Beget сообщил об утрате данных в облачной инфраструктуре после кибератаки

51 минута назад

© Сгенерировано ИИ

Масштабная кибератака на одного из крупнейших российских хостинг-провайдеров Beget привела к компрометации систем управления, уничтожению данных в облачной инфраструктуре и масштабным перебоям в работе клиентских сервисов. Компания сохранила файловые резервные копии, однако восстановление осложняется необходимостью проверки более тысячи серверов. О том, почему недоступность DNS-инфраструктуры способна парализовать работу сайтов даже при сохранности серверов и почему наличие резервных копий не гарантирует быстрого восстановления, журналу RUБЕЖ рассказал Максим Ткачёв, директор департамента комплексной поддержки «Инфосистемы Джет».

Атакующие получили доступ к управляющей инфраструктуре

В ночь с 1 на 2 ноября 2026 года инфраструктура Beget подверглась масштабной кибератаке, в результате которой была нарушена работа хостинга, облачных сервисов, DNS-серверов и электронной почты. Первые сообщения о проблемах с доступностью ресурсов начали поступать около 03:00 мск.

Первоначально провайдер сообщал о комплексном характере инцидента, затронувшего все уровни архитектуры. Для восстановления работоспособности инженерам пришлось вручную настраивать инфраструктуру непосредственно в дата-центрах.

3 ноября Beget раскрыл новые обстоятельства атаки. Согласно официальному сообщению компании, злоумышленники получили доступ к управляющему контуру всей архитектуры, после чего запустили скрипты обнуления данных.

Наиболее серьёзные последствия зафиксированы в облачном сегменте. По информации провайдера, данные в инфраструктуре VPS, S3 и Kubernetes были утрачены. При этом файловые резервные копии VPS сохранились, что оставляет возможность восстановления информации. Бинарные резервные копии виртуальных серверов потеряны полностью. Также утрачены настройки CDN и IP.

В компании подчеркнули, что пока не могут раскрыть все технические подробности инцидента, поскольку это может повлиять на безопасность последующего запуска инфраструктуры и проведение расследования.

Сбой затронул сайты, государственные ресурсы и цифровые сервисы

По данным октябрьской переписи хостингов, приведённым CNews, на инфраструктуре Beget размещалось 334 562 действующих сайта в доменных зонах .RU, .РФ и .SU. Доля провайдера составляла около 14,6% исследованных работающих сайтов. По собственным данным компании, общее количество размещённых на её облачных серверах сайтов превышает 450 тыс.

При этом количество сайтов, обслуживаемых Beget, нельзя отождествлять с числом ресурсов, непосредственно пострадавших от кибератаки.

Масштабный сбой затронул не только клиентов хостинга, но и сторонние цифровые сервисы. По сообщениям СМИ, проблемы с доступностью возникли у портала администрации Нарьян-Мара, информационных ресурсов научных организаций и ряда коммерческих сайтов.

В частности, временно оказался недоступен информационный сайт системы маркировки «Честный знак». При этом оператор системы уточнил, что сама платформа маркировки и личные кабинеты участников оборота продолжали работать штатно.

С последствиями инцидента столкнулись и пользователи каршеринга BelkaCar. Компания подтвердила, что перебои в работе приложения были связаны с аварией у Beget. Некоторые клиенты испытывали сложности с завершением аренды автомобилей.

Таким образом, последствия атаки вышли за пределы инфраструктуры провайдера и затронули организации, использующие его сервисы для размещения сайтов и обеспечения цифровых операций.

DNS-инфраструктура стала одним из приоритетов восстановления

Одной из первоочередных задач Beget стало восстановление NS-серверов, обеспечивающих работу системы доменных имён. Их недоступность способна нарушить работу сайтов, электронной почты и других интернет-сервисов даже в тех случаях, когда сами серверы продолжают функционировать.

Директор департамента комплексной поддержки «Инфосистемы Джет» Максим Ткачёв объяснил журналу RUБЕЖ, что последствия компрометации DNS-инфраструктуры могут быть значительно серьёзнее временной недоступности сайтов.

