Лист про інцидент безпеки в CRM SalesDrive: що зробити інтернет-магазину цього тижня

Клієнти CRM SalesDrive отримали лист про інцидент інформаційної безпеки. Якщо ваш магазин веде замовлення в SalesDrive, цей лист стосується двох речей одразу: даних ваших покупців і ключів, якими CRM входила у ваші сервіси доставки, оплати й маркетплейси. Нижче порядок дій для власника магазину, без розбору, хто винен, і без оцінок компанії: що саме опинилось під загрозою, які ключі міняти першими, де шукати сліди зловживань і що казати покупцям, яким телефонують «щодо вашого замовлення».

Одне застереження наперед: з компанією SalesDrive нас нічого не пов'язує, і додаткових відомостей про інцидент у нас немає.

Що відомо з листа SalesDrive

Єдине джерело, на яке ми спираємося, — лист SalesDrive своїм клієнтам. Публічних повідомлень чи новин про інцидент ми станом на 30 вересня 2026 року не знайшли. Тому нижче лише те, що в листі написано, і в тому вигляді, як це подає сама компанія.

Що сталося

• Інцидент зафіксовано 7 вересня 2026 року о 02:00.
• За листом, «внаслідок хакерської атаки відбувся витік» інформації, що зберігалася в системі: йдеться про несанкціонований доступ і копіювання.
• Перша категорія даних — персональні дані покупців, тобто клієнтів тих магазинів, що працюють у CRM: ПІБ, номери телефонів і деталі замовлень, зокрема назви товарів, суми й назви магазинів-продавців.
• Друга категорія — системні й авторизаційні дані інтеграцій: API-ключі, токени доступу, авторизаційні дані зовнішніх сервісів і маркетплейсів. За листом, саме це зумовило необхідність їх «масового оновлення та скидання».

Що, за листом, зроблено з боку SalesDrive

• 7 вересня — джерело несанкціонованого доступу, за словами компанії, виявлено й заблоковано.
• 7–8 вересня — розгорнуто нові сервери з нуля й оновлено ключі доступу.
• Доступ до серверів (SSH і бази даних) обмежено за IP-адресами.
• Проведено аудит вихідного коду й серверної конфігурації; за листом, виявлені вразливості усунуто.
• Усі активні сесії користувачів платформи примусово завершено.
• SalesDrive зі свого боку направляє повідомлення про інцидент до Секретаріату Уповноваженого Верховної Ради України з прав людини.

Ключі інтеграцій: дати з листа

За листом, разом із партнерами проведено масове скидання ключів:

Також, за листом, змінено API-ключі застосунків SalesDrive для Gmail, Google Analytics і OLX. Щодо частини партнерів, пише компанія, робота над масовою зміною ключів ще триває, а щодо API-ключів самої SalesDrive обіцяно окрему інструкцію.

Перелік дат — це дії, які SalesDrive описує зі свого боку. Він не означає, що у вашому кабінеті старі ключі вже не діють, і не охоплює сервісів, яких у переліку немає. Як із цим працювати, розібрано нижче.

Чого з листа не видно

Так само важливо назвати, чого ми не знаємо. З листа не видно:

• коли саме почався сторонній доступ: 7 вересня — дата виявлення, а не обов'язково початку;
• скільки магазинів і покупців зачепило;
• чи торкнулось це платіжних даних або паролів користувачів CRM;
• яких партнерів стосується робота, що ще триває, і коли вона завершиться;
• чи були вже зловживання даними чи ключами в конкретних магазинах;
• хто стоїть за атакою.

Тому далі ми не робимо висновків на кшталт «базу вже продають» чи «вам нічого не загрожує». Обидва твердження не мають підстав. Розумна позиція інша: вважати скомпрометованим усе, що лежало в CRM, і діяти так, ніби цим уже можуть скористатись.

Що саме опинилось у зоні ризику

Дані покупців

Ім'я, телефон і склад замовлення разом дають шахраю все для переконливого дзвінка. Він знає, що людина купила, на яку суму і в якому магазині. Типові сценарії, від яких варто застерегти покупців:

• «Ваше замовлення затримане, потрібна доплата за доставку» з посиланням на сторонню сторінку оплати.
• «Товару немає, повернемо гроші на картку» з проханням назвати дані картки чи код із повідомлення.
• Повідомлення в месенджері від імені магазину чи служби доставки з посиланням «відстежити посилку».

