1С-Битрикс Безопасность

Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует

❗️В Telegram-каналах появилась недостоверная информация о наличии уязвимости в модуле "Перевод", якобы позволяющей несанкционированно загружать архивы без проверки безопасности.

Мы оперативно провели проверки и НЕ подтверждаем наличие уязвимости в продукте. Загрузка файлов в модуль "Переводы" доступна только администраторам. Указанные в сообщении необходимые права соответствуют правам администратора. Администратор уполномочен изменять и запускать любой код на проекте.

Таким образом, уязвимость отсутствует.

⚡️Одновременно, напоминанием о важности обновлений, которые позволят обеспечить высокий уровень безопасности корпоративных данных!

⚡️ Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует о необходимости обновления коробочной версии Битрикс24

В рамках реализуемой нами программы Bug Bounty, мы усилили безопасность Битрикс24 и закрыли возможность добавления постороннего контента в текст связанных email-рассылок в модуле CRM.

⚠️ Уязвимость подтверждена и внесена БДУ ФСТЭК России.

Уязвимость уже устранена. Инцидентов, эксплуатирующих эту уязвимость, выявлено не было.

Необходимо в кратчайшие сроки установить актуальную версию 25.700.100 и выше.

Что делать?
— Проверьте установленную версию.
— Обновитесь до версии 25.700.100, если еще не сделали этого.
— Проверьте настройки WAF на блокировку входящих XSS.

Не откладывайте!

Второй фактор защиты – основы и важность усиленной аутентификации🔥

Этот механизм требует ввода не только пароля, но и дополнительного фактора, подтверждающего владельца учетной записи. Такая архитектура усиливает идентификацию и снижает риск несанкционированного доступа.

Виды и примеры двухфакторной аутентификации:

👍 Мобильные приложения-аутентификаторы
При включении функции единоразово задается одинаковый секрет и в приложении-аутентификаторе, и в защищаемом сервисе. На основании секрета приложение и сервис независимо друг от друга формируют одноразовый код по одинаковому алгоритму. Пользователь вводит код в сервис, происходит сравнивание кодов и при совпадении — успешная аутентификация.

👍 Аппаратные ключи
Основной принцип действия заключается в защищенном хранении секрета на аппаратном устройстве. Могут быть реализованы разные алгоритмы, например, второй фактор вычисляется на основе закрытого криптографического ключа. Сервис, в котором проходит аутентификация, делает сверку по соответствующему открытому ключу. Устройства могут подключаться через USB или работать бесконтактно.

👍 СМС/Электронная почта
Принцип работы похож на способ формирования второго фактора приложением-аутентификатором, при этом генерация кода происходит на стороне инфраструктуры защищаемого сервиса. Код приходит посредством СМС на доверенный номер телефона или электронным письмом на доверенную почту, а пользователь вводит значение полученного фактора в клиентском приложении защищаемого сервиса.

👍 Push-сообщение
Самый популярный и удобный вид аутентификации. Сначала пользователю необходимо авторизоваться (обычно с помощью 2ФА через СМС) в доверенном мобильном приложении, которое связано с защищаемым сервисом через сервер push-сообщений. В это приложение будет приходить пуш-уведомление с вопросом на подтверждение входа или с кодом. При ответе «да» или вводе правильного кода — успешная аутентификация.

👍 Биометрия
Принцип заключается в считывании сканером биометрических данных и в их математическом преобразовании в код, который сравнивается с ранее сохраненным в защищаемом сервисе эталонным кодом.

👉Подробнее

Используете 2ФА?
🔥— конечно
👀— нет

Что делать, если вам звонят неизвестные компании?

Если после посещения сайта Битрикс24 или сайта нашего партнера вам позвонили из незнакомой компании, и вы уверены, что не оставляли заявку на их сайте и не давали разрешение связаться с вами, выполните несколько шагов. Это поможет нам оперативно разобраться в ситуации.

