Атакующие стёрли облако Beget: данные VPS, S3 и Kubernetes потеряны, а сайты на хостинге обещают вернуть

Один из крупнейших хостинг-провайдеров рунета Beget признал, что после кибератаки потерял все данные своего облака. По словам компании, атакующие получили доступ к системе, которая управляет всей инфраструктурой, и запустили скрипты, стирающие данные.

Сайты на обычном хостинге компания обещает вернуть почти полностью, а данные облачных серверов, хранилища S3 и Kubernetes уничтожены. Разбираем, что известно об инциденте, почему уцелела только часть копий и что из этого следует для всех, кто держит сайт, почту и бэкапы у одного провайдера.

Коротко

• В ночь на 2 ноября атакующие получили доступ к управляющему контуру Beget и запустили «обнуляющие» скрипты. Так компания описала инцидент 3 ноября.
• Данные облачных серверов (VPS), хранилища S3 и Kubernetes утрачены, полные копии дисков VPS — тоже. Файловые бэкапы хостинга и облака, по словам Beget, сохранились.
• Сроков полного восстановления нет: перед запуском компания вручную проверяет более 1000 серверов.
• Главный урок касается не только Beget: копия, которую можно удалить из той же системы управления, не защищает от такого сценария.

Что произошло

Beget работает с 2007 года и, по данным ComNews, обслуживает более 200 тысяч клиентов. На октябрь у провайдера размещалось около 334,5 тысячи действующих сайтов в зонах .ru, .рф и .su — 14,6% работающих сайтов рунета. Журнал «Хакер» со ссылкой на StatOnline называет Beget вторым по числу доменов .RU — около 540,7 тысячи.

Хронология — по официальному Telegram-каналу компании, время московское:

• 2 ноября, около 3:00. Мониторинги начали фиксировать недоступность сайтов, серверов и панелей управления. За сутки набралось около 7,5 тысячи жалоб, пишет ComNews.
• 2 ноября, 4:50. Beget сообщил о «крупном инциденте» и пообещал следующее обновление к 6:00.
• 2 ноября, 8:23. Компания уточнила, что проблема затрагивает все уровни архитектуры, а инженеры вручную настраивают инфраструктуру прямо в дата-центрах.
• 2 ноября, 15:43. Beget впервые назвал причину — «массированную кибератаку» — и официально уведомил клиентов о форс-мажоре по пункту 3 статьи 401 Гражданского кодекса.
• 3 ноября, 15:15. Вышел разбор ситуации: доступ к управляющему контуру, запуск обнуляющих скриптов, потеря облачных данных.

Сбой задел и клиентов провайдера. По данным «Хакера», недоступными оказались информационный сайт «Честного знака» и сайт «РЖД Тур», а каршеринг BelkaCar переносил сервисы к другому подрядчику. Сама система маркировки при этом работала, сообщала пресс-служба её оператора ЦРПТ (пересказ на Хабре).

Когда мы открыли beget.com 3 ноября около 17:00 по Москве, сайт компании отвечал ошибкой 502.

Что потеряно, а что уцелело

Управляющий контур — это системы, через которые провайдер создаёт, настраивает и удаляет ресурсы клиентов: серверы, диски, хранилища, сети. Обычно у него максимальные права во всей инфраструктуре. Как атакующие туда попали, Beget не раскрывает, ссылаясь на расследование и безопасный перезапуск.

Состояние сервисов по разбору компании от 3 ноября:

Бинарный и файловый бэкап: в чём разница

Бинарный бэкап — это полная копия диска сервера, бит в бит. Из неё сервер можно вернуть в том виде, в каком он был, вместе с системой и всеми настройками.

Файловый бэкап хранит только файлы. В документации Beget описано, как из него восстанавливают VPS: сначала переустанавливают операционную систему, потом копируют сохранённые файлы. Часть системных каталогов в такую копию не входит.

Для клиента это значит, что данные, скорее всего, вернутся, но сервер придётся собирать заново и проверять, всё ли работает как раньше. По той же документации, файловые копии VPS Beget хранит на отдельных серверах в другом дата-центре. Уцелели именно они — но почему полные копии такой защиты не дали, компания не объяснила.

Отдельно издание «Т—Ж» обратило внимание, что про копии S3 и Kubernetes Beget ничего не сообщил: речь шла только о файловых копиях VPS.

Почему доступ к управлению опаснее отказа дата-центра

От пожара или отключения питания помогает география: копия в другом дата-центре переживёт потерю первого. От злоумышленника с правами администратора география сама по себе не спасает. Если копия доступна из той же системы управления, её можно удалить той же командой, что и основные данные.

