Инъекции
Сайт берёт то, что ты ввёл в поле, и вставляет в запрос к своей базе данных. Если он не проверяет ввод, атакующий может подсунуть вместо имени кусок команды и заставить базу выдать чужие данные. Это SQL-инъекция, одна из самых старых и опасных ошибок.
XSS: чужой скрипт на странице
Если сайт показывает введённый текст без проверки, туда можно подсунуть скрипт. Он выполнится в браузере у каждого, кто откроет страницу, и может украсть вход в аккаунт. В списке главных рисков OWASP XSS с 2021 года входит в общую категорию инъекций.
DDoS: завалить запросами
Тысячи заражённых устройств одновременно обращаются к сайту, пока он не перестаёт отвечать. Данные при этом обычно не крадут, но сервис недоступен. Иногда DDoS используют как отвлекающий манёвр.
Утечки баз
Когда сервис взламывают, наружу выходят почты, телефоны, адреса, иногда хэши паролей. Для тебя последствия такие:
- пароль из этой базы попробуют на других сайтах;
- по телефону и имени тебя будут обзванивать «из банка»;
- адрес и заказы используют для правдоподобного фишинга.
Что можешь сделать ты
- Свой пароль для каждого сайта: утечка одного не откроет остальные.
- Двухфакторка: украденного пароля мало для входа.
- Проверка почты на haveibeenpwned.com и смена паролей после утечек.
- Минимум данных при регистрации: чего нет в базе, то не утечёт.
Ты не отвечаешь за ошибки чужих сайтов, но отвечаешь за последствия: уникальные пароли и двухфакторка превращают утечку в мелкую неприятность.