Взлом «Аэрофлота» как пример атаки на инфраструктуру России

Привет.

Утром двадцать восьмого июля табло Шереметьево показывало, что аэропорт работает как часы. Никаких задержек рейсов, регистрация по расписанию, а в терминалах — привычные для летнего периода очереди. Люди регистрировали багаж, спешили пройти в чистую зону, чтобы успеть выпить чашечку кофе перед вылетом. Ночью не было налета дронов, никаких перекрытий воздушного пространства, так что авиагавань жила в привычном ритме.

Чуть позже семи часов утра в «Аэрофлоте» сообщили о сбое информационных систем, из-за него целый ряд рейсов задерживались, некоторые отменили. Сообщение было доступно не только в TG-канале «Аэрофлота», но и для пассажиров затронутых рейсов, последние получали SMS-сообщения или пуш-уведомления в приложении (второе приходило быстрее и надежнее).

Одновременно с сообщением компании о сбое в информационных системах начались массовые отмены рейсов. Уже в десять часов утра компания опубликовала список отмененных рейсов:

• SU1642/1643 Москва – Астрахань — Москва
• SU1498/1499 Москва – Грозный — Москва
• SU1400/1401 Москва — Екатеринбург — Москва
• SU1416/1417 Москва — Екатеринбург — Москва
• SU1402/1403 Москва — Екатеринбург — Москва
• SU1020/1021 Москва — Екатеринбург — Москва
• SU1860/1861 Москва — Ереван — Москва
• SU1276/1277 Москва — Казань — Москва
• SU1016/1017 Москва — Калининград — Москва
• SU1002/1003 Москва — Калининград — Москва
• SU1004/1005 Москва — Калининград — Москва
• SU1486/1487 Москва — Красноярск — Москва
• SU1058/1059 Москва — Махачкала — Москва
• SU1304/1305 Москва — Минеральные Воды — Москва
• SU1312/1313 Москва — Минеральные Воды — Москва
• SU1028/1029 Москва — Минеральные Воды — Москва
• SU1310/1311 Москва — Минеральные Воды — Москва
• SU1352/1353 Москва — Минеральные Воды — Москва
• SU1830/1831 Москва — Минск — Москва
• SU1842/1843 Москва — Минск — Москва
• SU1836/1837 Москва — Минск — Москва
• SU1320/1321 Москва — Мурманск — Москва
• SU1324/1325 Москва — Мурманск — Москва
• SU1688/1689 Москва — Омск — Москва
• SU1240/1241 Москва — Оренбург — Москва
• SU1060/1061 Москва — Орск — Москва
• SU1202/1203 Москва — Пермь — Москва
• SU1218/1219 Москва — Самара — Москва
• SU1040/1041 Москва — Сочи — Москва
• SU012/013 Москва — Санкт-Петербург — Москва
• SU010/011 Москва — Санкт-Петербург — Москва
• SU008/009 Москва — Санкт-Петербург — Москва
• SU1366/1367 Москва — Ставрополь — Москва
• SU1362/1363 Москва — Ставрополь — Москва
• SU1364/1365 Москва — Ставрополь — Москва
• SU1368/1369 Москва — Ставрополь — Москва
• SU1506/1507 Москва — Тюмень — Москва
• SU1568/1569 Москва — Тюмень — Москва
• SU1230/1231 Москва — Уфа — Москва
• SU1094/1095 Москва — Челябинск — Москва
• SU1420/1421 Москва — Челябинск — Москва
• SU1422/1423 Москва — Челябинск — Москва

Обратите внимание, что рейсы двойные (туда и обратно), в списке всего 84 рейса. Пассажирам предложили получить багаж и покинуть аэропорт, так как кассы «Аэрофлота» в Шереметьево перестали работать из-за наплыва людей. Ровно так же получалось при отмене рейсов из-за атаки дронов.

В начале июля в целом ряде аэропортов вводили план «Ковер», безопасность полетов при атаках дронов выходила на передний план. Тогда ущерб авиакомпаний за первые десять дней оценивался в разные суммы, максимальная — около 20 млрд рублей, и он полностью ложился на плечи самих авиакомпаний, частично перераспределяясь на пассажиров, которые не получали полноценной компенсации косвенных трат. В суд всегда идут единицы из пассажиров, те, кто получил существенный ущерб (потерял стыковочный рейс, пропустил круиз и так далее). Но в случае закрытия неба, продиктованного безопасностью полетов, получить те или иные значимые компенсации практически невозможно. Совсем другое дело — сбой при атаке на IT-системы компании, ведь тут вина ложится на перевозчика, он не смог создать устойчивые к взлому системы.

Проблема для пассажиров в том, что «Аэрофлот» предлагает переоформить билет в том месте, где вы его покупали (кто-то наверняка сделал это в Ереване и не может купить новый билет там или поменять его, равно как и те, кто уже улетел из дома). А онлайн-системы ровно так же не работают, то есть вы не можете оформить новый билет взамен старого. Все расходы в моменте ложатся на плечи пассажиров, что для последних накладно.

Кто виноват и что произошло на самом деле?

В «Аэрофлоте» первоначально говорили исключительно о сбое информационных систем, сроки их восстановления никак не описывались. Одновременно с этим две хакерские группировки заявили о взломе компании, о том, что они проникли в корпоративные системы еще год назад и все это время находились внутри. Ответственность взяли такие группы, как Silent Crow и «Киберпартизаны BY».

Из сказанного прозвучало несколько важных моментов:

• Хакеры находились внутри систем больше года;
• Уничтожено семь тысяч виртуальных и физических серверов без возможности восстановления;
• Скачано около 12 ТБ данных, в том числе истории перелетов, внутренние документы и другие данные.

