Письмо об инциденте безопасности в CRM SalesDrive: что сделать интернет-магазину на этой неделе

Клиенты CRM SalesDrive получили письмо об инциденте информационной безопасности. Если ваш магазин ведет заказы в SalesDrive, это письмо касается сразу двух вещей: данных ваших покупателей и ключей, которыми CRM входила в ваши сервисы доставки, оплаты и маркетплейсы. Ниже порядок действий для владельца магазина, без разбора, кто виноват, и без оценок компании: что именно оказалось под угрозой, какие ключи менять первыми, где искать следы злоупотреблений и что говорить покупателям, которым звонят «по поводу вашего заказа».

Одна оговорка заранее: с компанией SalesDrive нас ничего не связывает, и дополнительных сведений об инциденте у нас нет.

Что известно из письма SalesDrive

Единственный источник, на который мы опираемся, — письмо SalesDrive своим клиентам. Публичных сообщений или новостей об инциденте мы по состоянию на 30 сентября 2026 года не нашли. Поэтому ниже только то, что написано в письме, и в том виде, в каком это подает сама компания.

Что случилось

• Инцидент зафиксирован 7 сентября 2026 года в 02:00.
• По письму, «в результате хакерской атаки произошла утечка» информации, хранившейся в системе: речь идет о несанкционированном доступе и копировании.
• Первая категория данных — персональные данные покупателей, то есть клиентов тех магазинов, которые работают в CRM: ФИО, номера телефонов и детали заказов, в частности названия товаров, суммы и названия магазинов-продавцов.
• Вторая категория — системные и авторизационные данные интеграций: API-ключи, токены доступа, авторизационные данные внешних сервисов и маркетплейсов. По письму, именно это обусловило необходимость их «массового обновления и сброса».

Что, по письму, сделано со стороны SalesDrive

• 7 сентября — источник несанкционированного доступа, по словам компании, обнаружен и заблокирован.
• 7–8 сентября — развернуты новые серверы с нуля и обновлены ключи доступа.
• Доступ к серверам (SSH и базы данных) ограничен по IP-адресам.
• Проведен аудит исходного кода и серверной конфигурации; по письму, обнаруженные уязвимости устранены.
• Все активные сессии пользователей платформы принудительно завершены.
• SalesDrive со своей стороны направляет уведомление об инциденте в Секретариат Уполномоченного Верховной Рады Украины по правам человека.

Ключи интеграций: даты из письма

По письму, вместе с партнерами проведен массовый сброс ключей:

Также, по письму, изменены API-ключи приложений SalesDrive для Gmail, Google Analytics и OLX. По части партнеров, пишет компания, работа над массовой сменой ключей еще продолжается, а по API-ключам самой SalesDrive обещана отдельная инструкция.

Перечень дат — это действия, которые SalesDrive описывает со своей стороны. Он не означает, что в вашем кабинете старые ключи уже не действуют, и не охватывает сервисов, которых в перечне нет. Как с этим работать, разобрано ниже.

Чего из письма не видно

Так же важно назвать, чего мы не знаем. Из письма не видно:

• когда именно начался посторонний доступ: 7 сентября — дата обнаружения, а не обязательно начала;
• сколько магазинов и покупателей затронуто;
• коснулось ли это платежных данных или паролей пользователей CRM;
• каких партнеров касается работа, которая еще продолжается, и когда она завершится;
• были ли уже злоупотребления данными или ключами в конкретных магазинах;
• кто стоит за атакой.

Поэтому дальше мы не делаем выводов вроде «базу уже продают» или «вам ничего не угрожает». Оба утверждения не имеют оснований. Разумная позиция другая: считать скомпрометированным все, что хранилось в CRM, и действовать так, будто этим уже могут воспользоваться.

Что именно оказалось в зоне риска

Данные покупателей

Имя, телефон и состав заказа вместе дают мошеннику все для убедительного звонка. Он знает, что человек купил, на какую сумму и в каком магазине. Типичные сценарии, о которых стоит предупредить покупателей:

• «Ваш заказ задержан, нужна доплата за доставку» со ссылкой на стороннюю страницу оплаты.
• «Товара нет, вернем деньги на карту» с просьбой назвать данные карты или код из сообщения.
• Сообщение в мессенджере от имени магазина или службы доставки со ссылкой «отследить посылку».

