Защо ботове атакуват сайта ми и какво търсят нападателите

Наскоро клиент ни попита: „Защо има толкова ботове и атаки към сайтовете ми? Кой изобщо се интересува от тях?“ Въпросът е логичен. Сайтът не е банка, не е известна марка и на пръв поглед от него няма какво да се вземе.

Краткият отговор е, че никой не се интересува точно от вашия сайт. Атаките са автоматизирани и обхождат всичко, което е достъпно в интернет. А всеки сайт, дори малък, има три неща, които се превръщат в пари: данните на клиентите, плащанията и самият сървър. В тази статия обясняваме какво търсят нападателите, какво печелят от него и как се разбира, че нещо не е наред.

Според доклада на Imperva за 2026 г. над 53% от целия трафик в интернет през 2025 г. е автоматизиран, а хората са 47%. Част от този трафик е полезен: търсачки, системи за наблюдение, сравнители на цени. Останалото са програми, които обхождат адрес след адрес и проверяват едно и също: има ли позната уязвимост, стара версия, слаба парола или забравен файл с настройки.

Колко бързо става това, показва експеримент на Unit 42 (Palo Alto Networks): от 320 умишлено уязвими сървъра, пуснати в интернет, 80% са били пробити в рамките на 24 часа.

За нападателя един опит не струва нищо. Затова няма значение дали сайтът е голям или малък, нов или стар, български или чужд. Проверяват се всички, а се влиза там, където има отворена врата. Опитите най-често са три вида:

• Търсене на уязвимости в платформата, модулите и сървъра. При нова уязвимост масовите опити започват за часове, понякога и преди да има поправка. Пример е StyleSmuggler.
• Налучкване на пароли за администрацията, FTP и SSH.
• Пробване на изтекли пароли. Имейли и пароли, откраднати от други сайтове, се пробват автоматично и при вас, защото много хора ползват една парола навсякъде.

Базата с клиентите е първото, което се изтегля: имена, имейли, телефони, адреси, история на поръчките и паролите в защитен (хеширан) вид. С нея се случват три неща:

• Продава се. Списъците с имейли и телефони се купуват за спам и измами.
• Използва се срещу вашите клиенти. Съобщение от името на магазина, което цитира истинска поръчка и адрес, е много по-убедително от обикновен спам. „Плащането ви не мина, въведете картата си отново“ работи, когато номерът на поръчката е верен.
• Паролите се пробват другаде. Ако клиент ползва същата парола и за пощата си, пробивът при вас става пробив и при него.

Това изглежда като най-безобидния сценарий, защото магазинът продължава да работи и парите не липсват. Юридически обаче не е безобиден. По GDPR изтичането на лични данни е нарушение на сигурността и трябва да се съобщи на Комисията за защита на личните данни до 72 часа, след като сте разбрали за него, а при висок риск за хората и на самите клиенти. Санкциите за неизпълнение на тези задължения стигат до 10 млн. евро или 2% от годишния оборот. Отделно остава въпросът как клиентите ще приемат такова писмо.

Вторият източник на печалба са самите плащания. Тук сценариите са няколко:

• Кражба на картови данни. В страницата за плащане се вмъква код, който копира данните на картата, докато клиентът ги въвежда. Поръчката минава нормално и нищо не подсказва проблем. В изследване на Sansec от 2018 г. такъв код е стоял в магазините средно по 12,7 дни, а всеки пети магазин е бил заразен повторно.
• Фалшива форма за плащане. Когато плащането е на страницата на банката, нападателят показва собствена форма за картата преди пренасочването. Клиентът въвежда данните, вижда „грешка“ и чак тогава стига до истинската страница на банката.
• Подмяна на получателя. Сменя се банковата сметка в имейлите за поръчка и във фактурите или се подменят настройките на платежния модул. Клиентите плащат, но парите постъпват в чужда сметка. Това се открива чак при засичане на постъпленията, а при някои търговци дотогава минава доста време.
• Тестване на крадени карти. За това не е нужен пробив. Ботове правят стотици малки поръчки, за да проверят кои откраднати карти работят. За магазина остават таксите за транзакциите, оспорените плащания и рискът платежният оператор да спре услугата.