Весомых доказательств многим сделанным утверждениям не приведено, что типично для взломщиков, они также участвуют в информационной атаке на своих жертв, когда заведомо завышают ущерб и преувеличивают свои возможности.

Насколько скриншоты, приведенные хакерами, реальны или выдуманы, мы с вами не знаем и не можем оценить. Фактом является только то, что информационная система «Аэрофлота» или ее части подверглись атаке, плюс косвенно на это указывает то, что прокуратура возбудила уголовное дело по части четыре статьи 272 уголовного кодекса (неправомерный доступ к компьютерной информации).

Обыватель, особенно попавший под отмену рейса, будет нещадно ругать авиакомпанию, ему, без сомнений, доставили серьезные неудобства. Но нужно понимать, что с 2022 года Россия живет под огромным внешним давлением, все аспекты наших информационных систем постоянно подвергаются атакам, размер DDoS-атак давно стал рекордным, в новейшей истории ничего подобного не было.

Важно понимать, что за атаками не может стоять Украина или отдельные хакерские группировки, у них просто нет таких ресурсов. Также как за мошенниками, которые пытаются обманывать российских граждан, мы видим государства и направленные атаки на Рунет. В этом не может быть ни малейших сомнений, все это часть враждебных действий других государств, которые прикрываются украинскими группировками. Де-факто это атака на российскую инфраструктуру, чтобы нанести максимальный экономический ущерб. Обратите внимание, что те же налеты дронов имеют четкую координацию, привязку к маршрутной сетке гражданской авиации. Задача таких налетов — максимально парализовать пассажирское сообщение, нанести экономический урон. И взлом «Аэрофлота» выглядит как часть этой тактики, тут нет никаких отличий.

Ни одна компания не может обеспечить защиту своих систем на 100%, даже в теории это невозможно (вспоминаем взлом корпоративной Америки и ту же Sony Corporation). Там хакеры резвились не один месяц, де-факто выкачав с серверов компании огромные объемы конфиденциальных данных. И таких примеров в новейшей истории десятки, если не сотни.

Даже если следовать заявлению хакеров относительно «Аэрофлота», получится, что они не смогли скачать заметный объем данных, принадлежащих компании, так как 12 ТБ для корпорации такого уровня — это слезы. Возможно, они не хотели, чтобы их заметили и обнаружили, приоритетной задачей было нанесение прямого вреда, а вовсе не получение той или иной информации. 12 ТБ за год означает, что в месяц это примерно 1 ТБ информации. Только переписка средней руки корпорации в России за месяц создает 3-4 ТБ данных, а «Аэрофлот» намного больше. Несоразмерно малое число данных, об утечке которых заявляют взломщики.

Стоит ли беспокоиться пассажирам? Никакой информации о том, что получены маршрутные квитанции, не поступало. Потенциальный вред взломщики могут нанести только в одном случае — если они начнут отменять чужие бронирования, полеты. Тут тоже можно защититься от такого сценария, но он неприятен. Сама информация о состоявшихся перелетах не представляет особого интереса. Так что пока не вижу ничего критичного в том, что какие-то данные могут оказаться в руках у взломщиков.

От подобных атак не застрахован никто, но они служат примером для всего рынка. Нужно вкладывать деньги в информационную безопасность, усиливать защитный периметр. И история «Аэрофлота», надеюсь, подтолкнет другие компании пересмотреть свои подходы, если это еще не сделано.

На московской бирже акции «Аэрофлота» незначительно снизились в цене, никакого реального обвала не произошло, ситуация воспринимается как знакомый риск, аналогичный налету дронов.

Драматизировать ситуацию точно не стоит, взлом корпораций — событие если не рядовое, то привычное. А иногда это и вовсе не взлом, а ошибка обновления программного обеспечения, как это было с CrowdStrike.

По итогам всей истории хотелось бы увидеть четкую коммуникацию, в которой «Аэрофлот» опишет сам процесс взлома, то, что будет сделано, чтобы его не произошло в будущем (в общих чертах, без внутренней кухни). Учитывая высокую политизированность вопроса, мы вряд ли увидим такой подход.

Атака на российскую инфраструктуру стала привычным делом, частью новой нормальности. Мы пишем об этом нон-стоп, к сожалению, темы для этого жизнь подкидывает постоянно.

Наша страна будет жить под внешними атаками, нас заставляют тратить большие средства на защиту от них, а когда атака удается, это расходы, которые бьют по карману каждого человека. Например, тот же «Аэрофлот» — крупнейшая российская компания, локальные перевозки всецело в его руках. Обратите внимание, что отмена рейсов — это почти всегда внутренние перевозки. Убытки будем компенсировать мы с вами ростом цен на перелеты, за последние годы они заметно подорожали.

Недавно не смог улететь из Пулково, мой рейс отменили. В итоге пришлось заночевать в Питере, на следующий день ехать на «Сапсане» (на него тоже не было билетов, поймал билет какого-то отказника рано утром). В «Аэрофлоте» вернули деньги за перелет плюс предложили скидку в 10% на покупку следующего билета, она действует до конца года. Думаю, что размер скидки примерно и описывает то, насколько в среднем может вырасти стоимость перелетов внутри страны. Хотя, конечно же, это чистой воды спекуляция, рассуждение о том, как компенсировать убытки такой компании, как «Аэрофлот», взять деньги где-то еще у нее просто нет возможности.

И в качестве завершающего штриха. Искушение порассуждать о взломе, посетовать на отсутствие защиты стоит оставить популистам. Взломать могут кого угодно, вопрос в том, как это сделано и какой объем информации утек. Так что сохраняйте холодную голову и не бросайтесь в обсуждения в отсутствие информации.