Взлом Microsoft Exchange затронул 40 российских компаний

Как минимум 40 российских компаний были атакованы в результате глобального взлома серверов почты на базе Microsoft Exchange. Такую оценку ситуации приводит "Лаборатория Касперского".

Впрочем, масштаб проблемы и в нашей стране может быть больше: дело в том, что, по разным оценкам, на Exchange приходится около половины всей корпоративной почты в мире. И чуть ли не 70%, если смотреть на рынок так называемых On-premise решений — то есть не облаков, а тех серверов, которые стоят непосредственно в самих компаниях. Да и вообще решение Microsoft — офисный стандарт де-факто, так что потенциальные жертвы — почти все организации в мире от среднего бизнеса до правительственных структур.

Bloomberg даже назвал ситуацию глобальным кризисом кибербезопасности. Причем, чего изначально добивались хакеры — пока неясно. Есть версия, что их главной целью были структуры американского правительства, но в Microsoft уже прямо обвинили в атаке китайскую группировку Hafnium. Злоумышленники использовали уязвимость нулевого дня — это значит, что о ней не было известно ранее, и предотвратить проникновении было сложно.

В итоге хакеры оставались незамеченными несколько месяцев, а когда их раскрыли, начали чуть ли не беспорядочно взламывать все подряд, пока жертвы не скачали обновление от Microsoft, закрывающее дыру в их почтовом сервере. Как пишет Bloomberg, хакеры получили доступ к 60 тысячам серверов по всему миру, как крупных фирм, так и совсем небольших.

Владимир Кусков, руководитель отдела исследования сложных угроз и классификации проблемного обеспечения "Лаборатории Касперского": "Данная уязвимость позволяет злоумышленникам получить доступ к любым зарегистрированным на уязвимом сервере почтовым аккаунтам, а также установить на нем вредоносное программное обеспечение, что в свою очередь позволит злоумышленникам закрепиться в сети. По всей вероятности, стоящие за этим атаками группировки после появления информации об уязвимости и выпуска исправления от Microsoft начали массовое заражение Exchange-серверов по всему миру, чтобы получить доступ к как можно большему количеству организаций. Это в дальнейшем, вполне возможно, будет использовано для достижения уже более конкретных целей."

Проще говоря, если хакеры успели взломать почту какой-либо компании до обновлений и устранения уязвимостей, то они не только получили полный доступ к служебной переписке со всеми ее коммерческими секретами и пересланными паролями и персональными данными, а, вероятней всего, еще и оставили себе возможность возвращаться во внутреннюю сеть компании в любой момент. Что можно сделать от имени десятков тысяч совершенно разных, но добропорядочных компаний — это уже вопрос фантазии.

В администрации американского президента на эту историю не просто отреагировали, а создали спецкомиссию для расследования атаки и пообещали реакцию со стороны всего правительства. А безопасники в очередной раз заговорили о том, что из-за карантинов и массовой удаленки нагрузка на их службы возросла многократно, и взлом Microsoft — просто лишнее тому подтверждение. И дело не только в том, что сотрудников за пределами офиса сложнее защищать от хакеров, а еще и в том, что сами ИТ-специалисты зачастую работают удаленно и с меньшей отдачей. Microsoft предупреждали о возможных проблемах еще несколько месяцев назад. Компания просто не нашла ресурсов на то, чтобы изучить и закрыть эту уязвимость.