Кибербезопасность в ритейле: как защитить бизнес от утечек платежных данных

Летом 2025 года крупная розничная сеть "Винлаб" на несколько недель прекратила работу почти полностью: кассы не работали, сайт был недоступен, склад заморожен. Причина - атака шифровальщика на инфраструктуру владельца сети, Novabev Group. По разным экспертным оценкам, ежедневные потери в первые дни простоя составляли от 100 до 300 млн ₽, а к концу первой недели ущерб оценивался уже более чем в 1 млрд ₽. Хакеры требовали выкуп - компания отказалась платить и восстанавливала работу магазинов около месяца.

Это не единичный случай, а часть общей картины: по данным BI.ZONE, в 2025 году на розничную торговлю пришлось около 40% всех инцидентов, связанных с утечками данных, и 31% атак с самым серьезным ущербом для бизнеса. Разбираем, какие уязвимости используют злоумышленники, что требует закон и с чего начать защиту, если раньше руки до этого не доходили.

Почему ритейл - частая цель кибератак

Розница устроена так, что почти любой сбой моментально конвертируется в деньги: остановились кассы - остановилась выручка. Именно поэтому отрасль привлекательна для атакующих больше, чем многие другие сектора.

Ключевые причины уязвимости:

• большой объем платежных и персональных данных клиентов в одном месте;
• распределенная инфраструктура - десятки и тысячи касс, терминалов и точек продаж в разных регионах;
• высокая текучесть линейного персонала, из-за которой сложно поддерживать единый уровень цифровой грамотности;
• быстрый рост e-commerce и мобильных сервисов, который часто опережает бюджет на их защиту;
• общие учетные записи и удаленный доступ к кассовому ПО - удобная точка входа для злоумышленника.

Как воруют данные платежных карт в магазинах

У атакующих есть ограниченный набор рабочих сценариев, и часть из них уже случалась в российском ритейле.

Основные векторы атак

Типовая цепочка атаки выглядит так: сотрудник открывает фишинговое письмо, его учетные данные попадают к злоумышленнику, атакующий перемещается по внутренней сети, в финале - шифрование кассовой или складской инфраструктуры. Именно так в 2025 году пострадала сеть "Винлаб" - атака вывела из строя часть ИТ-инфраструктуры компании и остановила работу магазинов на несколько недель.

Найти подобные бреши до того, как их найдет злоумышленник, помогает тестирование на проникновение - способ увидеть реальную, а не бумажную картину защищенности сети.

Что говорит закон: PCI DSS, 152-ФЗ и штрафы в 2026 году 

Важно не путать разные документы. PCI DSS - международный стандарт безопасности платежных карт, обязательный для эквайринга. 152-ФЗ - российский закон о защите персональных данных, а его технические требования детализирует приказ ФСТЭК № 21. Отдельно стоит защита критической информационной инфраструктуры - ее регулируют 187-ФЗ и приказ ФСТЭК № 239, и она может касаться крупных розничных сетей, если их объекты включены в реестр значимых объектов КИИ.

С 30 мая 2025 года в России действуют оборотные штрафы за утечку персональных данных - их размер зависит от годовой выручки компании и наступает при повторном нарушении или отягчающих обстоятельствах, например при попытке скрыть утечку от Роскомнадзора. Отдельно стоит держать в поле зрения приказ № 21: на момент публикации этой статьи ФСТЭК готовит его замену, которая должна вступить в силу 1 сентября 2026 года и расширить требования на облачные сервисы, ИИ и удаленный доступ.

Разобраться, какие именно требования применимы к конкретной сети, и получить не общий чек-лист, а предметное заключение помогает аудит на соответствие требованиям регуляторов. Если в планах модернизация кассового парка, вопросы 54-ФЗ и фискальных данных логично закрывать на этапе подбора и настройки онлайн-касс, а не постфактум.

Как защитить платежную инфраструктуру

Один инструмент здесь не спасает - нужна связка технологий, каждая из которых закрывает свой участок пути данных от клиента до банка.

