«Неожиданный» урок: как хакерская атака чуть не привела к катастрофе и перевернула ИТ-стратегию компании

Поделюсь историей, как компания с миллиардными оборотами потеряла почти все данные, остановила работу на несколько дней и понесла большие убытки из-за очевидной лазейки в системе, которую не убрали айтишники.

Добрый день! Меня зовут Кирилл Манжура, я CEO ИТ-интегратора LARD. Мы помогаем бизнесу в разных направлениях: проводим аудиты информационной безопасности, разрабатываем диджитал-продукты и сложные веб-сервисы, оказываем услуги по ИТ-аутсорсингу.

Ситуация, о которой я расскажу, произошла с крупной компанией из сферы промышленности с большим штатом сотрудников и филиалами по всей России. Несмотря на отрасль работы и масштаб деятельности, требовалась оптимизация процессов по многим направлениям, в том числе ИТ. Для начала решили провести всесторонний, ни к чему не обязывающий аудит.

Первое впечатление от ИТ-отдела сформировалось во время знакомства с ИТ-директором группы — интеллигентный человек, хорошо разбирается в сфере, знает больше меня. Команда тоже работает уверенно и спокойно. Я не ожидал крупных уязвимостей.

Реальность обстояла иначе: мы выявили недочеты, которые создавали угрозу информационной безопасности. Среди них была особенно серьезная уязвимость: почтовый сервер с устаревшей версией и ошибкой — эксплойт, который позволял получить полный контроль над сервером и по цепочке продолжить атаку на внутренние информационные системы клиента.

Во время аудита я обратил внимание команды на проблему: уязвимость пряталась в их почтовом сервере, который не обновлялся несколько лет. Ее можно было устранить очень просто: в течение одного дня обновить систему, не останавливая работу компании. Ребята в команде удивились ошибке и сначала насторожились, получив комментарии от незнакомого человека, но из общения поняли, что я не просто аудитор, а технарь, который разбирается в вопросе и реально может помочь.

Дальше при исследовании системы я понял, что проблем в инфраструктуре много, они выходят за рамки одного дня аудита. Коллеги из других направлений также обнаружили множество недоработок. В конце дня встретились с руководством компании, каждый отчитался по своему направлению, я снова отметил выявленную угрозу безопасности, потому что через нее можно получить полный доступ ко всей системе, серверам и данным компании.

Вернувшись в офис, начал собирать отчет и рекомендации для ИТ-отдела. Дополнительно изучал, как устроена разработка ИТ-решений в компании, и обнаружил, что ее в целом нет. Сотрудники закрывают бреши, разрабатывают решения по наитию. Также мы выяснили, как устроены бэкапы и другие системы, и повторно обнаружили множество недоработок и уязвимостей. Угрозу безопасности создавали даже серверы компании — они находились прямо в офисе.

Через несколько дней отчет был готов: я обозначил текущие проблемы, которые нужно срочно исправлять, напомнил о проблеме с почтовым сервером и предложил стратегию по долгосрочному развитию направления. Рекомендовал провести полноценный аудит: в течение недели мы с коллегами могли проверить всё своим оборудованием, отсканировать и устранить проблемы. После того как я предоставил отчет, клиент пропал: новостей или обращений не было.

Спустя два месяца рано утром слышу звонок, руководитель службы безопасности говорит, что у клиента проблема: сон как рукой сняло. Догадываюсь, о чем идет речь, не успеваю положить трубку, как звонит генеральный директор компании-клиента и просит срочно помочь: произошла хакерская атака, все данные зашифровали. Компьютеры и другие устройства не работают, все процессы в компании остановлены.

Позже выяснилось, что взломщики, вероятно, давно узнали о проблеме, ночью взломали почтовый сервер, благодаря этому получили доступ к основному и смогли контролировать всю систему. Хакеры отправили на все компьютеры команду отключить встроенный антивирус, зашифровали диски и удалили бэкапы.

Современное шифрование так устроено, что расшифровать данные практически невозможно, единственный выход — договариваться со взломщиками. Они же переоценили себя: изучили обороты компании и попросили полмиллиона долларов за расшифровку. Никто не был готов платить, потому что никогда нет гарантии, что данные действительно расшифруют. К тому же оплаты только мотивируют хакеров совершать новые атаки. Оставалось только обратиться за помощью, поэтому клиент вышел на связь со мной. Я согласился приехать и помочь решить проблему, но сразу сказал, что спасти волшебным образом не получится, потому что проблема сложная.

