Злоумышленники вышли на связь и потребовали 20 миллионов рублей в криптовалюте за то, чтобы атака не повторилась, а данные о ней не были преданы в СМИ. Основатели бренда выбрали другой путь: отказались от переговоров с преступниками, зафиксировали потери — и рассказали об атаке в публичном поле. Это нетривиальный ход: многие компании предпочитают «умалчивать» подобные истории во избежание репутационных рисков, хотя информационные преступления давно перестали быть редкостью и могут коснуться любого бизнеса. Мы попросили Дмитрия Цвиркуна, эксперта по кибербезопасности, разобрать кейс 12 STOREEZ и составить практические рекомендации для руководителей и сотрудников. Впрочем, советы эксперта будут полезны каждому, кто хочет лучше разбираться в вопросах цифровой безопасности.
Двухфакторная аутентификация — панацея? Да, но с важными оговорками
«Точкой входа» в систему 12 STOREEZ, по информации из официальных соцсетей компании, стало именно отсутствие 2FA. Пользовательские пароли сегодня — расходный материал. Пароль можно подобрать, выманить фишингом или достать из браузера зараженного компьютера с помощью стилера (специальной программы). Данные корпоративных учетных записей свободно продаются на теневых площадках, поэтому, если вход в VPN, почту или на удаленный рабочий стол защищен только паролем, злоумышленнику — чаще всего — даже не нужно ничего «взламывать». Второй фактор усложняет подобные схемы: даже с верным паролем атакующему нужен еще телефон, токен или ключ конкретного человека.
В российском бизнесе двухфакторку часто включают «для главного», делая исключения для подрядчиков, сервисных учетных записей, наконец, сотрудников, которым «неудобно». Преступники ищут именно такие «лазейки». Поэтому важно уточнять, не «есть ли у нас 2FA?», а «есть ли у нас хоть одна точка входа без 2FA?».
- Источник:
- Pixels Hunter/Shutterstock/Fotodom.ru
Поднять все щиты! Как использовать MFA на все 100%
Для компаний правильнее говорить даже не о 2FA, а о MFA — мультифакторной аутентификации:
Важно провести инвентаризацию всех внешних точек входа: VPN, RDP, корпоративная почта, облачные сервисы. MFA нужна везде, где возможен вход из интернета.
Первым делом защитить профили привилегированных сотрудников, у которых есть «ключи от всего»: администраторов домена, бэкапов.
Правильно выбрать «второй фактор». СМС-коды лучше, чем ничего, но их можно перехватить, а сим-карту — перевыпустить. Лучше — приложение-аутентификатор с одноразовыми кодами, пуш с подтверждением номера. Идеально — аппаратные ключи FIDO2, устойчивые к фишингу.
Предусмотреть «MFA fatigue» (ситуация, когда сотрудника заваливают запросами подтверждения, и он рано или поздно может нажать «ОК» — так взломали Uber в 2022 году). Помогают лимиты запросов и ввод кода с экрана вместо простой кнопки.
Продумать процедуру восстановления доступа. Если 2FA можно сбросить одним звонком «извините, я потерял телефон» — это ненадежная 2FA.
Для одного человека все проще: включить 2FA на почте (через нее восстанавливается все остальное), в Госуслугах, банках, мессенджерах и соцсетях. Пользоваться приложением-аутентификатором, хранить резервные коды отдельно и завести менеджер паролей, чтобы пароли не повторялись.
Доверяй, но проверяй: как настроить партнерский доступ
Зачем ломать крупную компанию «напрямую», если можно зайти через ее интегратора или сервисную фирму? В 2013 году из американской сети магазинов Target «утекли» данные 40 миллионов банковских карт покупателей — в систему зашли от лица подрядчика, обслуживавшего системы вентиляции. 12 STOREEZ также нашли у себя уязвимость, связанную с внешним доступом для партнеров.
Для безопасности нужны:
Не общий профиль для всей компании-подрядчика, а отдельная именная «учетка» для каждого сотрудника партнера с обязательной MFA.
Доступ по принципу минимальных привилегий и только к нужным системам.
