Коротко: если через дыру в сайте утекли заявки клиентов, по закону отвечает владелец сайта – даже когда виноват хакер и чужая программа. Штраф за саму утечку – от 3 млн ₽ (за данные о здоровье – от 10 млн, за биометрию – от 15 млн), и ИП платит его как организация. Документы от взлома не защищают, но решают, сколько вы заплатите после него. Главная защита – обновления, надёжный вход в админку и привычка вовремя сообщать о проблеме.
21 октября 2026 года разработчики PHP сообщили о двух критических уязвимостях: через них можно запустить на сервере любой код без пароля. На PHP работают WordPress, 1С-Битрикс, Joomla, OpenCart и большинство сайтов малого бизнеса. Исправления вышли в тот же день, но сами они на сайт не встают. Через несколько дней после таких новостей роботы начинают перебирать весь интернет и проверять сайты подряд – маленький сайт стоматологии попадает под проверку так же, как крупный магазин.
Разберём, как происходят утечки персональных данных у малого бизнеса, что будет, если через такую дыру утекут данные ваших клиентов, кто за это отвечает и что можно сделать заранее.
Взломали вас – отвечаете вы
Для уголовного закона хакер – преступник (ст. 272 и 272.1 УК). Но для Роскомнадзора важно другое: данные клиентов собирали вы, значит, вы – оператор персональных данных. Статья 19 закона № 152-ФЗ обязывает оператора принимать меры защиты, а статья 13.11 КоАП наказывает оператора, если его «действия (бездействие)» привели к утечке. Не обновили сайт, оставили простой пароль, отдали доступ случайному фрилансеру – это и есть бездействие.
Отговорка «сайт делала студия» тоже не работает. Студия, хостинг, сервис рассылок обрабатывают данные по вашему поручению, а перед Роскомнадзором отвечаете вы. С подрядчика можно потом взыскать убытки – если с ним есть договор, где это прописано.
Важно: за старую версию WordPress или PHP саму по себе штрафа нет. Штраф наступает, когда через неё утекли данные. Поэтому устаревший сайт – это не нарушение «на бумаге», а риск, который годами ждёт своего дня.
Сколько стоит утечка
С 30 мая 2025 года за утечку действуют отдельные штрафы. Размер зависит от числа людей, чьи данные утекли. Индивидуальный предприниматель по этим частям статьи отвечает как организация (примечание 1 к ст. 13.11 КоАП) – суммы для ИП те же.
| Что произошло | Организация или ИП |
|---|---|
| Не сообщили в Роскомнадзор об утечке или сообщили с опозданием (ч. 11) – при любом числе пострадавших | 1–3 млн ₽ |
| Утекли данные 1 000–10 000 человек или 10 000–100 000 записей (ч. 12) | 3–5 млн ₽ |
| 10 000–100 000 человек или 100 000–1 млн записей (ч. 13) | 5–10 млн ₽ |
| Больше 100 000 человек или больше 1 млн записей (ч. 14) | 10–15 млн ₽ |
| Утечка специальных категорий, например данных о здоровье, – при любом числе пострадавших (ч. 16) | 10–15 млн ₽ |
| Утечка биометрических данных – при любом числе пострадавших (ч. 17) | 15–20 млн ₽ |
| Повторная утечка (ч. 15) | 1–3% годовой выручки, не меньше 20 млн ₽ и не больше 500 млн ₽ |
| Повторная утечка специальных категорий или биометрии (ч. 18) | 1–3% годовой выручки, не меньше 25 млн ₽ и не больше 500 млн ₽ |
Тысяча человек – это немного. Форма заявки, через которую за пять лет прошло по одной заявке в день, уже хранит почти 2 000 имён и телефонов. Подробнее о суммах и повторной утечке – в статье «Штрафы за утечку персональных данных».
Если сообщить вовремя – штрафа не будет?
Частично. Здесь два разных штрафа, и своевременное сообщение работает по-разному.
Штраф за то, что не сообщили (1–3 млн ₽), можно избежать полностью. О выявленной утечке оператор обязан сообщить в Роскомнадзор за 24 часа, а результаты внутреннего расследования – за 72 часа (ч. 3.1 ст. 21 152-ФЗ). Успели – этого штрафа нет. Причём он действует при утечке любого размера, даже если пострадали десять человек.
Штраф за саму утечку своевременное сообщение не отменяет. Если утекли данные тысячи человек и больше, он назначается и тем, кто честно сообщил. Но суд учитывает, как вы себя вели: помогли ли разобраться, остановили ли утечку, возместили ли людям вред. Это смягчающие обстоятельства (ст. 4.2 КоАП), и с ними штраф ближе к нижней границе.
Отсюда практический вывод для малого бизнеса: если утечка небольшая (меньше 1 000 человек и меньше 10 000 записей), в ней нет данных о здоровье и биометрии и вы сообщили вовремя, штрафов за утечку по ч. 11–14 нет. А тот, кто промолчал, получит штраф за несообщение даже за маленькую утечку.
