязвимостей👇

1. Проактивная защита: безопасная разработка (DevSecOps)

Мы встраиваем проверки безопасности прямо в процесс разработки. Делаем это автоматически, чтобы найти и устранить стандартные уязвимости до того, как код попадет в сборку. Безопасность становится частью рутины разработчика, а не отдельной фазой.

2. Взгляд извне: программы Bug Bounty

Регулярно привлекаем независимых этичных хакеров для тестирования наших продуктов в контролируемой среде. Они помогают нам найти сложные и неочевидные уязвимости, которые не видны изнутри. Это позволяет увидеть продукт глазами злоумышленника и вскрыть логические ошибки.

3. Контроль в реальном времени: мониторинг и реагирование

Мы круглосуточно мониторим поведение нашей облачной инфраструктуры и приложений, используя в том числе автоматизированные сценарии. Так мы быстрее обнаруживаем и пресекаем атаки в продакшене, минимизируя ущерб. Это последний рубеж обороны, который работает с реальными угрозами.

Главное — замыкание петли. Любая найденная уязвимость — не просто тикет в трекере, а точка роста для всей системы.

👉 Подробнее

Двухфакторная аутентификация 2FA 🚀

Компании хранят в Битрикс24 много важной информации. Наша задача — защитить данные каждого пользователя, ведь риски для бизнеса становятся серьезнее:

✍️ Хакеры все чаще используют искусственный интеллект, чтобы атаковать организации.
✍️ Требования к тому, как компании хранят и обрабатывают персональные данные, стали строже.

В новом Битрикс24 двойная аутентификация становится обязательной для всех пользователей. Это мировой стандарт безопасности, который защищает от утечек данных.

Второй фактор входа — мобильное приложение. Злоумышленники не смогут проникнуть в систему, даже если узнают или подберут пароль. Для взлома им понадобится доступ к приложению.

Все обновления пользователи Битрикс24 будут получать последовательно. Ожидайте анонса.

Как вам новость? 🔥