«Компрометация NS-серверов опасна сама по себе: получив над ними контроль, злоумышленники могут подменять DNS-записи и перенаправлять трафик на подконтрольные им ресурсы. Например, изменение MX-записей позволяет перенаправить входящую электронную почту на сторонние серверы, создавая риск перехвата конфиденциальной информации. Подмена A- или AAAA-записей может привести к перенаправлению пользователей на поддельные сайты, в том числе для кражи учётных данных.

 

Но даже без вмешательства злоумышленников недоступность NS-серверов может нарушить работу сайтов, электронной почты и других сервисов. Браузеры и почтовые клиенты просто не смогут определить, по какому адресу находится нужный ресурс, хотя сами серверы продолжают работать», пояснил эксперт.

При этом Beget не сообщал о подтверждённых случаях злонамеренной подмены DNS-записей. Описанные Ткачёвым сценарии характеризуют потенциальные риски компрометации DNS-инфраструктуры.

По словам эксперта, возвращение NS-серверов в эксплуатацию должно сопровождаться проверкой целостности записей и контроля над системой.

«Поэтому восстановление DNS-инфраструктуры действительно первоочередная задача. Однако важно не только вернуть её работоспособность, но и проверить целостность DNS-записей, исключить несанкционированные изменения и убедиться, что управление инфраструктурой снова находится под контролем провайдера».

К 3 ноября Beget сообщил о восстановлении DNS-серверов и возможности изменения записей A, MX и TXT для доменов в зонах .RU, .РФ и .SU, зарегистрированных у провайдера и использующих его DNS-инфраструктуру. Клиенты получили возможность перенаправлять домены на другие IP-адреса. Работы по восстановлению управления международными доменами продолжались.

Резервные копии сохранились, но восстановление займёт значительное время

Отдельной проблемой стало восстановление данных и серверных конфигураций после атаки.

Согласно официальному сообщению Beget от 3 ноября, файловые резервные копии виртуального хостинга и облачной инфраструктуры сохранились. Однако предоставить клиентам полноценный доступ к ним компания пока не может.

Основная сложность связана с необходимостью проверки каждого сервера на наличие скрытых уязвимостей и вредоносных скриптов. По оценке провайдера, вручную необходимо проверить более тысячи серверов. Только после этого инфраструктура может быть безопасно возвращена в эксплуатацию.

Максим Ткачёв отмечает, что сохранность резервных копий сама по себе не гарантирует быстрого восстановления.

«Сохранность резервных копий важное условие восстановления, но не гарантия его скорости. После масштабной кибератаки нужно не только вернуть системы в строй, но и проверить инфраструктуру на следы компрометации, чтобы повторный запуск сервисов не спровоцировал новый инцидент.

Само восстановление данных одна из самых трудоёмких задач. Его продолжительность зависит от того, где и на каких носителях хранятся бэкапы, от объёма информации, пропускной способности каналов и производительности систем хранения».

По словам эксперта, дополнительную опасность представляет возможная компрометация систем резервного копирования.

«Кроме того, важно, можно ли доверять самим копиям. Если злоумышленники получили доступ к системам резервного копирования, данные могли быть повреждены ещё до активной фазы атаки. Поэтому доверенные копии стоит держать в изолированном контуре, на этом принципе построены наши решения „Бункер“ и „Цитадель“».

Ещё одна сложность заключается в необходимости восстановления не только данных, но и всей среды, обеспечивающей работу клиентских сервисов.

«Наконец, резервная копия это ещё не работающий сервис. Нужно заново настроить серверы, базы данных, сетевые компоненты и системы управления, а взаимосвязанные системы запустить в правильной последовательности. Сократить простой позволяют только заранее отработанные сценарии восстановления и чёткое распределение ответственности».

Таким образом, даже при сохранности файловых копий восстановление клиентских сервисов требует последовательного возвращения в эксплуатацию серверов, сетевых компонентов и управляющих систем. В случае Beget этот процесс дополнительно осложняется необходимостью проверки инфраструктуры после компрометации управляющего контура.

Ранее RUБЕЖ анализировал, почему наличие резервных ЦОД и копий данных не гарантирует быстрого восстановления бизнеса после аварии. Эксперты «Инфосистемы Джет», GreenMDC и K2 Cloud объяснили, как общие системы управления, зависимость между площадками и недостаточная изоляция резервной инфраструктуры могут увеличить продолжительность простоя.