Когда приехал в офис, там уже собрались представители «Лаборатории Касперского», начальник местной службы безопасности, юристы. В центре стола лежал мой отчет, и начальник СБ неловко спросил, не я ли их взломал: подумали, что разозлился после того, как весной не продолжили сотрудничество, и сам совершил атаку. Вопрос не удивил: я знал, что у клиента будут опасения, поэтому сказал, что приехал помогать, и без доверия ничего не выйдет.

Начали разбираться: пошел к айтишникам, а перед ними уже очередь из сотрудников с вилами и факелами, потому что ничего не работает. Ребята не знают, что делать: сервера выключили, а дальше что-либо предпринимать боятся. Не работали никакие системы — ни почта, ни компьютеры, даже корпоративные телефоны не функционировали. Зашифровалось абсолютно все.

В результате выявили две срочные проблемы:

В первую очередь стали решать эти проблемы, а позже выяснили, что не все данные зашифрованы, и смогли восстановить информацию.

Процесс восстановления данных усложнило то, что были удалены даже бэкапы. Обычно они размещаются на отдельных серверах с различными доступами, также есть «бэкап судного дня» — офлайн-бэкап на диске в сейфе, дома или еще где-либо вне сети. В нашем случае они были в общей системе, поэтому хакеры получили доступ и удалили всю сохраненную информацию.

Пришлось создавать систему с нуля. Благодаря нашим партнерам среди облачных провайдеров мы смогли быстро развернуть почтовый сервис. Далее за день запустили необходимый минимум: почту, телефонию, 1C — система была пуста, но сотрудники могли формировать счета и загружать информацию о контрагентах.

Вечером мы обнаружили, что один из серверов в кластере 1С не зашифрован, то есть осталась база данных, которую мы можем восстановить. Вернули клиентскую, бухгалтерскую, кадровую базы и все сохраненные документы. В результате к концу второго дня связали восстановленную информацию с облачной инфраструктурой, и всё понемногу начало работать. Однако за время простоя компания понесла большие убытки.

Я стал узнавать, почему сотрудники не исправили проблему с почтовым сервером раньше. Оказалось, что с 2022 года было запрещено устанавливать обновления. Чтобы принять решение, ждали полноценный отчет — было много аргументов, но никаких убедительных и весомых. Другие варианты решения этой критической уязвимости тоже никто не искал. Команде нужно было потратить один рабочий день, чтобы исправить проблему. В результате компания два дня полностью не работала, а потом долго разбиралась с последствиями.

Спустя несколько дней, когда кризис миновал, я уехал в офис, но оставался на связи и помогал отделу. Через неделю подготовил и отправил варианты долгосрочного решения проблемы: размещение серверов компании в дата-центре, облаке и другие. Выбрали ЦОД, в это же время ИТ-директор понял, что его дальнейшая работа в компании невозможна, и уволился. ИТ-отдел начал разваливаться, поэтому на время восстановления и запуска новой инфраструктуры мы поставили управленца, который помог сохранить целостность, наладить процессы и внедрить service desk — систему, которая аккумулирует и обрабатывает все сообщения от сотрудников о технических проблемах.

Около месяца готовились к переезду в ЦОД: закупали новые серверы, сетевое оборудование, разработали полноценную схему, как будет работать новая инфраструктура. К началу сентября всё было доставлено, наша команда собрала кластер, протестировала в офисе и увезла в ЦОД. Мы установили всё там, еще раз проверили и в течение следующей недели мигрировали из облаков. В ЦОД выстроили проактивную защиту и изолировали бэкапы так, чтобы повторно взломать систему таким же способом было невозможно.

Когда бизнес имеет большой оборот и множество сотрудников, любая поломка вызовет финансовые потери. Если случится атака, данные могут полностью исчезнуть. Причиной проблемы могут стать не только хакеры, но и низкоквалифицированные специалисты или настроенные против компании сотрудники.

Я считаю, что нужны регулярные независимые проверки и взгляд специалистов со стороны, а как думаете вы?