Как вообще узнать, что данные утекли
24 часа отсчитываются с момента, когда утечку выявили. Проблема в том, что у небольшой компании нет службы безопасности, и о взломе обычно узнают со стороны:
- Роскомнадзор присылает запрос. Ведомство следит за базами, которые выкладывают в Telegram-каналах и на теневых форумах, и пишет оператору.
- Клиенты жалуются: «мне звонят мошенники и знают, что я оставлял у вас заявку».
- Хостинг предупреждает о вирусе, рассылке спама с вашего сервера или подозрительной нагрузке.
- Поисковики помечают сайт как опасный. В Яндекс Вебмастере это раздел «Безопасность и нарушения», в Google Search Console – «Проблемы безопасности».
- Сайт ведёт себя странно: в админке появился незнакомый пользователь, на страницах – чужие ссылки или реклама, посетителей перекидывает на другие сайты, форма отправляет заявки не туда.
Чтобы узнать раньше Роскомнадзора, достаточно трёх привычек: подключить сайт к Яндекс Вебмастеру и включить уведомления, не отписываться от писем хостинга и раз в месяц открывать список пользователей в админке. Если утечка уже случилась: зафиксируйте время, когда о ней узнали, остановите её (смените пароли, закройте доступ, отключите заражённую страницу, но не удаляйте журналы и файлы – они нужны для расследования) и в течение 24 часов отправьте уведомление через портал pd.rkn.gov.ru. Подробно по шагам – в статье «Утечка персональных данных: что делать в первые 24–72 часа».
Через что взламывают сайты малого бизнеса
Мы проверили 390 сайтов, случайно выбранных из 26 510 сайтов малого бизнеса 28 отраслей: юристы, стройка, автосервисы, производство и другие. Смотрели только то, что сайт сам показывает любому посетителю, – номер версии движка и PHP. Итог: у 85 сайтов из 390 (21,8%) видна версия, для которой исправления безопасности больше не выходят или не установлены. Это нижняя граница: большинство сайтов номер версии скрывают.
| Что видно | Сколько |
|---|---|
| Версия PHP указана в ответе сервера | 96 сайтов |
| …из них версия, которая больше не получает исправлений | 75 (78%) |
| …из них PHP 5 – последние исправления вышли не позже 2018 года | 28 |
| Версия WordPress видна | 62 сайта |
| …из них сам WordPress помечает версию как небезопасную (не считая пропустивших только последнее октябрьское исправление) | 15 (24%) |
| Drupal 7 – поддержка закончилась 5 января 2025 года | 4 сайта |
Сами по себе WordPress или Битрикс не плохие. Опасен сайт, который сделали несколько лет назад и с тех пор не трогали. Основные пути взлома:
- Устаревший движок и PHP. Об уязвимостях старых версий пишут открыто, а для их поиска есть готовые инструменты. WordPress по умолчанию сам ставит исправления безопасности, поэтому старая «дробная» версия обычно значит, что автообновления выключены или не срабатывают. У 1С-Битрикса обновления, в том числе защитные, приходят, пока продлена лицензия на обновления.
- Плагины и темы. Для WordPress это самая частая дыра: плагин слайдера или формы, который автор забросил пять лет назад, остаётся на сайте и открывает доступ ко всему.
- Пароль от админки. «admin / 123456», один пароль на всё, пароль в переписке с фрилансером. Роботы подбирают простые пароли круглосуточно.
- Доступы, которые никто не забрал. Программист, студия, бывший маркетолог – у каждого остался логин в админку и на хостинг.
- Куда уходят заявки. Почта без второго фактора, общая Google-таблица «у кого есть ссылка», чат в мессенджере, куда добавлены случайные люди. Взломать почтовый ящик часто проще, чем сайт.
А если сайт на Tilda?
С PHP-дырами владельцу сайта на Tilda действительно можно не беспокоиться: доступа к серверу у вас нет, платформу обновляет сама Тильда. По политике обработки данных российской Тильды (АО «Тильда Паблишинг», редакция от 06.03.2026) данные хранятся на серверах Selectel и Яндекс Облака в России, а данные ваших посетителей Тильда обрабатывает по вашему поручению. Это сильная сторона конструктора.
Но оператором для посетителей вашего сайта остаётесь вы, и у Tilda свои слабые места – они на вашей стороне:
- Вход в аккаунт. Кто вошёл в ваш аккаунт Tilda, видит все заявки и может поменять любую страницу. Тильда поддерживает двухфакторную защиту (код из приложения) и сама советует её включить, а для подрядчиков – давать доступ через «Мультидоступ», а не делиться логином и паролем.
- Вставки кода. HTML-блоки, Zero Block, код в настройках сайта – туда вставляют чаты, виджеты, счётчики и «улучшалки» от сторонних сервисов. Любой такой скрипт работает прямо на странице и технически видит всё, что посетитель вводит в форму. Если сервис, который его раздаёт, взломают или продадут, вредоносный код окажется у вас на сайте без вашего участия. Так в 2024 году случилось с популярным сервисом polyfill.io: после смены владельца его скрипт начал перенаправлять посетителей на мошеннические сайты, под ударом оказались более 100 000 сайтов.