Ризик фінансової шкоди тут лягає на покупця, а репутаційної — на вас: людина пам'ятає не CRM, а магазин, «від імені» якого їй дзвонили.

Ключі й токени інтеграцій

Про цей ризик власники магазинів думають рідше, хоча саме він веде до ваших грошей і кабінетів. Ключ API — це не пароль від кабінету, але він дає доступ до того, що дозволено ключу. Ключ служби доставки може створювати накладні й бачити одержувачів. Ключ маркетплейсу може міняти ціни, залишки чи статуси замовлень. Токен платіжної системи залежно від прав може показувати операції або ініціювати повернення коштів. Токен поштової розсилки чи SMS-шлюзу дозволяє надіслати повідомлення вашим клієнтам від вашого імені.

Навіть якщо виявиться, що паролі не зачеплено (з листа цього не видно), ключ, який лежав у CRM, варто вважати відомим стороннім. Це стосується і партнерів із переліку в листі, і тих, кого там немає: ключ міг бути доданий у налаштування давно, і ви вже не пам'ятаєте, звідки він.

Перший день: перелік інтеграцій і заміна ключів

Спершу — список

Відкрийте в CRM розділ інтеграцій і випишіть усе, що там підключено. Потім пройдіться пам'яттю й документами: що підключав розробник, що додавали менеджери, що вмикали «на пробу» й забули. Для кожного рядка запишіть, де створено ключ, хто має доступ до кабінету цього сервісу і коли ключ востаннє міняли.

Не забудьте і зворотний напрямок: ключ самої CRM, який лежить у модулі на вашому сайті. Через нього сайт передає замовлення в CRM, а в деяких налаштуваннях отримує назад статуси й залишки.

Вхід у саму CRM

Чи торкнувся інцидент паролів користувачів CRM, з листа не видно, тому почніть із самої CRM. За листом, усі активні сесії вже примусово завершено; паролі це не змінює. Змініть паролі всіх користувачів, увімкніть двофакторний вхід, якщо він є. Перегляньте список користувачів і виданих API-доступів: зайвих і незнайомих приберіть. Якщо пароль від CRM у когось збігався з паролем від пошти, платіжної системи чи кабінету перевізника, міняйте й там.

Партнери з листа і ті, кого в ньому немає

Для кожного партнера з таблиці вище зайдіть у свій кабінет і перевірте дві речі: дату створення чинного ключа чи токена і те, що старих там не лишилось. Якщо дата раніша за вказану в листі або старі ключі досі активні, перевипустіть їх самі.

Для сервісів, яких у переліку немає, — служби доставки, зокрема Нова Пошта, платіжні системи, SMS, пошта, телефонія, облікова система, — чекати нічого: перевипускайте ключі за порядком нижче. Інструкцію SalesDrive щодо її власних API-ключів варто дочекатися, але заміну ключів від грошових сервісів під неї не відкладайте.

Порядок: спершу те, що рухає гроші

Міняти все за годину нереально, тому йдіть від найдорожчого:

1. Платіжні системи й еквайринг — через них рухаються гроші, зокрема повернення.
2. Служби доставки, особливо з накладеним платежем — накладні, одержувачі, суми до сплати.
3. Маркетплейси — ціни, залишки, замовлення, листування з покупцями.
4. Каса й фіскалізація, якщо вона підключена до CRM.
5. SMS, розсилки, месенджери, телефонія — канали, якими можна написати вашим клієнтам.
6. Решта: облікова система, склад, фіди, аналітика.

Таблиця: що зробити з кожною інтеграцією

Назви сервісів у таблиці — приклади того, що зазвичай з'єднують із CRM, а не перелік того, що точно лежало у вашому акаунті. Ваш перелік — той, що ви склали на першому кроці.

