Атака на АТБ продемонстрировала неприятную вещь: чтобы получить доступ к крупной компании, хакерам не обязательно быть гениями. Достаточно найти старый пароль, незащищенный портал, неправильно настроенную систему – и воспользоваться ошибками, которые годами оставались без внимания. Как хакеры могут добраться до ресурсов таких крупных компаний и какие управленческие решения определяют, как далеко может зайти злоумышленник? Рассказывает основатель и генеральный директор компании AmonSul, специализирующейся на кибербезопасности, Сергей Харюк
Заощаджуйте, отримуючи 6 журналів за ціною 4
Купуйте річну передплату на шість журналів Forbes Ukraine за 1 799 грн замість 2 400 грн. Читайте головні історії українського бізнесу, ексклюзивні рейтинги та глибоку аналітику в кожному номері.
5 октября финансово мотивированная хакерская группировка DataSuckers разместила на сайте АТБ таймер: $400 000 – либо публикация данных. В АТБ подтвердили атаку, но опровергли утечку персональных данных: мол, на взломанных ресурсах их и не было. Кто прав в этом споре, должно показать независимое расследование. Сайт АТБ по состоянию на 9 октября в 14:00 по-прежнему не работает.
Злоумышленники публично описали в отчете на своем Telegram-канале, как именно, по их версии, получили доступ к системам компании (такой возможный вектор атаки в частной беседе мне подтвердил представитель команды, занимающейся реагированием на кибератаку).
Это описание пугает не сложностью, а банальностью: ни одной неизвестной уязвимости, никаких хакерских «суперспособностей». Только ошибки, о которых уже много лет пишут в учебниках.
Кроме того, хакеры начали постепенно публиковать скачанные данные, например, исходный код. Аналитики из нашей группы реагирования и расследований изучили его и пришли к выводу, что, судя по всему, это подлинные данные.
Это история не об IТ, а об управленческих решениях и накоплении ошибок на протяжении многих лет. Поэтому она касается каждого владельца бизнеса.
Как произошло нападение на АТБ – по версии злоумышленников
Злоумышленники, согласно их описанию, начали с периферии – с систем, которые в компании могли не считать важными.
Хакеры якобы обнаружили в мобильном приложении АТБ старый пароль для служебного доступа. Этот пароль никогда не меняли. Обучающий портал для сотрудников без проверки предоставлял любому желающему данные доступа к базе и корпоративной почте компании. На сайте была обнаружена уязвимость, через которую можно было по частям извлекать базу данных миллионов людей.
Ключевой точкой, по словам хакеров, стал портал для поставщиков. Зарегистрироваться там мог любой, без проверки. Изнутри злоумышленники смогли прочитать файлы на сервере – и якобы нашли там пароли к основным базам данных компании, сохраненные в открытом виде. Систему защиты, которая должна была проверять загружаемые файлы, обошли простым трюком: перегрузили ее «мусором». Вредоносный файл под видом обычного вложения прошел.
Один из похищенных паролей, как утверждают злоумышленники, открыл доступ к системе, которая контролирует работу серверов, касс и терминалов всей сети. Подделав в ней собственный «пропуск», хакеры, по их словам, получили самый высокий уровень доступа. Последним шагом стали резервные копии: в них нашелся ключ, открывавший все – внутренние разработки, почту, справочник сотрудников, основные базы данных.
Каждая из этих проблем в отдельности известна уже давно, и для каждой существует стандартное решение. Но главная проблема заключается в том, что, если описанный сценарий действительно имел место, между второстепенной системой и наиболее ценными данными компании не было никакой защиты. Взлом учебного портала или личного кабинета поставщика не должен был привести к проникновению в другие системы компании.
Представьте себе автомобиль, в котором годами откладывали замену масла, игнорировали индикатор двигателя, тормоза, изношенные шины и неисправные ремни безопасности. Каждая проблема в отдельности – несерьезная. А потом все выходит из строя одновременно. Именно так выглядит компания, которая годами недооценивает риски.
Почему это решение владельца, а не IТ-отдела
Подумайте о пультовой охране. В новостях редко пишут о кражах из офисов, но компании все равно платят охранникам. Потому что понимают: существуют риски с низкой вероятностью и катастрофическими последствиями – потерянные деньги, документы, репутация, месяцы восстановления.