Дори сайт без клиенти и без плащания има стойност: сървър с процесор, интернет връзка, IP адрес и домейн с добра репутация. Превзетият сървър се използва за:

• Разпращане на спам. Писмата тръгват от вашия сървър и от вашия домейн. Адресът попада в черни списъци и имейлите до собствените ви клиенти спират да пристигат, включително потвържденията за поръчки.
• Фишинг страници и зловреден код. Под вашия домейн се качват фалшиви страници на банки и куриери. Браузърите и Google започват да показват предупреждение, че сайтът е опасен.
• Скрити страници и линкове. В сайта се добавят хиляди страници за казина, лекарства или реплики, които използват позициите ви в Google. Собственикът обикновено ги вижда чак в резултатите от търсенето.
• Копаене на криптовалута. Процесорът работи за нападателя, сайтът се забавя, а сметката за хостинг расте.
• AI услуги за ваша сметка. На обикновен уеб сървър AI модели не се пускат, защото той няма нужния хардуер. Нападателите търсят друго: ключовете за AI и облачни услуги, записани в настройките на сайта. С тях ползват услугата, а сметката идва при вас. Sysdig описва схемата под името LLMjacking и изчислява, че тя може да струва на жертвата над 46 000 долара на ден.
• Прикритие за чужди ботове. Трафикът им минава през вашия сървър, за да изглежда, че идва от обикновен сайт.
• Атаки срещу други. Сървърът става част от мрежа, която сканира и атакува други сайтове. Следите водят към вас, а хостинг доставчикът може да спре услугата без предупреждение.

Има и четвърти начин за печалба, който съчетава предишните три: изнудване. Базата данни се криптира или изтрива срещу откуп, или нападателят заплашва да публикува клиентските данни, ако не му се плати.

Голяма част от ботовете в логовете не се опитват да влязат никъде:

• търсачките (Google, Bing), без които няма посещения от търсене;
• ботовете на AI асистентите, които събират съдържание;
• ценовите ботове на конкуренти и на сравнители на цени;
• SEO инструменти и системи за наблюдение.

Те не са пробив, но натоварват сървъра, понякога повече от реалните посетители. Полезните се пропускат, а останалите се ограничават по скорост или се блокират. Блокирането на „всички ботове“ не е решение, защото заедно с тях изчезват и търсачките.

Опитите за атака са постоянни и сами по себе си не са повод за тревога. Повод са признаците, че някой опит е успял:

• администраторски профил, който никой не е създавал;
• имейлите от магазина започват да попадат в спам или да се връщат;
• сървърът е натоварен, без да има повече посетители;
• предупреждение от Google, от браузъра или от хостинг доставчика;
• клиенти съобщават за неразрешени плащания след покупка при вас;
• разминаване между поръчките и постъпленията по сметката;
• нови или променени файлове, които не идват от обновление;
• страници от вашия сайт в Google, които не сте създавали.

Повечето от тези признаци се появяват късно, когато щетата вече е налице. Затова проверката не бива да чака да ги видите.

• Редовни обновления на платформата, модулите и сървъра. Масовите атаки често идват седмици след поправката. При уязвимостта SessionReaper през 2025 г. те започнаха шест седмици след нея, а по данни на Sansec дотогава я бяха приложили едва 38% от Magento магазините. Подробности има в статията за версиите и пачовете на Magento.
• Уникални пароли и двустепенна защита (2FA) за администрацията, хостинга и пощата.
• Ограничен достъп до администрацията: само за хората, които работят с нея, без профили на бивши служители и изпълнители.
• Филтър пред сайта, който спира познатите атаки и ограничава опитите за вход и за плащане.
• Наблюдение на файловете, на страницата за плащане, на администраторските профили и на натоварването.
• Резервни копия извън сървъра, за които е проверено, че от тях може да се възстанови.
• По-малко данни. Каквото не се пази, не може да изтече: стари поръчки, неизползвани профили, ключове за услуги, които вече не ползвате.

Нищо от това не спира опитите. Целта е никой от тях да не успее, а ако успее, това да се разбере за часове, а не за месеци.

Виждате необичаен трафик или опити за вход и не сте сигурни в какво състояние е сайтът ви? Изпратете ни адреса му и ще ви кажем какво виждаме. Без ангажимент.