Як міняти ключ, щоб нічого не зламати

Новий ключ не підхопиться сам: його треба вписати туди, де працює обмін. Інакше після заміни перестануть створюватись накладні чи перестануть надходити замовлення з маркетплейсу. Звичайний порядок такий: створити новий ключ, вписати його в CRM чи модуль, перевірити, що обмін працює, і відкликати старий. Але старий ключ уже скомпрометований і діє, поки ви його не відкликали, тому проміжок між «новий створено» і «старий відкликано» тримайте якомога коротшим — хвилини, а не дні. Для інтеграцій, що рухають гроші, розумніше відкликати старий ключ одразу й змиритися з короткою паузою обміну. Деякі сервіси дають лише один ключ: перевипуск гасить старий миттєво, і до того, як ви впишете новий, обмін стоятиме. Робіть це в тихий час і попередьте менеджерів. Якщо сервіс дозволяє обмежити ключ за IP-адресою чи правами, зробіть це зараз, поки ви все одно в налаштуваннях.

Перш ніж вписувати нові ключі назад у CRM, запитайте підтримку SalesDrive, чи немає для цього окремого порядку. Після заміни зробіть тестове замовлення від кошика до накладної й чека.

Приклад: ключ API Нової Пошти

Розберемо один ключ докладно: з рештою принцип той самий. Ключ API Нової Пошти створюється в кабінеті перевізника, під тим обліковим записом, з якого ви працюєте з накладними. Якщо ключів там більше одного, з'ясуйте, який стояв у CRM; буває, що той самий ключ вписаний ще й у модуль сайту чи складську програму. Створіть новий ключ, впишіть його в усі місця, де працював старий, і перевірте обмін тестовою накладною; старий відкличте одразу (для решти інтеграцій — після перевірки), як описано вище. Тестова накладна — справжній документ у системі перевізника, тож після перевірки видаліть її. Якщо не впевнені, де саме в кабінеті це робиться, запитайте підтримку перевізника: інтерфейси кабінетів змінюються, і вказівки з чужої статті можуть застаріти.

Перевірка слідів: чи ключами вже скористались

7 вересня — дата, коли інцидент виявили; коли почався доступ, з листа не видно. Тому, крім заміни ключів, перегляньте період від 7 вересня до дня заміни, а якщо журнал сервісу зберігає давніші записи, то й кілька тижнів до того. У кабінетах сервісів шукайте:

• замовлення й статуси: незвичні замовлення, масові зміни статусів, скасування, яких не робили менеджери;
• накладні: нові ТТН, яких не створював склад, змінені адреси чи одержувачі;
• гроші: повернення коштів, зміни реквізитів для виплат, нові рахунки для виведення;
• входи в кабінети: невідомі пристрої, міста, час доби;
• користувачі й доступи: нові користувачі, нові ключі API чи підключені застосунки, про які ви не знаєте;
• повідомлення: SMS і розсилки, яких ви не відправляли, списання з балансу.

Якщо щось знайшли, не видаляйте запис одразу. Зробіть знімок екрана з датою, збережіть вивантаження, напишіть у підтримку того сервісу й аж тоді виправляйте. Сліди, стерті власноруч, потім неможливо показати ні підтримці, ні юристу.

Покупці: що їм сказати і як уберегти від шахраїв

Чи писати всім

Рішення, чи повідомляти покупців і в якій формі, залежить від ваших обов'язків як того, хто збирає й зберігає дані покупців, від обсягу даних і від того, що напише підтримка CRM. Конкретних норм і строків ми тут не наводимо, бо юридичну оцінку має дати юрист, який працює із захистом персональних даних. Незалежно від його висновку, коротке попередження на сайті й у соцмережах шкоди не завдасть. Пишіть у ньому лише те, що справді правда для вашого магазину. Наприклад: «Про оплату й доплати ми повідомляємо лише через [ваш канал]. Якщо вам пишуть чи телефонують від нашого імені інакше, перевірте замовлення на сайті або зателефонуйте нам за номером із сайту». Якщо ви самі надсилаєте посилання на оплату, так і напишіть, з якої адреси чи номера вони приходять.

Шаблон для менеджерів

Покупці почнуть питати, і краще, щоб усі менеджери відповідали однаково й без обіцянок, які магазин не може виконати. Приблизно так, підставивши в дужки те, що правда саме у вас:

Дякуємо, що звернулись. Про оплату й доплати ми повідомляємо лише через [ваш канал]. Статус вашого замовлення я перевірю зараз. Якщо вам телефонували чи писали від нашого імені, підкажіть, будь ласка, дату, номер і що саме просили — ми це зафіксуємо. Не називайте нікому дані картки й коди з SMS.