Риск финансового ущерба здесь ложится на покупателя, а репутационного — на вас: человек помнит не CRM, а магазин, «от имени» которого ему звонили.

Ключи и токены интеграций

Об этом риске владельцы магазинов думают реже, хотя именно он ведет к вашим деньгам и кабинетам. Ключ API — это не пароль от кабинета, но он дает доступ к тому, что разрешено ключу. Ключ службы доставки может создавать накладные и видеть получателей. Ключ маркетплейса может менять цены, остатки или статусы заказов. Токен платежной системы в зависимости от прав может показывать операции или инициировать возврат средств. Токен почтовой рассылки или SMS-шлюза позволяет отправить сообщения вашим клиентам от вашего имени.

Даже если окажется, что пароли не затронуты (из письма этого не видно), ключ, который хранился в CRM, стоит считать известным посторонним. Это касается и партнеров из перечня в письме, и тех, кого там нет: ключ мог быть добавлен в настройки давно, и вы уже не помните, откуда он.

Первый день: перечень интеграций и замена ключей

Сначала — список

Откройте в CRM раздел интеграций и выпишите все, что там подключено. Потом пройдитесь по памяти и документам: что подключал разработчик, что добавляли менеджеры, что включали «на пробу» и забыли. Для каждой строки запишите, где создан ключ, у кого есть доступ к кабинету этого сервиса и когда ключ меняли в последний раз.

Не забудьте и обратное направление: ключ самой CRM, который хранится в модуле на вашем сайте. Через него сайт передает заказы в CRM, а в некоторых настройках получает обратно статусы и остатки.

Вход в саму CRM

Коснулся ли инцидент паролей пользователей CRM, из письма не видно, поэтому начните с самой CRM. По письму, все активные сессии уже принудительно завершены; пароли это не меняет. Смените пароли всех пользователей, включите двухфакторный вход, если он есть. Просмотрите список пользователей и выданных API-доступов: лишние и незнакомые уберите. Если пароль от CRM у кого-то совпадал с паролем от почты, платежной системы или кабинета перевозчика, меняйте и там.

Партнеры из письма и те, кого в нем нет

Для каждого партнера из таблицы выше зайдите в свой кабинет и проверьте две вещи: дату создания действующего ключа или токена и то, что старых там не осталось. Если дата раньше указанной в письме или старые ключи до сих пор активны, перевыпустите их сами.

Для сервисов, которых в перечне нет, — службы доставки, в частности Новая Почта, платежные системы, SMS, почта, телефония, учетная система, — ждать нечего: перевыпускайте ключи в порядке ниже. Инструкцию SalesDrive по ее собственным API-ключам стоит дождаться, но замену ключей от денежных сервисов ради нее не откладывайте.

Порядок: сначала то, что двигает деньги

Сменить все за час нереально, поэтому идите от самого дорогого:

1. Платежные системы и эквайринг — через них движутся деньги, в том числе возвраты.
2. Службы доставки, особенно с наложенным платежом — накладные, получатели, суммы к оплате.
3. Маркетплейсы — цены, остатки, заказы, переписка с покупателями.
4. Касса и фискализация, если она подключена к CRM.
5. SMS, рассылки, мессенджеры, телефония — каналы, через которые можно написать вашим клиентам.
6. Остальное: учетная система, склад, фиды, аналитика.

Таблица: что сделать с каждой интеграцией

Названия сервисов в таблице — примеры того, что обычно соединяют с CRM, а не перечень того, что точно хранилось в вашем аккаунте. Ваш перечень — тот, который вы составили на первом шаге.

