Кто сломал, кто проспал, кто сядет

По факту атаки на Аэрофлот Генпрокуратура уже возбудила уголовное дело по ст. 272 УК РФ («Неправомерный доступ к компьютерной информации») в отношении неустановленного круга лиц — это дело для хакеров, если кого-то найдут.

При этом перед руководством Аэрофлота неиллюзорно маячит дело по ч. 3–5 ст. 274.1 УК РФ («Неправомерное воздействие на КИИ»). Именно по этой статье сейчас пытаются наказать за пропущенную кибератаку вице-президентов «Сирена-Трэвэл». Подчеркну: не злорадствую и российской тюрьмы никому не желаю — просто излагаю факты.

Если выяснится, что в ходе атаки произошла утечка персональных данных (а хакеры утверждают, что получили доступ к данным пассажиров), то проблем у Аэрофлота прибавится. Пару месяцев назад вступили в силу поправки в КоАП, согласно которым за крупную утечку персональных данных теперь можно получить и оборотный штраф.

Помимо топ-менеджмента авиакомпании, ответственного за IT и ИБ, под прицелом могут оказаться и её подрядчики. Публично известно, что Аэрофлот пользовался ИБ-услугами от компании «Солар» («дочка» Ростелекома) и интегратора «Бастион», созданного сыном первого заместителя главы ФСБ Сергея Королёва.

«Солар» управляет одним из крупнейших в России Security Operations Center (SOC), то есть оказывает клиентам круглосуточный мониторинг и реагирование на инциденты ИБ. Вероятно, именно эту услугу они предоставляли Аэрофлоту. Должны ли были они заметить атаку на раннем этапе? Да, должны. Может и заметили, но сделать уже ничего было нельзя – мы не знаем. Один из моих собеседников в сфере ИБ говорит об этом так: «Если инфраструктура сама по себе дырявая, то что может сделать мониторинг? Есть такая шутка про куколд-SOC: “Мы смотрим, как вас трахают”».

«Бастион», судя по открытым данным, занимался внедрением ряда IT-систем в Аэрофлоте, а буквально пару месяцев назад подписал с авиакомпанией рамочное соглашение о сотрудничестве в области кибербезопасности. За пару месяцев, понятное дело, много не обезопасишь. В общем, не похоже, что «Солар» или «Бастион» — те, кто прям во всём виноваты.

Есть другой важный момент. Поскольку Аэрофлот является объектом КИИ, он по закону обязан быть подключён к Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), которой управляет ФСБ. Более того, ФСБ должна была обеспечить установку на инфраструктуре Аэрофлота специальных «средств ГосСОПКА» — для обнаружения, предупреждения и устранения последствий атак.

Официальный перечень этих средств довольно короткий — туда входят одобренные ФСБ программные комплексы от «Лаборатории Касперского», Positive Technologies, R-Vision и Security Vision. По идее, одно из этих решений, установленное внутри Аэрофлота, должно было своевременно зафиксировать инцидент и передать информацию в ГосСОПКУ / НКЦКИ. Короче, выглядит так, что сплоховали все — включая профильные подразделения ФСБ.

При этом уголовные дела по факту атак на КИИ тоже расследует ФСБ – в данном случае, думаю, это будет управление «Т» службы экономической безопасности ФСБ. Ну, ребята, главное не выйдите там на самих себя.

P.S. В качестве факультатива напомню: в истории России уже была атака на Аэрофлот. Мой «любимчик» Павел Врублевский в 2013 году получил свой первый срок за организацию DDoS-атаки на подрядчика Аэрофлота — процессинговую компанию Assist (конкурента ChronoPay Врублевского). Из-за этой атаки у Аэрофлота несколько дней не работала онлайн-продажа билетов. Масштабы, в сравнении с текущей атакой, смешные, но даже тогда делом тут же занялась ФСБ. Итог: реальные сроки для Врублевского и его сообщников, братьев Артимовичей (по 2,5 года колонии каждому). Врублевский, правда, потом рассказывал, что в колонии-поселении было даже неплохо: он там был за пожарного, но «так как ничего не горело» — поил коров из шланга.

@kolomychenko