Почему упала «Воля»: авария или кибератака?

О причинах беспрецедентного по масштабу в Украине отключения интернета сама «Воля» пока что говорит как-то очень невнятно. Сначала появилось заявление о «внешней атаке». Затем на своей страничке в ФБ, ставшей на время отключения единственным источником для  общения провайдера с  клиентами, появилось сообщение, в котором произошедшее объяснялось  как «масштабна аварія» и  «внутрішнє ураження і втручання в роботу мережі». Но ведь это совершенно разные вещи! Мой  комментарий с просьбой уточнить, что же это все-таки было — внутренняя авария или внешняя кибератака — остался без ответа. Очевидно, что подобная тактика «тумана и молчания»  в данном случае вряд ли уместна, ибо киберинцидент такого масштаба — это без преувеличения вопрос национальной безопасности. А значит, необходимо разобраться в его причинах как можно скорее — как знать, кто станет следующей жертвой?

Что ж, придется делать выводы самостоятельно.

Для начала— некоторые существенные детали.

1. Абоненты «Воли» хорошо знают, как обычно отключается интернет во время аварий или повреждения оборудования: он просто пропадает, а индикатор соединения на компьютере показывает, что интернета нет. Но в этот  раз интернет умирал по-другому:  довольно долгий промежуток времени он то пропадал, то появлялся, и даже когда он исчез полностью, индикатор утверждал, что с соединением все в порядке. То есть складывалось  впечатление, что оборудование в порядке, а вот канал перегружен.

2. Когда я в первый раз решил позвонить в поддержку, там не было никаких признаков тревоги — колл-центр работал в обычном режиме. Тут интернет в очередной раз появился, и я не стал дожидаться связи с оператором. Однако, когда через несколько минут интернет снова исчез и я опять позвонил в колл-центр, то услышал автответчик, который рекомендовал в случае  проблем с интернетом перезагрузить модем и роутер, а если не поможет — связаться с консультантом. Судя по голосу и лексике, в компании к этому моменту уже осознали, что что-то происходит, но еще не поняли что.  А когда я перезвонил еще через пять минут,  то услышал сообщение, что колл-центр также не доступен. Стало ясно, что проблема серьезная.

Что могло произойти? Исходя из всего вышеописанного, больше всего это напоминает DDoS атаку. Правда, поначалу эта идея мне показалась маловероятной — ведь чтобы  DDoSить такого крупного интернет-провайдера, нужны колоссальные ресурсы. Однако тут же вспомнилась одна из самых обсуждаемых сегодня в среде профессионалов информационной безопасности свежих кибератак  —  атака на американского провайдера Dyn DNS, в результате которой многие десятки популярнейших сайтов, включая PayPal,  Twitter и других мировых гигантов интернета, оказались недоступными. Удивительная мощность такой атаки была обусловлена тем, что  ее источником стал ботнет Mirai, использовавший для атаки 100 000 инфицированных устройств «интернета вещей» —инфицированных IP -камер, роутеров, видеорегистраторов и им подобных «неумных» гаджетов.

А теперь вернемся к «Воле». Показательно, что при попытке подключится к какому-либо сайту процесс зависал именно на уровне DNS-сервера — как видно на скриншоте, дальше resolving host дело не шло.

Таким образом, логично предположить, что причиной падения «Воли» стала DDoS атака на ее DNS-cервера (кто не совсем понимает, что это — смотрите постскриптум в конце статьи). Впрочем, возможно, одновременно были применены и другие разновидности кибератак (например,  DDoS атака нередко используется как дымовая завеса для проникновения на сервера и получения доступа к хранящейся на них информации).  Однако точный диагноз можно поставить лишь имея доступ к логам и прочей внутренней информации. Как, впрочем, и оценить весь масштаб нанесенного ущерба. Хотя  уже сейчас налицо колосальный репутационный ущерб, который неизбежно приведет к оттоку клиентов и таким образом — к значительным материальным потерям. Очевидно, что теперь кризис-менеджементу «Воли» понадобятся титанические усилия, чтобы минимизировать уход клиентов.

Была ли готова «Воля» к такому развитию событий? Судя по всему, нет. Как и абсолютное большинство украинских компаний и госорганов. Сегодня, если вы зададите вопрос руководителю даже очень крупной компании или госоргана «Проводили ли вы оценку угроз, рисков и уязвимостей вашей сети и организации?»,  то в 99% случаев наткнетесь на недоумевающий взгляд.  И сразу станет понятно, что о том, когда в последний раз проводилось тестирование на проникновение или какие у них Business Continuity Planning and Disaster Recovery Planning, спрашивать бесполезно.

А между тем эти понятия, как и прочие элементы надежной системы кибербезопасности, должны стать обязательными практически для каждого предприятия или организации. Потому что игнорирование этих понятий чревато катастрофическими последствиями — в самом прямом смысле этого слова.

Пора понять, что мир изменился, и киберугрозы — это не сюжет из сериала, а суровая реальность наших будней. И чем бы вы ни занимались, рано или поздно кибератака произойдет и на вас. А ее последствия будут зависеть только от того, насколько вы будете готовы с ней справится.

P.S. DDoS-атака (Distributed Denial of Service – распределенный отказ в обслуживании) – кибератака, когда злоумышленники направляют на сервер искусственно созданный трафик, чтобы тот, не справившись с нагрузкой, перестал обслуживать обычный трафик.

DNS — сервер доменных имен. Он переводит (резолвит) понятные для человека буквенные доменные имена — например volia.com  на понятный компьютеру цифровой IP-адрес. Перегруженный в результате DDoS-атаки, DNS сервер не может обрабатывать запросы пользователей.