Что с Beget: часть данных клиентов не вернётся совсем. Что ещё можно восстановить

Предприниматель Антон держал сайт на хостинге Beget и посчитал для BFM.ru, сколько стоит ему простой: 25 тысяч рублей в день. Компенсации, как пишет издание, не предусмотрены: Beget объявил форс-мажор.

Сайт Антона упал в ночь на 2 ноября вместе с огромной частью Рунета. По данным Т—Ж, около 02:46 мск клиенты начали жаловаться в комментариях к Telegram-каналу Beget, к 03:00 жалобы пошли на Downdetector, а к утру их набралось больше семи тысяч.

Сейчас, по последнему обновлению компании, которое приводит Хабр, на виртуальном хостинге запущено 35% серверов, а выделенных серверов под управлением Beget — 15%. Срок полного восстановления не назван. Часть данных не вернётся совсем.

Взломали изнутри, трафик ни при чём

Первое сообщение о «крупном инциденте» Beget опубликовал в 04:50, причину не назвал. Слово «кибератака» появилось только в 15:43, то есть клиенты узнали о взломе почти через 13 часов после начала сбоя. Хронологию восстановил Т—Ж.

Подробности пресс-служба дала в Telegram, их цитируют Хабр и «Важные истории». Атакующие получили доступ к «управляющему контуру всей архитектуры» и запустили «обнуляющие скрипты». Данные стирали изнутри, командами самой системы. С DDoS, когда сервис заваливают запросами, это не имеет ничего общего.

Как злоумышленники попали в контур и кто они, неизвестно. По данным SecurityLab и «Важных историй», Beget не знает, кто стоит за атакой, и не раскрывает детали, чтобы не помешать расследованию.

Масштаб большой. По данным statonline.ru, которые цитирует «Коммерсант», у Beget 540,7 тыс. доменов в RU-зоне, или 14,7%: это второй хостер в стране. Лёг информационный сайт «Честного знака» (оператор ЦРПТ уверяет, что сама система работает штатно), каршеринг BelkaCar, сайты туроператоров, портал администрации Нарьян-Мара.

BelkaCar, по данным Т—Ж, советовал водителям, которые не могли завершить аренду, открывать машину функцией «Bluetooth-двери» или записывать точное время конца поездки. Зависшие аренды обещали пересчитать.

Что уцелело: заявления по датам

Я разложил заявления Beget по дням, потому что они менялись. 2 ноября компания говорила, что файловые бэкапы доступны для «подавляющего большинства» ресурсов. 3 ноября уточнила, и картина стала жёстче.

В облаке, то есть в VPS, хранилище S3 и Kubernetes, все данные утрачены. Бинарные бэкапы VPS «полностью утеряны», пропали и настройки CDN и IP. Об этом пишут Хабр и SecurityLab. Уцелели файловые бэкапы хостинга и облачной инфраструктуры.

Поэтому, по предварительной оценке Beget, почти 100% сайтов на виртуальном хостинге можно восстановить, но это займёт «существенное время». На выделенных серверах под управлением Beget большая часть данных тоже сохранилась.

Мелкий шрифт в том, что «почти 100%» сказано только про виртуальный хостинг. Владельцам VPS остаются в лучшем случае файлы. Образ машины со всеми настройками потерян, и окружение, скорее всего, придётся поднимать заново.

По данным SecurityLab на 3 ноября, почта восстановлена примерно на 80%, полностью её обещали вернуть в течение 10 часов. Ограниченный интерфейс управления частью услуг обещали в течение суток. Больше 1000 серверов вручную проверяют на вредоносные скрипты и уязвимости. DNS уже работает, и в зонах .ru, .рф и .su снова можно менять записи A, MX и TXT.

Форс-мажор и пароли: две оговорки

Beget уведомил клиентов об обстоятельствах с признаками непреодолимой силы и сослался на п. 3 ст. 401 ГК РФ. Многие прочли это как конец любым претензиям. SecurityLab напоминает, что одно уведомление от ответственности не освобождает: компании нужно доказать, что услуги нельзя было оказать из-за чрезвычайных и непредотвратимых обстоятельств.

Главное здесь слово — «непредотвратимых». Атака прошла через управляющий контур самого провайдера, и клиенты вправе спорить, можно ли было её предотвратить. Если ваш бизнес, как у Антона, теряет деньги каждый день, сохраните хронологию: скриншоты, время недоступности, письма от Beget.

Вторая оговорка касается паролей. Beget заявляет, что попыток скачать или изменить данные пользователей не было, и в том же сообщении советует сменить все пароли, ключи доступа и другие учётные данные, которые лежали на серверах. По-моему, это значит, что полной уверенности нет у самой компании.

При чём тут ИИ

Ни один источник не подтверждает, что атаку на Beget вели с помощью ИИ. Версии про уязвимость в PHP или плагин WordPress, которые гуляют в комментариях, — тоже догадки без подтверждений.

Общий фон эксперты описывают так. Александр Кукульчук сказал BFM.ru, что «ИИ применяется хакерскими группировками уже повсеместно», и речь о локальных моделях без ограничений, а не о публичных вроде ChatGPT. Юрий Шабалин из AppSec Solutions там же уточнил, что ИИ не находит принципиально новых дыр: агенты отыскивают старые уязвимости, которые годами никто не закрывал.

Шабалин советует вкладываться «в защиту», не ограничиваясь бэкапами и восстановлением. Случай Beget иллюстрирует это буквально: бэкапы VPS оказались там, куда дотянулись обнуляющие скрипты.

Что сделать клиенту сейчас

• Сменить пароли от панели, FTP, SSH и баз данных.
• Перевыпустить API-ключи и токены из конфигов сайта.
• Проверить записи A, MX и TXT в DNS.
• Выгрузить файловую копию сайта, как только откроют доступ.
• Завести вторую копию у другого провайдера или на своём диске.

Проверю через неделю, 11 ноября: сколько серверов хостинга и выделенных машин Beget запустил к этому дню, назвал ли способ проникновения и появились ли хоть какие-то компенсации.

И ещё одна деталь из сводок SecurityLab, которая не попала в заголовки. Все выделенные серверы, которые Beget не администрирует, заработали ещё 2 ноября к 14:00. Серверы, где у провайдера был управляющий доступ, вернулись только на 15%. В этой истории меньше пострадали машины, которыми хостинг управлял меньше всего.