Бегет: не первый и не последний
Мы попали в крутой замес. Налёты дронов на дата-центры и всё более изощрённые кибератаки, проблемы с международной сертификацией защиты – это не разрозненные эпизоды, а часть большой кибер-игры против России.
Хроника
За девять месяцев проект «Доменный патруль» получил 49,5 тыс. обращений о вредоносных доменах в зонах .RU и .РФ, почти 60% из них — фишинг.
Криптобиржа Binance, ранее активная на российском рынке (а для российского бизнеса актуален обход санкций с использованием криптовалют) в сентябре сообщила об уходе с российского рынка (очевидно после угроз в свой адрес), ввела требование к новым пользователям о верификации (KYC) исключительно под нерусским гражданством, но и это не помогло: 29 октября 2026 на Binance приключился взлом с похищением криптоактивов на $6,34 млрд.
Сентябрь-октябрь (без точных дат). StormWall впервые зафиксировала в России DDoS-атаки, в которых боты маскируются под легитимный трафик ИИ-агентов (в заголовках подделываются названия вроде GPTBot). Под удар попали медиа, онлайн-магазины, банки и телеком – именно те, кто открывает доступ ИИ-ботам ради видимости в нейросетях.
7–11 октября. Беспилотники атаковали три дата-центра «Яндекса» — в Сасово (Рязанская область, 8 октября, пожар), Калуге (9 октября, выведены из строя несколько модулей) и Владимире (11 октября, работа остановлена полностью). Yandex Cloud перешёл в аварийный режим: сбои затронули «Яндекс Go», Еду, Лавку, Пэй, Кинопоиск, «Дом с Алисой» и сайты клиентов облака. Формально это физическое воздействие на ИТ-инфраструктуру. К 19–23 октября «Яндекс Директ» восстановил ключевые функции после девяти дней ограничений (rbc.ru +2)
Середина октября. После обнаружения критической уязвимости PHP (PHP2Shell) хостинг-провайдер REG.RU (был у меня опыт работы с ними – взяли деньги, услугу не предоставили, ухудшить их рейтинг в Яндексе мне не удалось, везде отписки) временно ограничил обработку загрузки файлов – у клиентов появлялись ошибки 403.
26 октября. ГК «Солар» сообщила: за январь-сентябрь зафиксировано 31,7 тыс. подтверждённых кибератак на российские организации – на 38% больше, чем годом ранее. Почти половина инцидентов пришлась на третий квартал.
29 октября – 1 ноября. Серия целевых атак на Росстат. В ночь на 1 ноября хакеры изменили содержимое официального сайта – появились сообщения на белорусском и логотипы группировок «Киберпартизаны BY» и Silent Crow (обе признаны в России экстремистскими и запрещены; в 2025 году они брали на себя ответственность за взлом «Аэрофлота»). Группировки заявили о доступе к 25 тыс. компьютеров и похищении 23 ТБ данных; Росстат утечку и компрометацию баз отрицает. Не путать отщепецев и провокаторов с Беларусью! Участники группировок, по данным РБК, находятся в разных странах, используя технологии для координации действий удалённо. Установлена их связь с вооружёнными силами Украины.
Ночь на 2 ноября. Массированная атака на мобильное приложение МЧС и каналы РСЧС: через официальные каналы ведомства в 33 регионах разосланы фейковые оповещения о якобы запущенных по России ядерных боеголовках. Специалисты отключили сервисы от сети и удалили сообщения; в МЧС подчеркнули, что основная система оповещения (сирены, СМС, радио и ТВ) работала штатно (ria.ru +1)
1–2 ноября. Массированная кибератака на хостинг-провайдер Beget (второе место по числу доменов .RU – 540,7 тыс., около 15% зоны). Ночью 2 ноября фиксировались аномалии в маршрутизации трафика (за час — почти миллион запросов на смену маршрутов при норме до 20 тыс. за 90 дней), затем сбой затронул все уровни инфраструктуры. Компания заявила о потере данных облачной инфраструктуры: по сообщениям на 5 ноября, запущено около 35% серверов, часть данных клиентов утрачена (kommersant.ru +2)
2 ноября. МВД сообщило о пресечении хакерской группировки «Вася Грек» (VasyGrek), известной также спецслужбам США и Европы. За девять месяцев 2026 года зафиксировано свыше 100 её атак на организации России, Белоруссии и Казахстана — через фишинговые рассылки под видом бухгалтерских документов с кражей денег через «Банк-Клиент». Организатор под домашним арестом, двоим сообщникам — подписка о невыезде; инфраструктура ликвидирована (cnews.ru +1).