✅ Уточните, кто звонит. Спросите у звонящего, откуда у него ваш номер и как называется компания. Часто в ответ прямо говорят, что используют сторонние сервисы.
✅ Сохраните информацию о звонке. Запишите номер, включите запись разговора, если есть возможность. Эти данные помогут нам разобраться в ситуации.
✅ Передайте нам данные. Заполните форму — это поможет отследить источник нежелательных звонков и защитить вас и других клиентов. Если окажется, что звонок поступил от партнера Битрикс24, мы проведем проверку и примем необходимые меры.

Чтобы избежать звонков от посторонних компаний:

✅ Проверяйте соглашения на обработку персональных данных.
✅ При подключении услуг связи, интернета и онлайн-сервисов обращайте внимание, разрешаете ли вы передачу данных третьим лицам в рекламных целях.
✅ Будьте внимательны при установке программ и расширений браузера. Не соглашайтесь на сбор данных о том, какие сайты вы посещаете и какими сервисами пользуетесь.

👉Подробнее

Мы запустили публичную программу для поиска уязвимостей на Standoff Bug Bounty ⚡️

📲Ранее партнерство осуществлялось в приватном режиме. В рамках новой публичной программы исследователям предлагается проверить защищенность облачного портала Битрикс24, в том числе уникальный домен, который можно зарегистрировать специально для тестирования.

Обеспечение максимального уровня безопасности для наших клиентов — ключевой приоритет «1С-Битрикс». Мы используем комплексный подход, который включает как собственные защитные механизмы, так и регулярные независимые аудиты.
Убедившись в высокой эффективности Bug Bounty в рамках приватного партнерства, мы приняли решение о запуске публичной программы. Это позволит привлечь к тестированию безопасности еще больше талантливых исследователей.

Таким образом, мы проактивно работаем над устранением потенциальных рисков, чтобы быть уверенными в надежности наших решений. Роман Стрельников, Руководитель направления по информационной безопасности «1С-Битрикс».

👉Подробнее

Каждый пятый сотрудник передает конфиденциальные данные нейросетям 📲

Наше совместное исследование с «Русской школой управления» показало: 23% компаний уже сталкивались с тем, что сотрудники делились конфиденциальной информацией с чат-ботами. В 16% случаев это происходило однократно, в 7% — несколько раз.

Что передают сотрудники?

15% опрошенных признались, что регулярно отправляют в чат-боты пароли и важные файлы. При этом почти половина сотрудников использует для рабочих задач общедоступные мессенджеры вместо защищенных корпоративных каналов.

Почему это опасно?

Любая информация, отправленная в чат-бот, попадает на сторонние серверы и может быть использована для обучения следующих версий ИИ-моделей. Это утечка данных, даже если кажется, что «ваши секреты никому не интересны».

Что делать?

70% компаний считают утечки данных основной угрозой безопасности. Чтобы работа с нейросетями приносила пользу и не создавала риски, мы рекомендуем 👇

🔵Внедрить регламенты использования нейросетей;
🔵Проводить обучение по кибербезопасности;
🔵Использовать защищенные корпоративные инструменты.

🔜 Больше об исследовании рассказываем по ссылке.

Почему MCP полезен для безопасного взаимодействия с ИИ-моделью? 🤖

Использование новых решений часто сопряжено с рисками информационной безопасности. В настоящее время уже определились популярные способы компрометации практических реализаций протокола.

В MCP-конфигурации потоки данных унифицируются и проксируются, обеспечивая возможность встраивания защитных механизмов. Это разделяет ответственность: одни серверы предоставляют инструменты взаимодействия, другие ресурсы и данные, третьи LLM сервисы, а пользователи (агенты) используют их через единый стандартизированный интерфейс.

Это позволяет внедрить основные меры противодействия атакам:

✍️ настроить структуру запросов, входных данных и их источников;
✍️ реализовать идентификацию и контроль пользовательского, служебного и автоматизированного ввода, разделение данных и команд;
✍️ обеспечить экранирование ввода (в том числе вызванного самой моделью) и проверку его содержимого на предмет зловредного кода или инструкций;
✍️ настроить ограничения к выводу модели и проверку его содержимого на предмет возможного негативного воздействия на адресата.