Чого менеджеру не казати: «ваші дані в безпеці», «це не в нас», «нічого не витікало». Жодне з цих тверджень ви зараз не можете довести.

Фіксуйте звернення

Заведіть просту таблицю: дата, покупець, номер замовлення, що сталося, з якого номера телефонували чи писали, що відповіли. Вона знадобиться і юристу, і для розмови з CRM, і щоб побачити, чи шахрайські дзвінки взагалі йдуть і чи стосуються вони саме ваших замовлень.

Що зафіксувати для себе й юриста

Поки події свіжі, зберіть в одну теку:

• сам лист SalesDrive із датою отримання;
• перелік інтеграцій і дату заміни кожного ключа;
• знайдені сліди зі знімками екрана й вивантаженнями;
• таблицю звернень покупців;
• листування з підтримкою CRM і сервісів.

За листом, SalesDrive зі свого боку повідомляє про інцидент Секретаріат Уповноваженого Верховної Ради України з прав людини. Чи потрібно щось робити вам як магазину, у який строк і в якій формі, — питання до юриста. Ми навмисно не цитуємо тут законів: помилкова норма в такій статті гірша за її відсутність.

Чи можна далі працювати в CRM

Це рішення за вами, і ми не будемо його підштовхувати ні в який бік. Переїзд на іншу CRM посеред сезону — окремий ризик: втрачена історія, перенавчання менеджерів, нові інтеграції. Питання, які варто поставити підтримці, щоб вирішити спокійно:

• які дані вашого акаунта були в системі на момент інциденту;
• які ключі, крім названих у листі, треба змінити вам;
• чи завершено скидання ключів для партнерів, з якими працює ваш магазин;
• чи можна вивантажити ваші дані повністю, якщо знадобиться.

Відповідь на останнє питання корисна за будь-якого рішення: без вивантаження у вас немає плану Б.

Як не залежати від одного місця

Цього вересня було дві різні події, а урок з них один: не тримати все в одному місці. Про першу, зруйнований дата-центр, ми писали в статті що робити власнику сайту, коли хостинг упав. Друга — інцидент, про який повідомляє цей лист. В обох випадках шкода росте з тим, скільки всього лежало в одному місці. Що можна зробити в спокійний тиждень:

• Окремий ключ на кожну інтеграцію. Не один ключ служби доставки на сайт, CRM і склад, а три. Тоді скомпрометований ключ міняється в одному місці й не ламає решту.
• Мінімальні права. Якщо ключу досить читати замовлення, не давайте йому права створювати повернення. Де сервіс дозволяє обмеження за IP-адресою, вмикайте його.
• Двофакторний вхід у кабінети платіжних систем, доставки, маркетплейсів, реєстратора домену й самої CRM.
• Реєстр ключів. Одна сторінка: де який ключ створено, де він використовується, хто має доступ, коли міняли. Сам ключ туди не пишіть, лише де він лежить. Коли доводиться міняти все відразу, така сторінка економить години.
• Календар заміни. Раз на кілька місяців і після кожного звільнення людини з доступом.
• Менше персональних даних у нотатках. Номери карток, паспортні дані, приватні подробиці в коментарях до замовлень не потрібні для доставки, а в разі витоку стають частиною витоку.
• Регулярне вивантаження даних з CRM у ваше власне сховище, а також розуміння, як ви житимете, якщо CRM тиждень недоступна. Це і є план Б.

Жоден із цих кроків не прибирає ризику витоку в сервісі, яким ви користуєтесь. Вони роблять інше: витік стає керованим, бо ви знаєте, що змінювати, і міняєте це за години, а не за тижні.

Якщо ви не клієнт SalesDrive

Уся перевірка вище підходить для будь-якої CRM, ERP чи облікової системи, куди ви колись вписали ключі від доставки, оплати й маркетплейсів. Корисно пройти її без приводу: скласти перелік інтеграцій, знайти ключі, які ніхто не пам'ятає, і прибрати зайві права. Найкраще це робити тоді, коли листа про інцидент ще немає.

Розбір переліку інтеграцій і ключів — частина нашої роботи з інтеграціями магазинів. Строк і обсяг називаємо після того, як побачимо ваш перелік.