Временный доступ: выдается под задачу и автоматически истекает.
Вход через выделенный шлюз (jump-сервер или PAM-система) с записью сессий.
Сегментация сети, чтобы с участка подрядчика нельзя было «добраться» до ядра инфраструктуры.
Требования к безопасности в договоре и регулярная ревизия всех внешних доступов, хотя бы раз в квартал.
Делу — время. Сколько длится хакерская атака?
По информации из официальных соцсетей компании, 12 STOREEZ зафиксировала атаку через 40 минут после ее начала. Если считать «началом» шифрование или разрушение систем, то через 40 минут ущерб может быть уже критическим. Этап шифрования — это финал атаки, а не ее начало. До него злоумышленники обычно несколько дней или недель изучают сеть, повышают привилегии, ищут и уничтожают резервные копии.
По данным CrowdStrike Global Threat Report 2025, среднее время от первичного проникновения киберпреступников до горизонтального перемещения по сети составило 48 минут, а рекордное — меньше минуты. Современные шифровальщики обрабатывают тысячи машин за десятки минут. Отсюда классическое правило «1-10-60»: минута на обнаружение, десять на анализ, час на сдерживание. Реально выйти из ситуации без потерь можно только на ранних стадиях: при подозрительном входе, аномальной активности «учетки», попытках разведки в сети. Когда сработал сигнал о массовом шифровании, задача меняется с «предотвратить» на «ограничить ущерб».
Один вопрос, который стоит задать ИТ-директору, если вы — владелец бизнеса
«Если завтра зашифруют все — сколько дней нам нужно, чтобы восстановиться? И когда мы это последний раз проверяли?»
Если ответ неуверенный — у вас проблема. Изолированные бэкапы и проверенная процедура восстановления превращают атаку из катастрофы в неприятный инцидент. Все остальное, включая вопрос «платить или нет», становится вторичным.
Отсюда же следует необходимость периодически «атаковать» самих себя. Например, протестировать фишинговые рассылки для сотрудников: сколько человек кликнут на вредоносный баннер? Когда утечку заметят системы мониторинга? Главный критерий успеха — не «никто не попался», а «как быстро заметили и как правильно отреагировали».
Сколько стоит информационная безопасность? Ориентир: 5–15% от ИТ-бюджета.
План действий
Правильная последовательность первых минут после взлома выглядит так:
Изоляция. Отключать пораженные сегменты от сети, но по возможности не выключать машины: в оперативной памяти остаются следы, нужные для расследования. Срочно отсечь резервные копии от сети, если они еще целы. Это главный актив, который определяет, сможете ли вы восстановиться без переговоров.
Сброс. Заблокировать скомпрометированные «учетки» и сбросить пароли привилегированных учетных записей, включая сервисные.
Хроника. Фиксировать все: время, действия, решения. Это нужно и для расследования, и для юристов, и для регуляторов. Перейти в резервный канал связи. Корпоративная почта и мессенджер могут быть под контролем атакующих.
Планирование. Запустить заранее утвержденный план реагирования, сразу позвать внешнюю команду реагирования на инциденты.
Если плана нет, первые минуты уходят на выяснение, кто вообще принимает решения. Поэтому главная работа делается не в момент атаки, а за месяцы до нее.
Психология атаки
Атакующие выбирают время так, чтобы удар оказался больнее: выходные, праздники, старт распродаж. Ставят жесткие дедлайны, угрожают, пишут топ-менеджерам и даже клиентам. Цель — спровоцировать панику, подтолкнуть к неверному решению. Тех, кто на стороне защиты, ждет многочасовая работа под давлением. В зрелых командах есть руководитель инцидента (он координирует, а не «чинит»), смены (чтобы специалистам не приходилось работать по 30 часов подряд) и регулярные учения. Человек, прошедший кризис хотя бы на тренировке, в реальной ситуации заметно спокойнее.
Любят счет: как хакеры вычисляют, какую сумму выкупа потребовать?