Этот сценарий известен как минимум с 2014 года. Тогда атакующий получил доступ к панели управления AWS сервиса для хостинга кода Code Spaces. По данным Dark Reading, он стёр большую часть данных, конфигураций и даже внешних бэкапов, после чего компания закрылась.

Похожий урок, но без всякой атаки, дал случай австралийского пенсионного фонда UniSuper в 2024 году. Из-за ошибки конфигурации Google Cloud удалил его облачную подписку сразу в двух регионах, где хранились данные. Потерю данных сократили и восстановление ускорили бэкапы, которые фонд держал у другого провайдера, говорится в совместном заявлении UniSuper и Google Cloud.

Если коротко: дублирование по площадкам защищает от физических аварий, а от ошибки или взлома в общей системе управления защищает только независимая копия.

Ограничения и критика

Многое известно только со слов компании

Beget пишет, что на серверах с данными пользователей не видит попыток скачать или изменить данные. Проверить это извне невозможно, поэтому компания всё равно советует сменить все пароли и ключи. Вектор атаки, срок, в течение которого атакующие были в системе, и их принадлежность не раскрыты — группировку никто не назвал, и мы её не предполагаем.

Форс-мажор и компенсации

На время инцидента списания приостановлены, а заявки на компенсацию можно будет подать после восстановления панели, пишет «Хакер». Эксперты, опрошенные ComNews, сомневаются, что это покроет реальные потери.

• Андрей Мишуков (iTPROTECT) оценивает типовой возврат в несколько тысяч рублей за тариф, тогда как потери бизнеса могут измеряться миллионами.
• Игорь Бедеров (КС НСБ России) напоминает, что провайдеры обычно возвращают часть абонентской платы, а суды чаще встают на их сторону.

Не всем нужен второй провайдер

Вадим Шелепов из «Газинформсервиса» в том же материале предостерегает от вывода, что всем срочно нужно несколько провайдеров: это дорого. По его словам, обязательны другие вещи — план на случай недоступности хостинга, отдельно хранящиеся бэкапы и регулярная проверка восстановления.

Открытый вопрос. Почему файловые копии пережили атаку, а бинарные нет? Ответ показал бы, какая именно изоляция сработала, — и это было бы полезно всей отрасли, а не только клиентам Beget.

Что делать клиентам Beget сейчас

1. Смените секреты. Пароли, SSH-ключи, токены API и ключи доступа, которые лежали на серверах, — именно это рекомендует сама компания.
2. Решите вопрос с DNS. Если домен обслуживают DNS-серверы Beget, записи A и MX уже можно перенаправить на резервную площадку.
3. Поднимите свои копии. Если у вас есть бэкап вне Beget, разворачивайте сервис у другого провайдера, не дожидаясь общего восстановления.
4. Фиксируйте простой. Даты, время недоступности, потерянные заказы — это понадобится для претензии.
5. Проверяйте восстановленное. После возврата сервера сверьте, что на нём нет чужих файлов и учётных записей.

Что это значит для остальных

Условный пример: интернет-магазин держит у одного провайдера домен, DNS, почту, сайт и бэкапы. Это удобно, но при сбое такого масштаба он теряет всё сразу — даже возможность перенаправить домен на запасной сервер, пока у провайдера не работает панель.

Защита строится из нескольких простых правил.

• Правило 3-2-1. Три копии данных, на двух разных типах носителей, одна — вне основной площадки. История Beget, на наш взгляд, показывает, что нужно ещё одно условие: хотя бы одна копия недоступна из рабочей системы управления.
• Отдельные учётные данные для бэкапов. Ключ, которым управляют серверами, не должен давать права удалять копии.
• Офлайн- или неизменяемые копии. Неизменяемая копия — та, которую нельзя удалить или перезаписать до окончания заданного срока хранения. Американское агентство CISA в руководстве по защите от вымогателей прямо советует держать критичные бэкапы офлайн и регулярно проверять восстановление.
• Разнесённые домен, DNS и почта. Регистратор и DNS у другого поставщика позволяют переключить трафик, даже если хостинг недоступен целиком.
• Понятные RTO и RPO. RTO — время, за которое сервис должен вернуться, RPO — сколько данных можно потерять. От этих двух чисел зависит, сколько стоит защита.

Вадим Смирнов из «Софтайма» сформулировал это в материале ComNews короче: «Данные, существующие в одном экземпляре, не существуют вовсе».

Вывод

Случай Beget — редкий публичный пример того, как провайдер теряет данные целого облака не из-за пожара или обрыва связи, а из-за компрометации системы управления. Уцелело то, что хранилось отдельно, — файловые копии на другой площадке.

Для клиентов отсюда следует простое правило: бэкап считается бэкапом, только если его нельзя удалить вместе с основными данными. Проверить это стоит сейчас — до того, как подобное случится с вашим провайдером.