Кроме того, MCP-архитектура позволяет:

✍️ изолировать инструменты по зонам доступа за счет связей один ко одному для каждого MCP-сервера и источника данных/инструмента;
✍️ строго настроить потоки данных и сценарии взаимодействия узлов;
✍️ валидировать внешние подключения;
✍️ логировать события безопасности

👉Подробно рассказали, на что обратить внимание при встраивании MCP-компонентов в ландшафт систем искусственного интеллекта.

Двухфакторная аутентификация 2FA 🚀

Компании хранят в Битрикс24 много важной информации. Наша задача — защитить данные каждого пользователя, ведь риски для бизнеса становятся серьезнее:

✍️ Хакеры все чаще используют искусственный интеллект, чтобы атаковать организации.
✍️ Требования к тому, как компании хранят и обрабатывают персональные данные, стали строже.

В новом Битрикс24 двойная аутентификация становится обязательной для всех пользователей. Это мировой стандарт безопасности, который защищает от утечек данных.

Второй фактор входа — мобильное приложение. Злоумышленники не смогут проникнуть в систему, даже если узнают или подберут пароль. Для взлома им понадобится доступ к приложению.

Все обновления пользователи Битрикс24 будут получать последовательно. Ожидайте анонса.

Как вам новость? 🔥

Устойчивая безопасность: как управлять уязвимостями в современных продуктах 👀

Мы отказались от линейного подхода «нашел-исправил» в пользу непрерывной петли. Она не просто закрывает уязвимости, а постоянно повышает устойчивость системы в целом.

Наша петля разработки безопасного программного обеспечения (РБПО) строится на трёх ключевых точках обнаружения уязвимостей👇

1. Проактивная защита: безопасная разработка (DevSecOps)

Мы встраиваем проверки безопасности прямо в процесс разработки. Делаем это автоматически, чтобы найти и устранить стандартные уязвимости до того, как код попадет в сборку. Безопасность становится частью рутины разработчика, а не отдельной фазой.

2. Взгляд извне: программы Bug Bounty

Регулярно привлекаем независимых этичных хакеров для тестирования наших продуктов в контролируемой среде. Они помогают нам найти сложные и неочевидные уязвимости, которые не видны изнутри. Это позволяет увидеть продукт глазами злоумышленника и вскрыть логические ошибки.

3. Контроль в реальном времени: мониторинг и реагирование

Мы круглосуточно мониторим поведение нашей облачной инфраструктуры и приложений, используя в том числе автоматизированные сценарии. Так мы быстрее обнаруживаем и пресекаем атаки в продакшене, минимизируя ущерб. Это последний рубеж обороны, который работает с реальными угрозами.

Главное — замыкание петли. Любая найденная уязвимость — не просто тикет в трекере, а точка роста для всей системы.

👉 Подробнее

Встречайте новую документацию для разработчиков 1С-Битрикс и Битрикс24 🔥

👉Документация доступна по адресу

В ней уже есть вся основная информация по работе с BitrixFramework — основой продуктов 1С-Битрикс: Управление сайтом и Битрикс24.

В чем отличия новой документации:

✔ единый источник информации — в новой документации нет разделения на контент для разработчика, контент-менеджера или администратора. Не нужно искать информацию в разных источниках, чтобы собрать воедино всю картину.

✔ переработанная и дополненная информация — в новой документации только актуальная информация и механики, понятные примеры использования.

✔ раздел Справочник API — в нем собрана информация по актуальным классам системы.

✔ удобство коммуникации — привычный формат взаимодействия: issues и pull requests. На каждой странице документации можно в один клик создать issue с предложением или замеченной ошибкой. Если хотите внести свой вклад, создавайте pull request с правками и пополняйте список контрибьюторов нашего официального репозитория.