Озвученная сумма — это скорее оценка платежеспособности «жертвы», чем фиксированный прайс. Хакеры учитывают:
Размер бизнеса и выручку, иногда ищут в украденных данных финансовую отчетность, чтобы понимать, сколько компания может отдать.
Стоимость простоя. Чем дороже каждый час (а у ритейла в сезон распродаж выручка огромна), тем больше готовы просить.
Чувствительность украденных данных и возможные штрафы регуляторов за утечку.
Наличие киберстраховки: если в документах находят полис, сумму подгоняют под лимит покрытия.
Типичная мировая практика: от долей процента до нескольких процентов годовой выручки, с большим запасом на торг. Для компании масштаба 12 STOREEZ 20 млн рублей — это сумма, рассчитанная так, чтобы казалось проще заплатить, чем бороться. На это и расчет. Показательно, что реальные потери компании оказались в два с лишним раза выше суммы выкупа. Это честный ответ тем, кто думает, что заплатить дешевле: заплатив, вы все равно понесете те же расходы на восстановление и усиление защиты.
Прозрачность на первом месте
В любом серьезном расследовании кибератаки обязательно отрабатывают инсайдерские версии. Это не про недоверие к людям, а про полноту картины. При этом не идет речи о том, чтобы читать переписки или записывать экраны сотрудников. Ключ к балансу в том, чтобы контролировать доступы и действия, а не людей: создавать системы анализа поведения пользователей, которые реагируют на аномалии, а не сканируют личную информацию. И самое важное: прозрачность. Сотрудники должны знать, какие средства контроля работают и зачем.
Еще одно важное правило: не наказывать сотрудников, даже если они случайно скомпрометировали свой пароль или потеряли доступ к «учетке». Если человек кликнул по фишингу и сразу сказал об этом — он помог компании.
Что работает: короткие регулярные напоминания вместо длинных лекций, кнопка «сообщить о фишинге» в почте и личная польза (научите людей защищать Госуслуги родителей — и полезные привычки перенесутся на работу).
- Источник:
- Prae_Studio/Shutterstock/Fotodom.ru
Платить или не платить злоумышленникам?
Аргументы против оплаты весомые. Гарантий нет никаких: вы договариваетесь с преступниками. Расшифровка может не сработать, украденные данные попытаются продать повторно — негативных сценариев множество. Каждый платеж финансирует следующие атаки.
С 30 мая 2025 года в России действуют оборотные штрафы за утечки персональных данных — вымогатели это прекрасно знают и используют как дополнительный рычаг давления.
Бывают ли ситуации, когда бизнес платит — и это спасает ситуацию? Да. Например, мясной гигант JBS заплатил 11 млн долларов и относительно быстро вернулся к работе. Чаще всего выкуп отдают там, где на кону жизнь и здоровье людей (больницы) или где резервных копий нет совсем и бизнес иначе просто перестанет существовать. Но это решение отчаяния. Правильная стратегия в том, чтобы никогда не оказаться в ситуации, где оплата выглядит единственным вариантом.
Кроме того, сотрудничество с преступниками несет юридические риски. Во-первых, платеж обычно требуют в криптовалюте, а закон о цифровых финансовых активах ограничивает ее использование для расчетов. Во-вторых, если получатели связаны с организациями, признанными террористическими или экстремистскими, возникает риск уголовной ответственности за их финансирование. В-третьих, оплата не освобождает от обязательств: о компрометации персональных данных нужно уведомить Роскомнадзор в течение 24 часов, а о результатах расследования — в течение 72 часов.
Каждый четвертый бизнес — все еще платит?
Доля сотрудничающих с преступниками снижается. По данным Coveware, в 2025 году выкуп хакера отдали около четверти атакованных компаний — это исторический минимум. По России достоверной статистики нет. Компании в основном не раскрывают ни факт атаки, ни тем более факт оплаты. Поэтому публичная позиция 12 STOREEZ особенно ценна: такие открытые разборы делают рынок более зрелым и показывают другим, что о киберинцидентах можно и нужно говорить. Чем больше компаний будут готовы восстанавливаться без выкупа, тем менее выгодным станет криминальный бизнес.
