如何检查网站的凭证替换：逐步指南
如何检查网站的凭证替换：逐步指南
网站上的信息替换看起来很平常，这正是它的危险所在。公司的结算账户可能“突然”更改，经理的联系方式可能会变，支付页面的链接可能指向无处或其他人的钱包。对客户来说，这意味着额外的费用。对企业来说，这意味着争议、退款、失去信任和漫长的纠纷。
通常情况下，攻击者不会随意破坏所有内容。他们只需要1-2个入口点：以员工名义发送的邮件、对CMS的访问、主机上的弱密码。然后更改页面上的一个模块，买家就会支付错误的地方。如果需要快速了解相关主题，可以参考 如何检查网站是否欺诈：指南，但这里讨论的正是信息替换。
1. 什么是信息替换，它有什么危险
替换凭证不仅仅是发票中的新账户。这包括联系方式、电子邮件、付款链接、二维码、银行信息、邮件中的签名，甚至PDF中的文本。地址中的一个字符发生变化——客户就会写错地方。账单号码中的一个数字发生变化——钱就会转给错误的收款人。
对于公司来说，风险是双重的。首先，钱可能会流失。其次，声誉会受到损害：客户很少会深入了解究竟是谁的错——是托管服务、承包商还是内部员工。他只看到一个事实：网站上曾有一套凭证，后来又变成了另一套。这就足以引发冲突。
另一个麻烦是邮件中的隐蔽替换。客户收到账单，打开附件，付款后，过了两天才发现凭证被替换了。这种情况通常会持续1-2周，直到财务和支持部门核对旧版本的文件。是的，这很麻烦。
2. 可疑替换的迹象
第一个信号是账单和文件中的意外变化。如果昨天的 PDF 中有一个 BIK，而今天有另一个，这是一个值得注意的信号。另一个标志是出现了以前没有的新支付按钮，或者旧按钮指向不熟悉的域名。检查只需 5 分钟，但可以节省数小时。
查看电子邮件地址。即使是多余的点、破折号或将域名从 company.ru 更改为 company-pay.ru 也会改变含义。电话的检查也不是看外观，而是看实际情况：号码可能相似，但不是您的。替换凭证通常伪装成“技术更新”，这是首先需要手动核实的内容。
还有更明显的症状：订单表单开始收集多余的字段，网站底部的凭证消失了，而自动回复的邮件中出现了新的账单。如果在“支付”页面上突然出现了 3 种转账方式而不是 1 种，这不一定是设计师的错误。有时这是一种攻击点。为了比较，打开如何检查网站是否存在页面，并查看通常如何设计服务部分。
3. 首先检查网站的哪些部分
从“联系方式”页面开始。那里通常会更改电话、电子邮件、办公室地址和消息应用程序的链接。然后打开“支付”或“凭证”，如果有这样的页面。通常那里会有纳税人识别号、银行账户、银行识别码、收款人姓名，有时还有付款样本。一个错误的字符就足以引发调查。
接下来检查商品卡片和服务页面。替换通常隐藏在描述中，在“购买”按钮中，在弹出窗口中以及在页脚上方的简短文本块中。不要懒惰，使用手机和电脑打开页面：有时攻击者只更改移动版本。是的，确实会发生这种情况。
单独查看PDF文档。账单、合同、价格表、报告——这些都是攻击者喜欢替换的，因为文件被下载后不会再次与网站核对。另一个风险区域是邮件和自动回复。在这些邮件中可能会出现旧的签名横幅，但已经有了新的付款链接。邮件在9:12到达，而替换发生在9:10——这就是攻击窗口。
如果网站上有退货页面，也要核对一下。骗子并不总是进入“付款”部分；有时会更改客户寻找退款流程和留下卡号的部分。在这种检查中，检查网站是否存在页面会有所帮助，因为服务页面的逻辑是相似的。
4. 如何检查网站的技术状态
首先将网站的当前版本与备份进行比较。需要两个快照：昨天的和今天的。如果您设置了备份，请打开存档并检查特定文件：支付页面模板、页脚、联系方式块、PDF生成文件。即使模板中的一行也可能更改凭据。
然后查看CMS中的更改日志。在管理员面板中，通常可以看到作者、修改的日期和时间。如果内容经理从未更改过凭据，而修改来自新用户在03:17，这已经是一个信号。修改历史有时还保存以前的文本版本，因此您可以立即看到被删除的内容。没有多余的理论。
检查服务器上的文件。特别是那些负责模板、表单处理、凭证输出和邮件发送的文件。一个感染的文件可能只会为部分访客更改账户号码，例如特定浏览器的用户或来自特定地区的用户。这种事情通常会悄悄进行。
