Доктор атакован

Dr.Web отвечает антикризисом на атаку

Вне плана пост, по вашим просьбам😎 Итак, что мы имеем: компания-ветеран российского рынка кибербеза подверглась хакерской атаке.

На сайте Dr.Web опубликованы два стейтмента. Изучаем первый в логике реагирования на кризис:

Признать инцидент — done. Правда, компания пишет, что произошел он 14 сентября, а новость датирована 17 сентября. Три дня. Предположу, что выход в паблик был под сомнением.
Объяснить, что произошло. Сообщается, что “атака таргетированная”. На этом всё.
Раскрыть какие меры были приняты.
С мерами тоже не густо. Их целая одна. При этом она идет после утверждения, что все хорошо. А не до.

- [ ] попытка навредить инфраструктуре была пресечена, и никто из пользователей продуктов Dr.Web не пострадал.
- [ ] все ресурсы отключены от сети с целью проверки. Приостановлен выпуск вирусных баз Dr.Web.

Далее — продакт плейсмент:

“для диагностики и устранения последствий атаки задействован наш сервис Dr.Web FixIt”.

Об опасности такого приема уже писала. Но вопрос в другом — о каком устранении последствий речь, если выше утверждалось, что никто из клиентов не пострадал. Значит ли это, что пострадал сам доктор?

Раскрыть, что сделано, чтоб избежать повторного инцидента.
Нести ответственность за произошедшее и дать долгосрочные обязательства.

За этими пунктами (а также кто и зачем атаковал компанию) идем во второй стейтмент. А он фактически дублирует первый. В компании увидели атаку 14 сентября,

“внимательно за ней наблюдали и держали происходящее под контролем”.

Через 2 дня зафиксировали признаки внешнего неправомерного воздействия на IT-инфраструктуру. То есть атака развивалась? Под контролем?

Затем в стейтменте появляются временные метки. Их две:
об отключении своих ресурсов 16 сентября, 09:30
о возобновлении 17 сентября, 16:20.

Стоп. А что происходило с 14 по 15 сентября?

Ремарка: формат с временными метками — общепринятый в кибербезопасности. Это единый блог, который дополняется по мере расследования инцидента, решая задачу прозрачности коммуникаций со всеми аудиториями от журналистов до коммьюнити. Но здесь две отдельных новости, фактически с идентичным содержанием.

Желаем доктору восстановления и ждем деталей. А также помним, что цель публичного стейтмента по антикризису — снимать вопросы, а не ставить новые.

О том, как коммуникациям подготовиться к кибератаке писала здесь.

#антикризис