Дефейс сайту (website defacement) — атака, за якої зловмисники змінюють видимий вміст вебсайту, як правило замінюючи його сторінки власними повідомленнями, зображеннями чи пропагандою.
Як відбувається дефейс
Щоб змінити сайт, зловмисникам потрібен доступ на запис до його вмісту або файлів. Типові шляхи:
- експлуатація вразливостей у системах керування контентом та їхніх плагінах, наприклад у застарілих WordPress, Joomla чи Drupal;
- вразливості впровадження, як-от SQL-ін’єкція або впровадження коду, з подальшим завантаженням вебшелу;
- викрадені чи слабкі паролі до адмінпанелі CMS, FTP або панелі хостингу;
- злам сервера віртуального хостингу чи DNS-запису з перенаправленням домену на іншу сторінку.
У MITRE ATT&CK техніку описано як External Defacement (T1491.002). Автори дефейсів часто залишають підпис і реєструють свої «трофеї» в публічних архівах на кшталт Zone-H. Іноді замість зламу самого сайту зловмисники підміняють лише головну сторінку або вбудовують банер через скомпрометований сторонній скрипт, тож для відвідувача результат виглядає однаково.
Чому це важливо
Дефейс — помітна, символічна атака, яку полюбляють хактивісти під час політичних конфліктів. У січні 2022 року десятки сайтів українських державних органів зазнали дефейсу з погрозливими повідомленнями незадовго до виявлення руйнівних атак із вайперами. Навіть якщо дані не викрадено, дефейс підриває репутацію й довіру, може спричинити попередження пошуковиків і браузерів та показує, що зловмисник контролював сервер — а отже, міг розмістити там шкідливе ПЗ, фішингові сторінки чи SEO-спам.
Як запобігти
- Оновлювати CMS, теми й плагіни, видаляти невикористовувані компоненти.
- Захищати адміністративні облікові записи надійними паролями й багатофакторною автентифікацією.
- Використовувати міжмережевий екран для вебзастосунків (WAF) і контроль цілісності файлів, щоб помічати зміни.
- Зберігати офлайн-резервні копії для швидкого відновлення сайту, а потім з’ясовувати, як зловмисники проникли всередину.