Как менять ключ, чтобы ничего не сломать

Новый ключ не подхватится сам: его нужно вписать туда, где работает обмен. Иначе после замены перестанут создаваться накладные или перестанут поступать заказы с маркетплейса. Обычный порядок такой: создать новый ключ, вписать его в CRM или модуль, проверить, что обмен работает, и отозвать старый. Но старый ключ уже скомпрометирован и действует, пока вы его не отозвали, поэтому промежуток между «новый создан» и «старый отозван» держите как можно короче — минуты, а не дни. Для интеграций, которые двигают деньги, разумнее отозвать старый ключ сразу и смириться с короткой паузой обмена. Некоторые сервисы дают только один ключ: перевыпуск гасит старый мгновенно, и до того, как вы впишете новый, обмен будет стоять. Делайте это в тихое время и предупредите менеджеров. Если сервис позволяет ограничить ключ по IP-адресу или правам, сделайте это сейчас, пока вы все равно в настройках.

Прежде чем вписывать новые ключи обратно в CRM, спросите поддержку SalesDrive, нет ли для этого отдельного порядка. После замены сделайте тестовый заказ от корзины до накладной и чека.

Пример: ключ API Новой Почты

Разберем один ключ подробно: с остальными принцип тот же. Ключ API Новой Почты создается в кабинете перевозчика, под той учетной записью, с которой вы работаете с накладными. Если ключей там больше одного, выясните, какой стоял в CRM; бывает, что тот же ключ вписан еще и в модуль сайта или складскую программу. Создайте новый ключ, впишите его во все места, где работал старый, и проверьте обмен тестовой накладной; старый отзовите сразу (для остальных интеграций — после проверки), как описано выше. Тестовая накладная — настоящий документ в системе перевозчика, поэтому после проверки удалите ее. Если не уверены, где именно в кабинете это делается, спросите поддержку перевозчика: интерфейсы кабинетов меняются, и указания из чужой статьи могут устареть.

Проверка следов: воспользовались ли уже ключами

7 сентября — дата, когда инцидент обнаружили; когда начался доступ, из письма не видно. Поэтому, кроме замены ключей, просмотрите период от 7 сентября до дня замены, а если журнал сервиса хранит более давние записи, то и несколько недель до того. В кабинетах сервисов ищите:

• заказы и статусы: необычные заказы, массовые изменения статусов, отмены, которых не делали менеджеры;
• накладные: новые ТТН, которых не создавал склад, измененные адреса или получатели;
• деньги: возвраты средств, изменения реквизитов для выплат, новые счета для вывода;
• входы в кабинеты: неизвестные устройства, города, время суток;
• пользователи и доступы: новые пользователи, новые ключи API или подключенные приложения, о которых вы не знаете;
• сообщения: SMS и рассылки, которых вы не отправляли, списания с баланса.

Если что-то нашли, не удаляйте запись сразу. Сделайте снимок экрана с датой, сохраните выгрузку, напишите в поддержку этого сервиса и только потом исправляйте. Следы, стертые собственноручно, потом невозможно показать ни поддержке, ни юристу.

Покупатели: что им сказать и как уберечь от мошенников

Писать ли всем

Решение, уведомлять ли покупателей и в какой форме, зависит от ваших обязанностей как того, кто собирает и хранит данные покупателей, от объема данных и от того, что напишет поддержка CRM. Конкретных норм и сроков мы здесь не приводим, потому что юридическую оценку должен дать юрист, который работает с защитой персональных данных. Независимо от его вывода, короткое предупреждение на сайте и в соцсетях вреда не причинит. Пишите в нем только то, что действительно правда для вашего магазина. Например: «Об оплате и доплатах мы сообщаем только через [ваш канал]. Если вам пишут или звонят от нашего имени иначе, проверьте заказ на сайте или позвоните нам по номеру с сайта». Если вы сами отправляете ссылки на оплату, так и напишите, с какого адреса или номера они приходят.

Шаблон для менеджеров

Покупатели начнут спрашивать, и лучше, чтобы все менеджеры отвечали одинаково и без обещаний, которые магазин не может выполнить. Примерно так, подставив в скобки то, что правда именно у вас:

Спасибо, что обратились. Об оплате и доплатах мы сообщаем только через [ваш канал]. Статус вашего заказа я проверю сейчас. Если вам звонили или писали от нашего имени, подскажите, пожалуйста, дату, номер и что именно просили — мы это зафиксируем. Не называйте никому данные карты и коды из SMS.