Мы хотим сделать единый и удобный источник информации для разработчиков, чтобы вы могли найти ответ на любой возникающий вопрос при работе с продуктами компании. Новая документация будет развиваться, планируем перенести в нее документацию для разработчиков и D7. Будем рады обратной связи!

📍Новая документация для разработчиков 1С-Битрикс и Битрикс24.
📍Официальный репозиторий компании.

👀Почему и как “1С-Битрикс” пересмотрел подход к кибербезопасности - бизнес-партнер по ИБ в “1С-Битрикс" Леонид Плетнев в колонке, подготовленной специально для SecPost😍, рассказывает об эволюции киберугроз и подходов к защите цифровых продуктов.

🗣Экспертный разбор: все о безопасности поставщиков

Леонид Плетнев, бизнес-партнер по информационной безопасности 1С-Битрикс, и Анастасия Харыбина, руководитель AKTIV.СONSULTING, обсудили безопасность поставщиков в новом подкасте «Безопасный выход».

👉Слушайте выпуск

Что разобрали:
✍️ Чем рискует организация, не уделяя внимание безопасности поставщиков
✍️ Нужно ли включать поставщика в периметр безопасности организации
✍️ Какой этап самый важный при выборе поставщика
✍️ Какой процент open source кода используется в закрытом ПО
✍️ Как разграничить ответственность между вендором, интегратором и поставщиком SaaS-решений

🎞 Видеоверсию подкаста «Безопасный выход» смотрите тут

🟡 Ваш сайт на 1С-Битрикс до сих пор не обновлен?

CyberOK проверил Рунет на предмет давно известных уязвимостей. Исследование показало, что в интернете все еще доступно множество необновленных пользователями сайтов с древними уязвимостями, которые мы исправили в продукте еще 2-3 года назад.

Наша CMS популярна (коллеги из CyberOK называют более 1 миллиона сайтов) и привлекает внимание не только СМИ, но и злоумышленников. Поэтому мы ведем постоянную работу по информированию пользователей о базовых правилах безопасности и о необходимости обновлений: рассылки, статьи, инструкции, экспертиза независимых специалистов и этичных хакеров. Вот даже Telegram-канал отдельный для вас завели 🔧

Мы постоянно выпускаем новые версии не просто так, а ради вашей безопасности. Специалисты CyberOK подтверждают: самая простая и эффективная защита — это своевременное обновление CMS!

Проявите бдительность, не будьте в числе потенциальных жертв.
И обновите ваш сайт СЕГОДНЯ!

Лучше один раз настроить процесс обновлений, чем поставить весь бизнес под угрозу⚠️

Почему киберпреступники взялись за МСБ — и как противостоять угрозам?

Всего несколько лет назад целевые кибератаки ассоциировались с крупными корпорациями и государственными структурами. Но сегодня ситуация кардинально изменилась: внимание киберпреступников сместилось на наиболее уязвимый сегмент — малый и средний бизнес.

По статистике, с хакерскими атаками сталкивается каждая третья компания МСБ. Неудивительно: объемы выручки в сегменте исчисляются триллионами, а вот уровень защиты оставляет желать лучшего.

К счастью, чтобы повысить безопасность, не нужны миллионные бюджеты. Начните с простых шагов 👇

🔹Используйте правило «четырех глаз» для финансов. Не проводите платежи по одной лишь электронной команде — добавьте устное подтверждение по телефону или через защищенный корпоративный чат.
🔹Включите двухфакторную аутентификацию. Это главный щит от взлома аккаунтов.
🔹Проведите 15-минутный ликбез для команды. Покажите сотрудникам свежие примеры мошеннических сообщений из вашей отрасли. Объясните, что любая срочная просьба о переводе денег — это красный флаг.
🔹Обратите внимание на партнеров. Атаки через цепочку поставок — новый тренд, поэтому безопасность партнеров — это тоже ваша забота.

Кибербезопасность для малого бизнеса — это не только про технологии, но и про выстроенные процессы и привычки.

