OPSEC на сайті оборонної компанії: чому про ризики знають, але нічого не змінюють

Коротко

1. OPSEC — захист інформації, яка сама по собі не таємна, але разом складається в картину, корисну противнику. Термін військові США ввели ще 1966 року.
2. Сайт оборонної компанії несе два ризики: що видно всім (підрозділи-клієнти, техніка в кадрі, координати у фото) і що видно зловмиснику (застаріла версія рушія й плагінів).
3. У світі лише 14 % сайтів на WordPress стоять на останній версії; у 2025 році в його екосистемі знайшли понад 11 тисяч нових вразливостей, 91 % — у плагінах.
4. Найактивніше використовувані вразливості починають атакувати в середньому вже через 5 годин після оприлюднення.
5. Головна причина, чому нічого не змінюють, — сайт вважають «маркетингом», а не частиною безпеки. Підрядник давно пішов, бюджет є на виробництво, але не на сторінку, яка «й так працює».
6. Поширення інформації про переміщення зброї та розташування військ під час воєнного стану — кримінальна відповідальність (стаття 114-2 Кримінального кодексу).

Що таке OPSEC простими словами

OPSEC (operations security) — це спосіб мислення, у якому ви дивитеся на себе очима противника. Не «що в нас засекречено», а «що відкрите можна зібрати й використати проти нас». Термін народився у військових США під час В’єтнамської війни: 1966 року команда під назвою Operation Purple Dragon з’ясовувала, чому ворог наперед знав про операції, хоча витоку таємних документів не було. Відповідь: ворог складав картину з дрібниць, кожна з яких окремо виглядала безневинно (Operations security, Wikipedia).

Ризик перший: що видно всім

Це той бік OPSEC, який не потребує жодного злому: достатньо уважно прочитати сайт. На публічних сторінках українських компаній таке трапляється регулярно — не називаючи нікого, перелічимо типове, що доводиться знаходити:

1. Назви підрозділів або частин-замовників у розділі «клієнти» чи «відгуки».
2. Відео й фото, де в кадрі техніка з характерним обладнанням, а в описі — де і коли знято.
3. Геокоординати, зашиті у файл фотографії (EXIF), яких не видно на картинці, але видно в самому файлі.
4. Відгуки з позивним, типом виробу й технічними характеристиками разом.
5. В англійській версії сайту буває більше подробиць, ніж в українській, — її забувають вичищати так само ретельно.

Жодна з цих речей окремо не схожа на витік. Небезпечна саме сукупність — як у випадку зі Strava: наприкінці січня 2018 року з’ясувалося, що фітнес-застосунок опублікував теплову карту з трильйонів GPS-точок своїх користувачів, і на ній проступили військові бази й маршрути патрулів — просто тому, що військові бігали з увімкненим застосунком (Help Net Security). Ніхто нічого не «зламував».

Ризик другий: старий рушій як відчинені двері

Другий бік OPSEC видно не всім, а тому, хто цілеспрямовано шукає вразливе. Старий рушій сайту сам повідомляє про себе: свою версію, перелік плагінів, інколи — імена користувачів через стандартний інтерфейс. Для зловмисника це карта, де вже позначено, куди стукати. Масштаб проблеми легше показати на загальних цифрах, ніж на конкретних сайтах:

І це не про рідкісні діри. За звітом Patchstack, у 2025 році в екосистемі WordPress знайшли 11 334 нові вразливості — на 42 % більше, ніж торік; 91 % з них — у плагінах, а 46 % не мали виправлення від розробника на момент оприлюднення. Для найактивніше використовуваних вразливостей середній час до першої атаки — близько 5 годин (Patchstack, State of WordPress Security 2026). Сайт, який «працює вже три роки й нічого», — це сайт, який три роки ніхто не оновлював.

Ми не публікуємо переліку вразливих сайтів оборонних компаній і не проводимо таких оглядів публічно: це був би готовий список слабких місць цілого сектору. Але метод перевірки простий і законний — дивитися лише на те, що сайт сам показує будь-якому відвідувачу. Для прикладу: у нашому знеособленому дослідженні сайтів приватних клінік (71 сайт, лише зведені цифри, без назв) 41 % сайтів відкрито показували версію свого рушія, а частина — версію мови програмування, підтримку якої вже припинено. Оборонний сектор тут не унікальний.

Чому керівництво про це знає, але не реагує

Про більшість таких знахідок ми повідомляли компаніям напряму. Реакції здебільшого не було. Причини, які ми бачимо, повторюються — і на кожну є відповідь:

1. «Сайт — це маркетинг, а не безпека». Але саме через сайт противник знайомиться з компанією першим. Він — частина периметра, а не вітрина.
2. «Його робив підрядник, який давно пішов». Це і є діагноз: рушій ніхто не оновлює, бо за нього ніхто не відповідає.
3. «Усе одно все публічне». Публічне ≠ зібране докупи. OPSEC — саме про те, що безпечні поодинці факти небезпечні разом.
4. «Є на що витратити гроші, крім сайту». Оновлення рушія коштує дешевше за одну зупинену через злам кампанію чи за розслідування витоку.

Ціна бездіяльності

Окремо від репутації є пряма правова межа. Поширення інформації про направлення чи переміщення зброї, а також про переміщення або розташування Збройних Сил під час воєнного стану — кримінально каране діяння за статтею 114-2 Кримінального кодексу України, з позбавленням волі (залежно від частини статті — до дванадцяти років). Виняток — відомості, які офіційно оприлюднив Генштаб або Міністерство оборони (Mind.ua). Для компанії це означає: випадково опублікована на сайті деталь про замовника чи постачання — не лише OPSEC-ризик, а й потенційно правовий.

Що керівник може зробити за тиждень

1. Призначити одну людину, відповідальну за сайт, — щоб було з кого спитати.
2. Дізнатися, на якому рушії працює сайт і коли його востаннє оновлювали. Якщо «не пам’ятаємо» — це вже відповідь.
3. Оновити рушій і плагіни до останніх версій або перейти на сучасне рішення, якщо оновити старе вже неможливо.
4. Прибрати з рушія публічний показ його версії та переліку плагінів.
5. Переглянути сайт очима противника: розділ «клієнти», відгуки, фото й відео, англійську версію — чи немає там зайвого.
6. Перевірити фотографії на приховані геокоординати перед публікацією.
7. Поставити OPSEC-перевірку сайту в регулярний графік — раз на квартал, а не «коли згадаємо».

Як ми можемо допомогти

У студії OLBO ми робимо OPSEC-перевірку сайту: читаємо публічні сторінки очима противника й даємо перелік того, що прибрати чи переписати, разом із технічними зауваженнями про рушій. Експрес-перевірка однієї сторінки — від 1 000 грн, повний OPSEC-аудит — від 11 500 грн; усі види перевірок з цінами — на сторінці «Аудит сайту». Ми не зламуємо й не скануємо сайт — працюємо лише з тим, що він показує сам.

Напишіть нам: hello@olbo.com.ua.

Джерела: Operations security — Wikipedia; Strava heatmap, Help Net Security (29.01.2018); Censys / Cybernews — 86 % сайтів на WordPress застарілі (02.07.2026); Patchstack, State of WordPress Security 2026; стаття 114-2 КК України, Mind.ua.

Читайте також

• Інженери для оборонки: скільки їх готують вузи і як оборонній компанії виростити своїх
• Telegram-бот для бізнесу: що має вміти чесний бот і де закон ставить межі
• Telegram-бот для приймальної комісії: що він має вміти й чого робити не повинен