Хостинг-провайдер 6 ноября обновил оценку последствий атаки, начавшейся в ночь с 1 на 2 ноября. Злоумышленники получили доступ к управляющему контуру всей архитектуры и запустили скрипты, обнулявшие данные. Пострадали сервисы на всех уровнях: виртуальный хостинг, облако, панель управления. После проверки уцелевших серверов выяснилось, что файловые резервные копии виртуальных серверов доступны примерно половине клиентов.
Виртуальный хостинг компания подняла больше чем на 60%. Остальные серверы пострадали сильнее, и сайты на них придётся собирать из копий: работы стартуют 7 ноября, а скачать свой бэкап из панели можно будет примерно через пять дней. Облако ждёт другой сценарий. Архитектуру и управляющие сервисы уже восстановили, первые серверы подключат через один-два дня, дальше начнутся интеграция и тестирование. Панель вернут по частям: сначала DNS, домены, базы данных и сайты, биллинг и второстепенные функции позже. Пока услуги недоступны, оплату не списывают.
По данным Beget, способ проникновения компания не раскрывает, как и личности атакующих. Подтверждено другое: утрачены данные облачных сервисов, включая VPS, S3 и Kubernetes, бинарные копии виртуальных серверов, настройки CDN и IP-адресов. Часть свежих записей внутренних систем тоже пропала - у некоторых клиентов исчезли связки "аккаунт - услуги", их собирают заново. Из этого следует, что резервные копии управлялись теми же механизмами, что и рабочие узлы. Единый контур доступа свёл на нет выгоду от размещения архивов на отдельных серверах. Пока пара "архив - владелец" не восстановлена, доступ к копиям невозможен даже при их наличии.
Для ИТ-служб вывод простой: договор с провайдером не заменяет собственную копию. Там, где файлового архива нет, вернуть содержимое виртуального сервера нечем. Придётся заново разворачивать приложения, восстанавливать конфигурации, проверять целостность баз данных и выпускать доступы. Отдельная задача - сверить перечень услуг с тем, что появится в панели после её поэтапного запуска. Стоит заложить и время на проверку самих копий: архив, восстановленный спустя неделю, ещё нужно проверить на работоспособность.
Юристам и комплаенсу предстоит разобрать несколько сюжетов. Ответственность по договорам выходит на первый план: массовая утрата данных не похожа на обычный простой, и клиенты будут читать условия о границах ответственности провайдера. Разбор ведут полиция, ИБ-компании, ТЦИ/КЦ, НКЦКИ и другие госорганы, а значит, инцидент уже попал в государственную отчётность. Отдельно стоит вопрос персональных данных: часть сайтов хранила сведения клиентов, и владельцам таких ресурсов нужно решить, требуется ли уведомление регулятора.
Масштаб потерь виден по цифрам рынка: в октябре на инфраструктуре провайдера размещались 334 562 действующих сайта в российских доменных зонах. Сколько ресурсов осталось без пригодной копии, компания не сообщает. Тренд шире одного инцидента: общая система управления бэкапами превращается в общую точку отказа. Правило 3-2-1, изолированные хранилища и неизменяемые копии с фиксированным сроком хранения снижают этот риск. Правда, они требуют отдельного контура доступа и регулярных проверок восстановления - иначе копии существуют только на бумаге.
Для клиентов без файлового архива восстановление инфраструктуры провайдера уже ничего не изменит. Остальным предстоит долгая сверка данных и пересмотр собственной стратегии резервного копирования.
