Взлом интернет-магазина Emporio: жалоба на фишинг и лечение сайта

В апреле 2023 года на интернет-магазин женской одежды Emporio пришла жалоба на фишинг. Фишинг — это поддельная страница, которая выманивает у людей пароли и данные карт. Провайдер, у которого размещён сайт, ограничил к нему доступ. Мы взялись за чистку в тот же день. Задачу закрыли через два дня. Рассказываем по рабочему журналу и снимкам веб-архива: что делали и что после этого видно поисковикам.

Кто клиент

Emporio — интернет-магазин женской брендовой одежды, обуви и аксессуаров из Новосибирска. Магазин работает на 1С-Битрикс. Условия покупки простые: бесплатная доставка и «сначала примерка, потом оплата».

Мы ведём этот сайт с июля 2021 года. В журнале по проекту — около 370 задач: перенос магазина на 1С-Битрикс, акции и распродажи, письма покупателям, обмен данными с 1С, подключение CRM. Поэтому о жалобе мы узнали сразу: задачу поставили в нашем же рабочем журнале.

Что случилось

Дальше — по порядку, как записано в журнале.

1. 18.04.2023 — жалоба.

   В службу провайдера пришла жалоба: на сайте лежит страница-подделка. Провайдер ограничил доступ к сайту и потребовал объяснить, что сделано, чтобы такое не повторилось.

2. 18.04 — чистка.

   Мы очистили сайт от вирусов. По журналу это заняло 45 минут.

3. 18.04 — обновление системы.

   В тот же день завели задачу на обновление 1С-Битрикса. Обновление закрывает известные дыры в самой системе, поэтому чистку мы не считаем законченной без него.

4. 20.04 — задача закрыта.

   Заявку на лечение закрыли. Обновление шло дальше.

5. 30.06 — обновление на боевом сайте.

   Сначала всё проверили отдельно от магазина. Потом обновили боевой сайт и сразу нашли, что сломалось. Об этом ниже.

6. 07.07 — задача закрыта.

   Правки после обновления сделаны. На обновление ушло около 10 часов.

Как это шло по датам

Что сломалось после обновления

Обновить систему мало. После обновления магазин надо пройти руками, как покупатель. Мы так и сделали, и вот что нашли:

Причина в том, что обновлённые части каталога стали отдавать данные в другом виде. Мы подправили код магазина под новый вид. Цены проверили на страницах брендов и в поиске.

Что видно поисковикам

После взлома надо проверить одну вещь, которую человек не заметит: скрытые ссылки на чужие сайты. Посетитель их не видит, а Яндекс и Google читают. Из-за них сайт может потерять позиции. Мы посмотрели снимки главной в веб-архиве до и после апреля 2023 года.

Что сегодня

30.09.2026 мы посмотрели сайт снаружи, так, как его видит любой посетитель. Скрытых ссылок нет. Переадресаций на чужие сайты нет. Подмены страниц для роботов тоже нет. Магазин открывается, каталог на месте.

Итог

Сайт вычистили, а систему 1С-Битрикс обновили. Магазин работает. Мы продолжаем вести проект: в журнале за 2026 год у него больше сотни задач.

Что делать, если на ваш сайт пришла жалоба на фишинг

1. Не спорить с провайдером, а ответить ему.

   Напишите, что нашли и что сделали. Пока вы молчите, доступ к сайту не вернут.

2. Найти и убрать подделку.

   Проверьте папки сайта: чужие страницы обычно лежат отдельно от ваших.

3. Обновить систему сайта.

   Старая версия — это открытая дверь, через которую могут прийти снова.

4. Пройти магазин руками.

   Корзина, размеры, цены, оформление заказа: после обновления первыми ломаются они.

5. Посмотреть, что видит поисковик.

   Откройте код страницы или снимок в веб-архиве и поищите скрытые ссылки.

Памятка после лечения

После лечения мы отправляем клиенту памятку. Вот её главное. Чистка убирает вирус, но не всегда закрывает дверь, через которую он пришёл. Без этих шагов сайт могут взломать снова.

1. Сменить все пароли.

   Не только от админки сайта. Ещё от сервера (FTP, SSH), хостинга, базы данных, панели управления, почты администраторов и аккаунтов подрядчиков. Ключи доступа (API) тоже. Считайте взломанным всё, к чему у злоумышленника мог быть доступ.

2. Проверить пользователей сайта.

   Удалить незнакомых, проверить администраторов, их группы и права, найти скрытые учётные записи.

3. Проверить доступы к серверу.

   Ключи для входа, пользователей FTP, задачи по расписанию, подозрительные процессы, лишние аккаунты на хостинге.

4. Обновить программы.

   1С-Битрикс, PHP, модули, шаблон, сторонние компоненты и расширения. Если у шаблона или решения известная дыра, нужна свежая версия или другой способ её закрыть.

5. Настроить резервные копии.

   Копия каждый день, несколько версий, хранить не на сервере сайта. Иногда проверять, что из копии правда можно восстановиться: файл backup.zip ещё не резервное копирование.

6. Защитить аккаунты.

   Вход по коду из телефона (2FA) для администраторов, ограниченный доступ в админку, у каждого свой аккаунт вместо общего admin, права только нужные.

7. Наблюдать первые недели.

   Смотреть, не появились ли снова подозрительные файлы, новые пользователи, незнакомые задачи по расписанию, странные переадресации, всплески нагрузки, спам с сайта, новые страницы и ссылки в поиске.

8. Записать, что произошло.

   Дату находки, что нашли, что сделали, какие доступы были под угрозой, какие пароли сменили, какие дыры закрыли и дату последней проверки.

Подробнее — в статье «Сайт взломали: что делать». Похожие случаи — магазин радиаторов WABEH и интернет-магазин Go2Grow.

Восстановление сайта после взломаВернём рабочий вид, вычистим и проверим, что видят поисковики

Для технических специалистов

• Система — 1С-Битрикс: после чистки обновлена. Сервер и способ входа в кейс не вынесены намеренно.
• Провайдер получил жалобу на фишинг, ограничил сетевой доступ к сайту и права на папку с подделкой.
• Обновление шло в два шага: сначала проверка отдельно от боевого сайта, затем обновление боевого в согласованное время.
• После обновления компоненты каталога стали отдавать данные в другой структуре. Поправили код шаблонов: вернулись корзина и выбор торговых предложений; для цен включили режим совместимости компонента.
• Как проверяли: снимки веб-архива по датам, разбор кода страницы, осмотр снаружи 30.09.2026.