Как защитить сайт от перехвата лидов?

Перехват лидов — когда заявка с формы параллельно уходит ещё куда-то, кроме владельца сайта: злоумышленник получает те же контакты и звонит клиенту первым, представляясь компанией. Обычно это следствие взлома: в код обработчика формы добавляют скрытую строку, которая дублирует письмо на чужой адрес. Первый шаг — проверить исходный код скрипта, который принимает форму, на посторонние адреса в копии письма.

Чаще всего перехват — не отдельная уязвимость самой формы, а следствие обычного взлома сайта: через устаревший плагин, слабый пароль от админки или FTP злоумышленник получает доступ к файлам и дописывает в обработчик формы пару строк, которые отправляют копию заявки на его почту или в Telegram-бота. Внешне сайт работает как обычно, заявка доходит и владельцу тоже, поэтому подмену часто замечают не сразу, а по жалобам клиентов вроде «мне уже звонили, зачем вы звоните второй раз».

Базовая защита такая же, как от любого взлома: сложные уникальные пароли на админку CMS, FTP и хостинг, двухфакторная аутентификация там, где она доступна, регулярные обновления CMS и всех плагинов — особенно тех, что отвечают за формы. Если обработчик формы — отдельный файл на сервере, как часто бывает на самописных сайтах, полезно периодически сверять его с эталонной копией: изменение файла без ведома владельца — первый сигнал, что что-то не так.

Дополнительно помогает привычка проверять код формы после любых работ подрядчика на сайте, особенно если доступ передавали третьим лицам, и не хранить логин-пароль от админки в открытых чатах или файлах. Если подозрение уже есть, самый быстрый способ проверить — отправить тестовую заявку с новым, нигде не засвеченным номером телефона и посмотреть, не позвонит ли на него кто-то посторонний в ближайшие часы.