Евгений Царёв: «Кибератака может остановить продажи даже при исправной инфраструктуре ритейлера»

9 часов назад

Киберинцидент для торговой компании может означать не только утечку данных, но и остановку касс, интернет-магазина, отгрузок и клиентской поддержки. При этом атакуют не только собственные системы ритейлера: причиной простоя может стать недоступность платежного провайдера, облачной платформы или ИТ-подрядчика. 

О том, какие цифровые сервисы требуют первоочередной защиты и как подготовить бизнес к инциденту, рассказал Евгений Царёв, управляющий RTM Group, эксперт в области кибербезопасности и права в ИТ.

— Какие цифровые системы ритейлера чаще всего становятся целями кибератак?

Евгений Царёв: В первую очередь — сайт и мобильное приложение: через них проходят регистрация клиентов, оплата и обмен данными по API. Высокий интерес для злоумышленников также представляют CRM-системы и программы лояльности, где хранятся персональные данные и история покупок.

Кассы и платежные сервисы тоже могут стать целью атаки. Однако для ритейлера важно оценивать не только вероятность компрометации конкретной системы, но и последствия её недоступности для продаж, расчетов и обслуживания покупателей.

— Какие сценарии атак наиболее опасны с точки зрения остановки продаж?

Евгений Царёв: Самый тяжёлый сценарий — уничтожение инфраструктуры с помощью вайперов: вредоносных программ, которые распространяются по сети и безвозвратно удаляют данные на зараженных устройствах. Такая атака может остановить работу ритейлера целиком.

Высокий риск связан и с недоступностью внешнего подрядчика. Если платежный провайдер, облачная платформа или кассовый сервис перестаёт работать, а резервного сценария нет, продажи могут остановиться даже при исправной собственной инфраструктуре компании. В отдельных случаях бизнес рискует не только временно потерять доступ к сервису, но и столкнуться с утратой данных.

DDoS-атаки, компрометация учётных записей и атаки на платежную страницу также опасны, но их последствия зависят от того, насколько компания подготовлена к изоляции инцидента и переключению на резервные механизмы.

— Как компании расставить приоритеты в первые часы после атаки: ограничить распространение угрозы, сохранить данные или восстановить продажи?

Евгений Царёв: Последовательность зависит от типа инцидента и затронутой системы. Для ритейла критично восстановить работу продаж, но делать это без локализации атаки опасно: можно снова подключить скомпрометированный сервис или потерять данные, необходимые для расследования.

Поэтому к инциденту нужно готовиться заранее. Для разных сценариев — DDoS, утечки, шифрования или уничтожения инфраструктуры — необходимы отдельные регламенты и сценарии реагирования. В них важно заранее определить состав команды, полномочия специалистов, порядок изоляции систем, восстановления сервисов, сохранения следов атаки и внутренних коммуникаций.

Эти процессы можно поддержать средствами класса SOAR и другими системами управления задачами: назначать ответственных, учитывать доступность сотрудников, фиксировать ход расследования и контролировать исполнение действий. Но сама по себе автоматизация не заменяет подготовленный план и распределение ролей.

— Какие сервисы необходимо восстанавливать в первую очередь, а какие можно временно ограничить?

Евгений Царёв: Ключевое для ритейла — это поддержание системы продаж. Необходимо обеспечить работу касс и терминалов, приёмку и отгрузку товаров. Для интернет-магазина критичны оформление заказа, оплата и передача заказа на исполнение.

Важно сохранить сведения об уже оплаченных покупках и канал поддержки, чтобы клиент мог уточнить статус заказа. Временно можно ограничить персональные рекомендации, рекламные рассылки, отзывы, маркетинговую аналитику и начисление новых бонусов.

Программу лояльности допустимо перевести в ограниченный режим, если это не блокирует покупки. Условия использования накопленных бонусов и скидок нужно ясно объяснить клиентам. При подозрении на компрометацию личных кабинетов безопаснее временно закрыть вход, но сохранить возможность покупки без регистрации — если такой сценарий предусмотрен и заранее проверен.

— Чем должен отличаться план действий при DDoS-атаке, утечке данных и шифровании инфраструктуры? Как не спутать технический сбой с атакой?

Евгений Царёв: При DDoS-атаке главный приоритет — сохранить доступность продаж: подключить провайдера защиты, отфильтровать вредоносный трафик и ограничить нагрузку на наиболее ресурсоемкие функции.

При утечке данных необходимо перекрыть канал их вывода, отозвать скомпрометированные доступы, установить масштаб инцидента и организовать необходимые уведомления. При шифровании или уничтожении данных — изолировать пораженные сегменты, защитить резервные копии и восстанавливать критичные сервисы в проверенной среде.

Эти сценарии могут сочетаться. Восстановление доступности еще не означает, что угроза устранена.

