Сначала остановить атаку: эксперты назвали порядок действий ритейлера при киберинциденте

44 минуты назад

© Изображение сгенерировано нейросетью

Кибератака на ритейлера способна затронуть не только персональные данные покупателей, но и всю цепочку обслуживания: интернет-магазин, мобильное приложение, программу лояльности, оплату, CRM, кассы, доставку и каналы коммуникации. Как ранее рассказывал RUБЕЖ, «Додо Пицца» зафиксировала атаку на ИТ-инфраструктуру, после которой в Сеть попала база клиентских данных за 15 лет.

Этот случай показывает, почему торговым компаниям необходимы заранее подготовленные сценарии реагирования. Эксперты, опрошенные журналом RUБЕЖ, объяснили, какие системы требуют первоочередного внимания, почему нельзя начинать с немедленного восстановления продаж и как выстроить коммуникацию с клиентами в первые часы после атаки.

Дмитрий Зубарев, директор Аналитического центра ИТ-компании УЦСБ, отмечает, что сайты постоянно доступны из интернета, а их компрометация может открыть злоумышленникам доступ к ФИО покупателей, номерам телефонов и адресам доставки. Риски усиливают уязвимости, которые регулярно выявляют в популярных CMS.

Проверять при этом только сайт недостаточно. Михаил Сарычев, генеральный директор IT-компании DBI, рекомендует учитывать всю цепочку — от входа пользователя до оформления заказа и подтверждения оплаты. В зоне внимания должны находиться API, личные кабинеты, механизмы восстановления доступа, CRM, программы лояльности, кассовая и учетная инфраструктура.

«Первоначальной точкой входа может оказаться почта сотрудника, доступ подрядчика или забытый тестовый сервис. Дальше злоумышленник пытается расширить свои права и добраться до более значимых систем», — пояснил Сарычев.

По словам Алексея Горелкина, генерального директора компании Phishman, корпоративные базы данных, в том числе хранилища ERP-систем, также привлекают злоумышленников. Целью атаки может быть шифрование информации с последующим вымогательством, искажение или уничтожение данных.

Локализация атаки и сохранение следов

Первым техническим приоритетом после обнаружения инцидента должна быть остановка распространения атаки, подчеркнул Зубарев. Попытка немедленно вернуть системы в работу способна уничтожить цифровые следы взлома, помешать оценить его масштаб и создать риск повторной компрометации.

«Рекомендуемый порядок следующий: остановка атаки, восстановление продаж, предупреждение клиентов», — отметил Зубарев.

Эксперт также напоминает, что при подозрении на утечку персональных данных оператор  должен направить первичное уведомление в Роскомнадзор в течение 24 часов с момента выявления инцидента.

Сарычев уточняет, что локализацию, подготовку ограниченного режима работы и коммуникации можно вести параллельно при четком разделении ответственности. Техническая команда определяет затронутые компоненты, изолирует их, отзывает скомпрометированные доступы и сохраняет журналы событий. Бизнес оценивает, какие операции допустимо продолжать, а коммуникационная служба готовит сообщения на основе подтвержденных фактов.

«Если через сервис продолжается утечка или изменение данных, его нельзя возвращать в обычную эксплуатацию ради быстрого возобновления продаж», — отметил он.

Незатронутые магазины и каналы обслуживания могут продолжить работу, только если подтверждены их независимость от повреждённой инфраструктуры и безопасность операций. Восстанавливать в первую очередь следует критичные для покупателя функции: оформление заказа, корректную оплату и выдачу товара. Перед запуском необходимо убедиться, что среда очищена от следов присутствия злоумышленника, а резервные копии и целостность данных проверены.

План реагирования и коммуникации с клиентами

По мнению Горелкина, действия при киберинциденте не должны определяться в момент атаки. Заранее подготовленный план помогает согласовано обнаруживать и изолировать затронутые ресурсы, восстанавливать работу систем и готовить внешние сообщения с участием PR-службы.

Минимальный план киберустойчивости должен включать порядок выявления пострадавших баз данных, рабочих станций, облачных хранилищ и других компонентов инфраструктуры, их изоляцию для предотвращения перемещения злоумышленника внутри сети, а также дальнейшее расследование и устранение уязвимостей.

Сарычев предлагает включить в такой план карту зависимостей систем продаж, оплаты, склада, доставки и коммуникаций; контакты подрядчиков; резервный канал связи для команды и шаблоны сообщений покупателям. Отдельно необходимо проверять не только наличие резервных копий, но и возможность реального восстановления из них.

Сообщение для клиентов, по его словам, должно отвечать на четыре вопроса: что уже подтверждено, какие сервисы затронуты, что следует сделать покупателю и где будут публиковаться обновления. Если компания ещё уточняет состав затронутых данных, об этом нужно говорить прямо, не обещая отсутствие утечки до окончания проверки.

В уведомлениях важно отдельно предупреждать покупателей, что компания не запрашивает пароли, коды из СМС, переводы денег или установку программ удаленного доступа. Проверять информацию клиентам следует через официальное приложение или сайт, введя адрес самостоятельно, а не переходя по ссылкам из сообщений.

Утечка клиентских данных создает для ритейлера не только репутационный, но и финансовый риск. Похищенная информация может использоваться для социальной инженерии, захвата аккаунтов, списания бонусов, изменения адресов доставки и фишинговых звонков от имени магазина или службы доставки.

Ранее RUБЕЖ также обращал внимание на рост рисков атак через подрядчиков и партнёров — этот сценарий особенно важен для ритейла с разветвлённой ИТ-инфраструктурой и большим числом внешних интеграций. Подробнее об этом в материале: «Доля атак через подрядчиков выросла до 30%, а промышленность стала главной целью киберпреступников».