Чего менеджеру не говорить: «ваши данные в безопасности», «это не у нас», «ничего не утекало». Ни одно из этих утверждений вы сейчас не можете доказать.

Фиксируйте обращения

Заведите простую таблицу: дата, покупатель, номер заказа, что случилось, с какого номера звонили или писали, что ответили. Она пригодится и юристу, и для разговора с CRM, и чтобы увидеть, идут ли мошеннические звонки вообще и касаются ли они именно ваших заказов.

Что зафиксировать для себя и юриста

Пока события свежие, соберите в одну папку:

• само письмо SalesDrive с датой получения;
• перечень интеграций и дату замены каждого ключа;
• найденные следы со снимками экрана и выгрузками;
• таблицу обращений покупателей;
• переписку с поддержкой CRM и сервисов.

По письму, SalesDrive со своей стороны уведомляет об инциденте Секретариат Уполномоченного Верховной Рады Украины по правам человека. Нужно ли что-то делать вам как магазину, в какой срок и в какой форме, — вопрос к юристу. Мы намеренно не цитируем здесь законов: ошибочная норма в такой статье хуже ее отсутствия.

Можно ли дальше работать в CRM

Это решение за вами, и мы не будем подталкивать его ни в какую сторону. Переезд на другую CRM посреди сезона — отдельный риск: потерянная история, переобучение менеджеров, новые интеграции. Вопросы, которые стоит задать поддержке, чтобы решить спокойно:

• какие данные вашего аккаунта были в системе на момент инцидента;
• какие ключи, кроме названных в письме, нужно сменить вам;
• завершен ли сброс ключей для партнеров, с которыми работает ваш магазин;
• можно ли выгрузить ваши данные полностью, если понадобится.

Ответ на последний вопрос полезен при любом решении: без выгрузки у вас нет плана Б.

Как не зависеть от одного места

Этим сентябрем было два разных события, а урок из них один: не держать все в одном месте. О первом, разрушенном дата-центре, мы писали в статье что делать владельцу сайта, когда хостинг упал. Второе — инцидент, о котором сообщает это письмо. В обоих случаях ущерб растет вместе с тем, сколько всего хранилось в одном месте. Что можно сделать в спокойную неделю:

• Отдельный ключ на каждую интеграцию. Не один ключ службы доставки на сайт, CRM и склад, а три. Тогда скомпрометированный ключ меняется в одном месте и не ломает остальное.
• Минимальные права. Если ключу достаточно читать заказы, не давайте ему права создавать возвраты. Где сервис позволяет ограничение по IP-адресу, включайте его.
• Двухфакторный вход в кабинеты платежных систем, доставки, маркетплейсов, регистратора домена и самой CRM.
• Реестр ключей. Одна страница: где какой ключ создан, где он используется, у кого есть доступ, когда меняли. Сам ключ туда не пишите, только где он хранится. Когда приходится менять все сразу, такая страница экономит часы.
• Календарь замены. Раз в несколько месяцев и после каждого увольнения человека с доступом.
• Меньше персональных данных в заметках. Номера карт, паспортные данные, личные подробности в комментариях к заказам не нужны для доставки, а в случае утечки становятся частью утечки.
• Регулярная выгрузка данных из CRM в ваше собственное хранилище, а также понимание, как вы будете жить, если CRM неделю недоступна. Это и есть план Б.

Ни один из этих шагов не убирает риска утечки в сервисе, которым вы пользуетесь. Они делают другое: утечка становится управляемой, потому что вы знаете, что менять, и меняете это за часы, а не за недели.

Если вы не клиент SalesDrive

Вся проверка выше подходит для любой CRM, ERP или учетной системы, куда вы когда-то вписали ключи от доставки, оплаты и маркетплейсов. Полезно пройти ее без повода: составить перечень интеграций, найти ключи, которые никто не помнит, и убрать лишние права. Лучше всего делать это тогда, когда письма об инциденте еще нет.

Разбор перечня интеграций и ключей — часть нашей работы с интеграциями магазинов. Срок и объем называем после того, как увидим ваш перечень.