👉 Подробнее о мерах защиты рассказываем в статье.

Как мы подходим к работе с пентестерами? 🔛

Сегодня поговорим про offensive security. Вокруг темы много споров — стоит ли контролировать подрядчиков, что выбрать — пентест или баг баунти, как определить квалификацию команды хакеров.

👉 Расскажем про наш подход к «наступательной безопасности» и дадим советы о том, как получить максимум выгоды из работы с «этичными хакерами».

Почему мы выбрали Black Box для проверки облачной инфраструктуры Битрикс24?

Для нас проверки на уязвимость — это не формальность, а жизненная необходимость. Мы постоянно играем в «белых хакеров». Не ждем проблем, а сами ищем дыры в безопасности, пока это не сделал кто‑то другой. Это касается всего. Мы постоянно пробуем взломать наши сайты, API и сервера — именно так, как это делают настоящие злоумышленники.

Тестируем инфраструктуру изнутри. Особенно тщательно проверяем настройки сервисов в инфраструктуре. Часто проблемы возникают не из‑за багов, а потому что что‑то случайно оставили открытым, оставили конфигурацию не крайней версии. Мы смотрим: а туда ли ушли пароли? Тот ли доступ у этого сервиса? Нельзя ли из одного артефакта сделать другой?

Проверяем, что будет, если кто‑то уже внутри? Мы моделируем ситуацию, будто злоумышленник уже проник в систему. Сможет ли он там безнаказанно перемещаться? Это помогает выстроить внутреннюю защиту.

📍Как уже говорилось выше, black box пентест максимально приближен к реальным атакам — тестирование проводится так же, как действовал бы настоящий злоумышленник. Но для нас было важно оценить еще несколько моментов.

👍 Облака чаще всего атакуют именно извне, а Black Box фокусируется на внешних уязвимостях. Такой подход помогает найти дыры в безопасности, которые могут использовать хакеры, даже если у них нет доступа к внутренним системам.

👍 Этот метод позволяет оценить, насколько легко злоумышленник может добыть конфиденциальные данные, используя только открытые источники.

Как выбрать исполнителя?

👉 Подробнее читайте в материале

⚡👉Про своевременность обновления

Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует

❗️Зафиксирована уязвимость в стороннем модуле "Система бонусов. Программы лояльности", разработчика АКРИТ.

Уязвимость уже устранена компанией-разработчиком, необходимо в кратчайшие сроки установить актуальную версию.

Благодарим коллег из СайберОК, которые обнаружили уязвимость.

Всем настоятельно рекомендуем своевременно обновлять все системные компоненты из окружения 1С-Битрикс: сторонние модули, ОС, веб-серверы, СУБД, сетевое оборудование.

Битрикс24 добавил настройки безопасности для защиты корпоративной информации 🔥

В настройках в разделе «Безопасность» появился новый блок «Защита информации от утечек», который включает в себя запрет на создание скриншотов и копирование текста в мобильном приложении.

Администратор может настроить ограничения для отдельных сотрудников, отделов или всей компании. Система будет автоматически блокировать запрещенные действия и выводить предупреждение.

👉Подробнее

🔥 Мы с крутой новостью! Продукты «1С-Битрикс24» и «1С-Битрикс: Управление сайтом» успешно прошли испытания в Оперативно-аналитическом центре при Президенте Республики Беларусь и получили Сертификаты соответствия.

Это официальное подтверждение, что наши решения соответствуют требованиям законодательства Республики Беларусь, а также высоким стандартам информационной безопасности и защиты персональных данных! Подробнее

🔒 Что это значит для вас?

Надежность: Ваши данные защищены на уровне, подтвержденном государственным аккредитованным органом.

Соответствие законодательству: продукты Битрикс24 отвечают требованиям технического регламента ТР 2013/027/BY и стандартам СТБ в области информационной безопасности и защиты персональных данных.

🛡️ Сертификация — это знак качества, который подтверждает, что вы можете безопасно работать с данными в наших продуктах.

Летим дальше!