О взломе «Микорда»

В открытом доступе была опубликована часть данных, которые хакеры украли у казанской компании «Микорд». Если не вдаваться в детали, то из утечки следует, что «Микорд» действительно является одним из ключевых подрядчиков, участвующих в создании единого реестра воинского учёта (ЕРВУ). Также очевидно, что взломщики унесли и потёрли если и не всё, то всё, до чего смогли дотянуться.

Справедливости ради, заявление Минобороны о том, что реестр функционирует в штатном режиме, а утечки персональных данных не произошло, тоже не противоречит истине. Хотя хакерам удалось получить большое количество внутренних данных «Микорда», данных лиц, подлежащих воинскому учёту, среди них, по-видимому, не было. Сайт реестрповесток.рф некоторое время после кибератаки не функционировал (свидетельства этого остались в интернет-архиве), но к моменту заявления Минобороны технологические работы были завершены. Проще говоря, взлом подрядчика ведомство никак не комментировало, а перенесло акцент на то, что от кибератаки не пострадало.

Взлом «Микорда» — это один из наиболее серьёзных инцидентов за последние годы, учитывая значимость ЕРВУ для российских властей и количество вовлечённых лиц. Тем интересней этот взлом с точки зрения того, сколько слоёв защиты не сработало. Речь не только о самой компании-жертве, тут комментарии излишни. Например, согласно слитым материалам, «Микорд» был подрядчиком «Ростелекома». Как помнят постоянные читатели, «Ростелеком» с недавних пор благодаря в том числе собственному опыту был прекрасно осведомлён об угрозе атак через подрядчиков и даже ввёл для них новые требования информационной безопасности. Но в данном случае это не помогло. Другой слой — региональный. Как гордость IT-отрасли Татарстана «Микорд», наверно, мог бы рассчитывать на поддержку властей региона. Татарстан весь год рассказывал о своих успехах в сфере информационной безопасности и, казалось, был настолько уверен в своих силах, что ликвидировал региональный штаб по обеспечению кибербезопасности. Но в данном случае самоуверенность не выдержала проверку реальностью. И так далее.

Отдельная интрига — кто взломал «Микорд». Взломщиков описывали как анонимную хакерскую группировку или антивоенно настроенных российских хакеров. Судя по всему, что известно о кибератаке, их нельзя назвать новичками. Это были не хактивисты, ограничившиеся дефейсом сайта. Им удалось найти интересующую компанию, получить доступ к инфраструктуре, оставаться незамеченными несмотря на пристальное внимание к проекту, украсть и уничтожить данные. Более того, злоумышленники смогли получить доступ к звонку с разбором последствий атаки, что встречается нечасто и указывает на хорошее планирование. В самых общих чертах почерк хакеров (кража данных с последующим деструктивным воздействием) напоминает действия многих проукраинских группировок, однако возможные пересечения может показать только технический анализ (и понятно, кто им будет заниматься).

Наконец, ещё одно очевидное наблюдение. В любой стране подобный инцидент стал бы новостью дня, а для инфобез-отрасли — событием года. Ладно, может, и не в любой, но в США его бы долго разбирали со всех сторон. В России же кибератака на «Микорд» наоборот рискует стать наименее обсуждаемым событием. Основная причина связана с источниками информации. Утверждается, что хакеры передали украденные данные организации «Идите лесом», которая признана в России иностранным агентом, а та поделилась ими с медиа «Важные истории», чья деятельность в России признана нежелательной. Ссылаться на такие источники в России не просто не комильфо, но и сопряжено с административным и даже уголовным наказанием. Поэтому одного из крупнейших взломов как бы и нет. Хотя все, кому полагается (и не полагается), разумеется, всё прочитали. Это не уникальная ситуация, точно так же в России «обсуждался» и взлом Главного радиочастотного центра «Киберпартизанами».

Не то чтобы в этом было что-то удивительное, но всё-таки немного безумно, что российские СМИ уделили больше внимания не реальному инциденту, а высосанным из пальца европейским кибератакам.