2–5 ноября. Positive Technologies отчиталась о первом в её практике случае успешной атаки на российскую компанию, предположительно полностью проведённой ИИ-агентами: от проникновения до утечки прошло около трёх часов, скомпрометировано более десяти узлов сети. Позднее та же компания выявила вредоносные рассылки против более чем 1200 российских организаций и ИП (dzen.ru +1).
Проблемы сертификации безопасности
TLS-сертификаты – болезненный вопрос. GoDaddy/Starfield ушёл с российского рынка, DigiCert режет и по зоне, и по юрлицу, а Let's Encrypt в июне 2026-го добавил в соглашение санкционную гарантию – подписчик подтверждает, что не находится под комплексными санкциями США. Важно: запрета самой зоны .ru нет – отказ зависит от санкционного статуса владельца, связанного юрлица, банков. Для обычной компании вне списков Let's Encrypt чаще всего работает даже на домене .ru, но для банков, госструктур и компаний из списков риск кратно выше, и успешная выдача сегодня не гарантирует продление завтра securitylab.ru. Отечественный НУЦ остаётся альтернативой, но его сертификаты не признаются зарубежными браузерами — иностранный пользователь на российский сайт с таким сертификатом просто не попадёт.
Аудит и SOC 2. «Большая четвёрка» отделила российские подразделения от глобальных сетей в 2022-м audit-it.ru, а SOC 2 без зарубежного аудитора получить практически невозможно — отчёт без «большой четвёрки» иностранный заказчик принимает неохотно. Парадоксально, но PCI DSS живёт: стандарт нужен и под платёжную систему «Мир», и российские органы оценки вроде «Информзащиты» продолжают выдавать сертификаты по версии 4.0.1 infosec.ru — потому что PCI-совет не выстроил единого санкционного барьера, как ISO-сертификаторы.
Тенденции
После атаки на Бегет логично ждать не разовых всплесков, а системного давления по нескольким направлениям.
Что вероятно дальше:
1. Продолжение атак на хостинги и дата-центры. Хостинг — точка концентрации: одна успешная атака выводит тысячи сайтов. Ждите повторных DDoS, атак на панели управления, на DNS и на системы резервного копирования.
2. Рост атак с применением ИИ. Автоматический подбор паролей, фишинг без ошибок и с индивидуальным текстом, обход капчи, массовый сканирование уязвимостей. Порог входа для атакующего падает.
3. Проблемы с санкционными сервисами. Зарубежные CDN, антивирусные сканеры, SSL-центры, платёжные шлюзы и облака могут отключать российских клиентов или деградировать без предупреждения. Поддержка безопасности «ломается» не от атаки, а от ухода сервиса.
4. Атаки на цепочку поставок. Не сам сайт, а плагин, CMS-тема, npm-пакет, скрипт аналитики. Заражённый компонент заражает всё, что его использует.
5. Давление на DNS и сертификаты. Подмена NS, истечение сертификатов без возможности продления, блокировки на уровне провайдеров.
Рекомендации сайтовладельцам
Бэкапы, которые реально восстановить. Не только на том же хостинге. Скачивайте копию раз в неделю себе и проверяйте восстановление хотя бы раз в месяц. Бэкап, который никто не открывал – не бэкап.
Резервный хостинг и DNS. Заранее, а не в момент аварии: второй хостинг, вторая NS-зона, готовый план переноса за пару часов.
Обновления и минимум плагинов. Всё лишнее — удалить. Обновлять CMS, плагины, PHP. Старое расширение — самая частая дыра.
Доступы. Уникальные пароли, двухфакторная аутентификация везде, где есть. Отдельные аккаунты вместо одного общего. Убрать доступ у тех, кто уже не работает.
Защита на периметре. WAF, rate limiting, защита от брутфорса на входе в админку. Для сайтов на WordPress — ограничить доступ к wp-admin и wp-login.
Мониторинг. Проверка доступности и изменения файлов. Уведомление об изменении index.php или появлении нового файла в корне часто ловит взлом раньше владельца.
Свой SSL и домен. Автопродление сертификата, домен в надёжном регистраторе, включённый registrar lock.
План на случай аварии. Кто что делает, где лежат копии, куда звонить в хостинг. Один лист, но написан заранее.
Комментарии 8
Войдите, чтобы оставить комментарий.