Кибербезопасность – это риск того же типа, только с более высокой ценой. Для компании масштаба АТБ это потенциально может привести к операционному хаосу во всей сети магазинов, удару по репутации и утечке данных миллионов клиентов. К этому добавляются расходы на расследование и восстановление. Большинство компаний не задумывается о цене таких ошибок, пока не приходит счет.
Порог входа в атаки такого уровня резко снизился – больше не нужны элитные команды хакеров. Злоумышленникам достаточно базовых знаний, ИИ-ассистента и бездействия самой компании. В случае с АТБ хакеры заявили, что на отдельных этапах использовали искусственный интеллект.
В Украине кибератаки представляют собой еще один аспект угрозы, который нельзя игнорировать. В слитых базах данных крупной сети будут содержаться телефоны и адреса, в частности военнослужащих и их семей, общественных деятелей и госслужащих. Слитый номер телефона может стать точкой доступа к личному мессенджеру, а оттуда – к потенциально конфиденциальной информации.
Каждая крупная компания – часть национальной устойчивости. Мысль «мы никому не интересны» – самая дорогостоящая иллюзия в современном бизнесе.
Что делать: восемь решений, которые нельзя делегировать
Большая часть этого не требует технического образования. Требуется управленческое решение.
Журнал Forbes Ukraine – у продажу з безкоштовною доставкою
Четвертий номер Forbes Ukraine у 2026 році – про людей і бізнеси, які вже сьогодні визначають майбутнє країни. Усередині – «30 до 30», 15 перспективних ветеранських компаній, 20 франшиз із потенціалом зростання, Говард Баффет і $1,4 млрд допомоги Україні, ціна війни для бізнесу та українське мистецтво воєнного часу.
1. Сделайте кибербезопасность показателем эффективности работы топ-менеджмента. В качестве метрик должны выступать количество обнаруженных уязвимостей, скорость их устранения и время восстановления после инцидента. Улучшать можно только те показатели, которые поддаются измерению.
2. Заказывайте независимую оценку – и меняйте тех, кто проводит проверку. Внутренняя команда защищает то, что сама создала. Внешний аудитор ищет то, что она упустила. Подрядчиков тоже стоит менять: команда, которая долго работает с одной системой, перестает замечать ее проблемы. Проверка должна проводиться систематически, а не эпизодически.
3. Требуйте, чтобы взлом одной системы не означал взлом всех. Каждая система должна иметь доступ только к тем данным и сетям, без которых она не может работать. Этот принцип называется «нулевое доверие» (Zero Trust). В случае с АТБ отсутствие такого подхода привело к тому, что взлом учебного портала открыл доступ ко всей компании.
4. Контролируйте все, включая «второстепенное». Кто-то должен круглосуточно следить за тем, что происходит в каждой вашей системе. Если у вас нет собственной команды по безопасности, эту услугу заказывают так же, как пультовую охрану.
5. Разработайте план на день «Х». Кто будет принимать решения в первые часы атаки? Как будут работать кассы и склады, если IТ-системы будут остановлены? Изолированы ли резервные копии от основной сети? Не хранятся ли в них «ключи от всего»? Такой план следует разрабатывать и отрабатывать до возникновения инцидента, а не во время него.
6. Встройте безопасность в процесс разработки. Если компания создает собственные приложения и сайты, проверка кода на уязвимости – такой же обязательный этап перед релизом, как и тестирование. Забытый пароль в мобильном приложении – именно то, что выявляет автоматическая проверка.
7. Не верьте, что один вендор решит все проблемы. Ни одно решение из любого рейтинга не заменит процессы и культуру безопасности внутри компании. Технология без процесса – дорогая декорация.
8. Пересматривайте стратегию ежегодно. Ландшафт угроз меняется быстрее, чем большинство IТ-стратегий. То, что обеспечивало защиту два года назад, сегодня может стать «открытой дверью».
9. В случае атаки обращайтесь к компетентным службам реагирования, в том числе к государственным органам, таким как ДКИБ, которые помогут вам в кратчайшие сроки потушить пожар и минимизировать ущерб. Не стоит скрывать проблему или надеяться, что она пройдет сама собой.
Атака на АТБ – это не только история об АТБ. Это зеркало для любой компании, которая годами недооценивает киберриски.
Начните с одного вопроса к своей команде: «Если завтра взломают нашу наименее важную систему – как далеко сможет зайти злоумышленник?» Если никто не может уверенно ответить за пять минут – вы уже знаете, с чего начать.