Токенизация не входит в PCI DSS как обязательный пункт, но остается одним из основных способов выполнить требование стандарта не хранить номер карты в открытом виде - если хранить нечего, красть тоже нечего. TLS-шифрование защищает данные в момент передачи, но не заменяет токенизацию - оба механизма работают в связке.

Технический стек защиты POS-инфраструктуры

Рабочая архитектура защиты строится слоями: периметр - устройство - сеть - мониторинг. Минимальный набор для розничной сети:

• сегментация сети - кассы физически и логически отделены от корпоративной сети и интернета;
• EDR/XDR на каждой кассе и сервере - для автоматического обнаружения и изоляции зараженного узла;
• WAF на веб-приложениях и API;
• IDS/IPS - обнаружение аномалий сетевого трафика;
• SOC с круглосуточным мониторингом событий;
• PAM для администраторов и удаленного доступа - минимум привилегий, запись сессий;
• 2FA/MFA для всех учетных записей с доступом к кассовому и торговому ПО;
• резервное копирование по схеме 3-2-1, с копиями, изолированными от основной сети - именно отсутствие такой изоляции чаще всего • • • превращает атаку шифровальщика в многодневный простой.

Собрать большую часть этого стека проще в рамках одного проекта: раздел управление доступом и защита конечных устройств закрывает сразу несколько пунктов из списка выше.

Человеческий фактор: почему сотрудник опаснее хакера

Классическая цепочка компрометации в рознице начинается не со сложного эксплойта, а с обычной ошибки: сотрудник открыл письмо, отправил пароль в чат, забыл заблокировать учетку уволенного коллеги. По отраслевым оценкам, значительная часть инцидентов информационной безопасности связана именно с человеческим фактором, а не с уязвимостями "нулевого дня".

Что снижает этот риск:

• регулярное, а не разовое обучение персонала распознаванию фишинга;
• обязательная 2FA/MFA, особенно для удаленного доступа;
• PAM для администраторов - с фиксацией привилегий и записью сессий;
• немедленная блокировка учетных записей при увольнении сотрудника;
• SOC, который замечает подозрительное поведение аккаунта раньше, чем это происходит вручную.

Что делать, если атака уже произошла

Первые часы решают многое. Опыт "Винлаба" показывает: без изолированных резервных копий восстановление растягивается на недели, а не на часы.

1. Изолируйте пораженные системы от сети - не выключайте полностью, чтобы сохранить улики для расследования.
2. Зафиксируйте логи и следы атаки.
3. Уведомите Роскомнадзор об утечке ПДн - промедление с уведомлением увеличивает итоговый штраф.
4. Свяжитесь с банком-эквайером, если затронуты платежные данные.
5. Восстановите работу из резервных копий.
6. Проведите расследование причины и закройте уязвимость, чтобы атака не повторилась.

При тяжелых последствиях утечки данных возможна и уголовная ответственность по ст. 272-274 УК РФ.

С чего начать защиту уже сегодня

Рабочий порядок действий для сети, где вопрос защиты данных пока не выстроен системно:

• проведите аудит соответствия PCI DSS и требованиям регуляторов;
• внедрите токенизацию платежей и TLS-шифрование на всех транзакциях;
• сегментируйте сеть POS-терминалов и закройте забытый удаленный доступ;
• поставьте EDR/XDR на кассы и серверы с правилами обнаружения шифровальщиков;
• запустите регулярное обучение персонала распознаванию фишинга;
• проверьте, что резервные копии реально восстанавливаются, а не просто существуют "на всякий случай".

Мы в БелИнфоНалог занимаемся информационной безопасностью бизнеса с 2003 года - от аудита на соответствие 152-ФЗ и PCI DSS до внедрения PAM, защиты данных и конечных устройств, а также подбора онлайн-касс по 54-ФЗ. Работаем по всей России, поэтому распределенная сеть филиалов - обычная задача, а не преграда. Полный перечень решений - на странице услуг по информационной безопасности.