Отличить технический сбой от атаки по одному признаку нельзя. Недоступность сайта сама по себе не доказывает DDoS-атаку, а отсутствие требования выкупа не исключает компрометацию. Необходимо сопоставлять журналы событий, характер трафика, действия учетных записей, изменения файлов, последние обновления и сообщения подрядчиков. До перезапуска или переустановки систем важно сохранить следы, которые помогут установить причину инцидента.

— Какие данные покупателей требуют особой защиты и как злоумышленники могут использовать их после компрометации?

Евгений Царёв: Особой защиты требуют платёжная информация, персональные данные, учетные записи программ лояльности и история заказов. Они часто распределены между разными системами, и это позволяет ограничить масштаб возможной утечки при корректно выстроенной архитектуре и разграничении доступа.

Полученные данные могут использовать для захвата учётных записей, кражи бонусов, подмены заказов и социальной инженерии — например, звонков или сообщений от имени службы поддержки.

При этом особенно опасна компрометация учётных записей с административными полномочиями. Если злоумышленник получает контроль над такой учётной записью, он может развивать атаку внутри инфраструктуры, менять настройки и получать доступ к другим системам. Поэтому защита привилегированных доступов должна быть отдельной задачей для службы ИБ.

— Какую роль играют подрядчики и внешние цифровые сервисы в киберрисках ритейлера?

Евгений Царёв: Значимая часть инцидентов связана не только с собственными системами компании, но и с подрядчиками. В инфраструктуре крупного ритейлера могут работать десятки поставщиков: одни обслуживают CRM, другие отвечают за кассовое ПО, облачную инфраструктуру, логистические сервисы или интеграции с партнерами.

Единых требований для всех случаев нет: уровень зрелости и возможности у подрядчиков различаются. Поэтому недостаточно формально закрепить в договоре общие обязательства по информационной безопасности. Ритейлеру важно понимать, какой доступ получает каждый партнер, к каким системам он подключён, как фиксируются его действия и каким образом доступ будет оперативно отключен при инциденте.

Особого внимания требуют общие учетные записи, избыточные права, отсутствие многофакторной аутентификации и бессрочные доступы подрядчиков. Именно эти ошибки часто создают условия для проникновения в инфраструктуру.

— Как сохранить работу продаж и обслуживание клиентов, если часть ИТ-систем недоступна?

Евгений Царёв: Компании нужно заранее определить минимальный набор функций: принять заказ, провести оплату, оформить продажу и организовать выдачу товара. Для этого требуются изолированные резервные решения, проверенное восстановление и понятные инструкции для персонала.

Например, недоступность программы лояльности не должна автоматически останавливать кассы. Резервный режим должен сохранять требования к расчетам и защите данных, а сотрудники должны понимать, как работать при частичной недоступности систем.

Проверки резервного режима проводят с разной периодичностью: одни сценарии тестируют ежеквартально, другие — раз в год. Часто это делают локально, на отдельных сегментах, без остановки всей инфраструктуры. Во время таких учений специалисты имитируют инциденты и проверяют, насколько быстро команда может восстановить операции. Конкретная частота зависит от критичности систем и особенностей бизнеса.

— Как правильно информировать покупателей об инциденте, чтобы не спровоцировать новую волну фишинга?

Евгений Царёв: Каналы и порядок коммуникации с клиентами необходимо определить заранее, ещё до инцидента. На этапе расследования компания должна готовить сообщения для покупателей, чьи данные могли быть затронуты.

Важно прямо сообщить, что произошло, какие данные потенциально могли оказаться под угрозой, какие меры принимает компания и что должен сделать клиент. Например, сменить пароль, проверить историю операций или обратиться в поддержку. Не следует заявлять об отсутствии утечки, пока это не подтверждено расследованием.

Информацию лучше публиковать в заранее определенных официальных каналах и указывать единый контакт поддержки. В сообщении нужно отдельно предупредить клиентов: компания не запрашивает пароли, коды из СМС и не предлагает переводить деньги на «безопасный счёт».

После завершения расследования клиентам также следует направить итоговую информацию по заранее согласованным каналам. На практике для таких уведомлений часто используется электронная почта, но выбор канала зависит от характера инцидента и имеющихся у компании способов связи с покупателями.

— Какие меры должны входить в минимальный план киберустойчивости для ритейлера любого масштаба?

Евгений Царёв: Минимальный план включает перечень критичных систем и их зависимостей, многофакторную аутентификацию, минимальные права доступа, сегментацию сети, устранение опасных уязвимостей, мониторинг и защищённые резервные копии с регулярной проверкой восстановления.

Не менее важна организационная часть: назначенные ответственные, контакты подрядчиков, порядок уведомлений и резервный сценарий продаж. План необходимо отрабатывать на учениях. Наличие документа само по себе не сокращает простой — это делает только готовность людей и систем действовать по проверенному сценарию.

Ранее RUБЕЖ  разбирал, как ритейлеру действовать в первые часы после киберинцидента: локализовать угрозу, сохранить данные для расследования и лишь затем безопасно восстанавливать критичные сервисы. Подробнее  —  в материале: «Сначала остановить атаку: эксперты назвали порядок действий ритейлера при киберинциденте»