Автор прогнал через собственную утилиту 284 сайта крупных российских компаний — банков, магазинов, вузов, клиник, застройщиков, медиа и госсайтов — и выяснил, что большинство проблем с безопасностью не требует взлома. По его словам, почти любой громкий инцидент начинается с забытой настройки почты, устаревшей библиотеки или оставленной записи в DNS.

У каждого четвёртого проверенного сайта обнаружена возможность отправить письмо от имени компании так, что оно попадёт во «Входящие». Столько же сайтов содержат на страницах библиотеки с известными уязвимостями.

Половина сайтов передаёт IP-адрес посетителя иностранным сервисам сразу при открытии страницы, хотя в политиках многих компаний указано, что данные никуда не передаются. Особенно автора удивило, что госсайты, от которых он ожидал строгости, показали результаты не лучше остальных.

Утилита, изначально проверявшая зависимость от иностранных сервисов, теперь умеет анализировать почту, соответствие 152-ФЗ и безопасность. Это позволило расширить исследование с 50 сайтов до 284.

По итогам проверки автор делает вывод, что ломать ничего не нужно: дверь уже открыта, её достаточно найти. Публикация может привлечь внимание компаний к базовой гигиене инфраструктуры и заставить пересмотреть политики обработки данных.