- Куда уходят заявки. Тильда хранит заявки у себя, но обычно их ещё пересылают на почту, в Telegram, в Google-таблицу или CRM. Утечка через почту или таблицу – уже не забота Тильды. Google-таблица к тому же означает передачу данных зарубежному сервису.
- Старые заявки. Заявки за несколько лет в разделе «Заявки» – это тоже база, которая может утечь. Чем меньше хранится, тем меньше масштаб утечки и ниже ступень штрафа.
- Российский аккаунт. У международной версии Tilda (tilda.cc) другой оператор – компания в Дубае, а данные хранятся в Европе с резервными копиями в США. Для сайта российской компании это вопрос локализации данных (ч. 5 ст. 18 152-ФЗ). Проверьте, что аккаунт заведён на tilda.ru.
Итого: Tilda снимает с вас заботу о сервере, но не о входе, вставленном коде и пути заявок.
Помогут ли хорошие документы
От взлома – нет. Роботу, который ищет дыру в старом плагине, всё равно, какая у сайта политика конфиденциальности. Но после утечки документы решают, сколько вы заплатите:
- Вина. Организацию наказывают, если она не приняла всех зависящих от неё мер. Утверждённые меры защиты, перечень сотрудников с доступом, назначенный ответственный, акт оценки вреда – аргумент, что меры принимались. Только если они правда выполнялись: бумага без дела не спасёт.
- План действий при утечке. Когда заранее понятно, кто что делает и куда сообщать, 24 часа хватает. Без плана их тратят на панику – и получают штраф за несообщение.
- Договор с подрядчиком. Договор поручения обработки со студией или фрилансером не освобождает от штрафа, но позволяет взыскать с исполнителя убытки, если взлом – его недосмотр.
- Сроки хранения. Если по правилам компании заявки удаляются, например, через год, утечёт не пятилетняя база, а годовая – и масштаб может не дотянуть до ступени 3–5 млн ₽.
Документы определяют последствия утечки. Чтобы она не случилась, нужны обновления, пароли и порядок с доступами.
Чек-лист: что сделать за один вечер
- Узнать у программиста или хостинга, какая версия движка и PHP стоит на сайте, и попросить обновить до поддерживаемой
- Включить автообновления WordPress или проверить, что продлена лицензия обновлений Битрикса
- Удалить неиспользуемые плагины и темы
- Сменить пароли от админки, хостинга и почты, куда приходят заявки, включить вход с кодом из приложения
- Убрать доступы у бывших подрядчиков и сотрудников
- На Tilda – включить двухфакторную защиту, выдать доступы через «Мультидоступ», пересмотреть сторонние вставки кода
- Подключить сайт к Яндекс Вебмастеру и включить уведомления о безопасности
- Удалить старые заявки, которые больше не нужны, и закрепить срок хранения
- Заключить договор поручения обработки с тем, кто обслуживает сайт
- Записать, кто и как сообщает в Роскомнадзор, если что-то случится
Частые вопросы
Если сайт взломали через уязвимость в WordPress, почему отвечаю я, а не разработчики WordPress?
Потому что оператор – тот, кто собирает данные и решает, как их хранить. Разработчики WordPress выпустили исправление; не установить его – решение владельца сайта. Перед Роскомнадзором отвечает оператор, а с подрядчика, который обслуживал сайт, можно взыскать убытки по договору.
Утекли данные 200 человек. Будет штраф?
Отдельные штрафы за саму утечку по ч. 12–14 начинаются с 1 000 человек или 10 000 записей; но если утекли данные о здоровье или биометрия, штраф по ч. 16–17 (10–20 млн ₽) грозит при любом числе людей. Если утекли обычные данные (имя, телефон), вы сообщили в Роскомнадзор в течение 24 часов и передали результаты расследования за 72 часа, штрафов по ч. 11–14 ст. 13.11 КоАП нет. Если не сообщили – штраф 1–3 млн ₽ при любом числе пострадавших.
Сайт на Tilda – мне вообще что-то грозит?
Взлом сервера через дыры PHP – нет, это зона Тильды. Но утечка через ваш аккаунт, вставленный сторонний код, почту или таблицу с заявками – ваша ответственность как оператора.
Старая версия PHP на сайте – это уже нарушение?
Отдельного штрафа за версию нет. Нарушение и штраф появляются, если через неё утекли данные. Но старая версия – одна из главных причин таких утечек.
На что опираемся
- 152-ФЗ «О персональных данных» – ст. 19 (защита данных), ч. 3.1 ст. 21 (уведомление об утечке: 24 и 72 часа), ч. 5 ст. 18 (база в России)
- КоАП РФ – ст. 13.11 (ч. 11–18), ст. 4.2 (смягчающие обстоятельства)
- УК РФ – ст. 272, ст. 272.1
- Проверьте свой сайт бесплатно – найдём нарушения 152-ФЗ и покажем, какие штрафы за них грозят.
- Соберите документы под свою компанию – политика, отдельное согласие по 156-ФЗ и cookie-политика, реквизиты по ИНН. Политика – бесплатно. Перейти к генератору →
- Пришло требование Роскомнадзора или случай сложный? Опишите задачу – посмотрим и скажем, чем можем помочь.