如果可以访问管理员面板，请将面板中看到的内容与公开页面上显示的内容进行比较。有时，管理员面板中已经有正确的数据，而网站上却是旧的缓存或第三方脚本，覆盖了原始文本。如果发现不一致，请立即记录，而不是等一天后再说。
5. 如何检查支付和银行信息
核对税号、银行账户、银行识别码、收款人名称和付款用途与公司的官方文件。如果有一个凭证不匹配，这不是小事，而是停止付款的原因。对于内部检查，请保留一个与会计和律师商定的标准账单模板，并且不要在没有记录的情况下更改它。
支付链接会单独检查。请完整打开地址，而不仅仅是按钮。查看域名、协议、多余的符号、子域和重定向。如果链接通过缩短服务，而您并未使用它，这就是一个警惕的信号。二维码默认也不安全：它们可以在30秒内被替换，客户甚至不会注意到。
还有一个简单的日常方法。拿两个不同的渠道：网站和纸质合同，或者网站和会计账单。如果两个地方的凭证一致，风险就较低。如果不一致，首先要弄清楚错误的来源。在这个地方，很多人第一次询问如何在不借助开发者的情况下检查网站是否更改了凭证，答案通常是：不仅要比较文本，还要比较客户到达支付的路径。
| 要核对什么 | 在哪里查找 | 关注点 |
|---|---|---|
| 税号和名称 | 凭证、合同、账单 | 完全匹配书写 |
| 结算账户和BIC | 支付页面，PDF | 1个数字错误已经是致命的 |
| 支付链接 | 按钮，邮件，二维码 | 域名，重定向，协议 |
| 收款人 | 账单，收银台，支付表单 | 与官方名称匹配 |
6. 如果确认了替换该怎么办
第一步是关闭可疑的页面或表单。如果您只有管理员权限，请从发布中删除该块，并从备份中恢复以前的版本。不要等到一天结束。网站工作中的凭证替换不喜欢暂停：页面打开的时间越长，丢失支付的机会就越大。
接下来，从标准模板中恢复正确的凭证。检查不仅是页面，还有邮件、PDF、自动消息、经理签名和移动版本的页面。如果替换发生在多个地方，请同时修正所有5个点。否则，客户会在邮件中看到旧链接，而在网站上看到新链接，这就会造成混淆。
然后通知客户，如果订单或支付受到影响。简短地写：发生了什么，哪些凭证是正确的，如果支付已经错误地发送到哪里该联系。不要将文本拉长到两个屏幕。人们需要的是答案，而不是文风。
更改密码并关闭多余的访问权限。检查员工、承包商的账户，管理员邮箱，FTP，托管和CMS面板。如果有可疑的登录，请记录时间和IP，然后请专家查看日志。通常可以看到替换是从哪里开始的。
7. 如何保护网站免受重复替换
从访问权限开始。内容经理不应拥有系统文件的权限，而承包商如果只负责排版，则不应拥有整个管理后台的完全访问权限。控制面板和邮箱的双因素认证大大降低了风险，特别是当有人将密码保存在浏览器中时。
保持变更日志是有益的。谁、何时、做了什么更改——3行记录在事件发生时已经提供了清晰的信息。如果网站较小，简单的表格就足够了。如果项目较大，请使用版本控制和关键部分更改的通知。这不是为了美观，而是为了不通过截图寻找责任人。
备份不是“以防万一”，而是按计划进行。保留2-3个最新版本，以便在10-15分钟内恢复失败的修改。添加文件监控：如果凭据模板发生变化，您应该在一周后从客户那里得知，而不是等那么久。这不是奢侈品。
另一个保护层是检查外部脚本和插件。替换有时是通过第三方支付模块或反馈表单进行的。如果您有一个8个月没有人更新的旧插件，请首先检查它。并且不要忘记在单独的副本上测试网站，而不是直接在生产域上。
8. 什么时候应该寻求专家的帮助
如果只有一个文本块被替换，网站管理员可以处理这个问题。但如果服务器上的文件发生了变化，出现了未知用户，或者在回滚后凭证再次被替换，请呼叫开发者和信息安全专家。同一天的重复替换几乎总是意味着入口仍然开放。
当已经有资金转移到他人账户或与客户存在争议风险时，需要律师。他将帮助记录事件，保存通信并准备通知。有时，第一时间不修复网站更重要的是正确收集证据：截图、日志、变更时间、页面副本。这将节省数周而不是数小时。
如果您不确定在哪里寻找替换，最好同时检查多个层面：网站内容、邮件、PDF、访问权限、支付链接、CMS日志。匹配点越多，越容易理解替换发生在哪里。是的，在这种情况下，过于匆忙几乎总是有害的。
在实践中，通常只需要4个检查：打开账户信息页面，比较账户与模板，检查付款邮件，以及查看最近几天的修改日志。如果在任何一个地方有不一致，接下来的工作就不是猜测，而是寻找原因。