Что удалось восстановить к 3 ноября

В обновлении от 3 ноября Beget представил промежуточные результаты восстановительных работ.

Работа выделенных серверов, которые клиенты администрируют самостоятельно, была восстановлена ещё 2 ноября приблизительно к 14:00.

В почтовом сегменте восстановлено около 80% инфраструктуры. Полноценный запуск оставшейся части компания рассчитывала завершить в течение десяти часов после публикации обновления.

На выделенных серверах под управлением провайдера, по его данным, сохранилась большая часть информации. Специалисты продолжают проверку оборудования и его последовательный ввод в эксплуатацию.

По предварительной оценке Beget, восстановлению подлежат почти 100% сайтов, размещавшихся на виртуальном хостинге. Работы по возвращению хостинговых серверов в эксплуатацию уже начались.

Отдельные меры приняты для сохранения работоспособности доменных имён. Провайдер сообщил о договорённости с Координационным центром сети Интернет, благодаря которой домены в российских национальных зонах .RU, .РФ и .SU, срок регистрации которых истекает в период восстановления сервисов, не будут сняты с делегирования.

Компания также анонсировала запуск ограниченного интерфейса управления частью услуг в течение 24 часов после публикации обновления.

Точные сроки полного восстановления инфраструктуры пока не установлены.

Утечка пользовательских данных не подтверждена

Несмотря на масштаб повреждений, Beget сообщил, что по имеющимся данным не обнаружено попыток скачивания или изменения информации непосредственно на серверах, где хранились пользовательские данные.

Вместе с тем провайдер рекомендовал клиентам сменить пароли, ключи доступа и другие учётные данные, которые могли находиться на затронутых серверах.

Таким образом, на текущем этапе компания подтвердила компрометацию управляющей инфраструктуры и уничтожение данных в отдельных облачных системах, однако не сообщала о подтверждённой массовой утечке пользовательской информации.

Beget уведомил клиентов о форс-мажоре

На фоне инцидента ООО «Бегет» направило клиентам официальное уведомление о возникновении обстоятельств, обладающих признаками непреодолимой силы, со ссылкой на пункт 3 статьи 401 Гражданского кодекса РФ.

Компания указала, что масштабная кибератака и её последствия временно препятствуют надлежащему исполнению части договорных обязательств по предоставлению услуг.

При этом само направление уведомления не означает автоматического освобождения провайдера от ответственности перед клиентами. Для признания обстоятельств форс-мажорными необходимо установить их чрезвычайный и непредотвратимый характер, а также причинно-следственную связь с невозможностью исполнения конкретных обязательств.

Атака показала зависимость облачных сервисов от управляющей инфраструктуры

Инцидент Beget продемонстрировал, насколько серьёзными могут быть последствия компрометации централизованных систем управления облачной инфраструктурой.

Даже при сохранности части физических серверов и резервных копий нарушение работы DNS, сетевых настроек и управляющих компонентов способно привести к длительной недоступности клиентских сервисов.

Максим Ткачёв считает, что подобные инциденты требуют более комплексного подхода к проектированию отказоустойчивой инфраструктуры.

«Этот случай показывает, насколько сильно непрерывность работы сервисов зависит от базовых инфраструктурных компонентов. Значит, при проектировании отказоустойчивой инфраструктуры необходимо учитывать зависимости между системами и предусматривать сценарии восстановления не только отдельных серверов, но и обеспечивающих их работу служб».

Восстановительные работы Beget продолжаются. Компания не раскрывает все технические детали атаки, объясняя это необходимостью обеспечить безопасный запуск инфраструктуры и не препятствовать расследованию.

О том, почему сохранность резервных копий ещё не означает готовности инфраструктуры к аварии, RUБЕЖ ранее рассказывал в материале с участием директора по информационной безопасности mt cloud Виктора Виноградова. Эксперт объяснил, как независимость резервных площадок, заранее определённая последовательность восстановления и регулярные испытания влияют на продолжительность простоя цифровых сервисов.