Во сколько обойдется бизнесу кибератака на Beget. Разбор

Главное в материале:

- В ночь на 2 ноября хостинг-провайдер Beget подвергся масштабной кибератаке. Злоумышленники уничтожили данные в облачной инфраструктуре и часть резервных копий.

- По состоянию на 5 ноября Beget восстановил 60% серверов виртуального хостинга и 40% выделенных серверов, находящихся под управлением провайдера.

- По оценке BI.ZONE, час простоя IT-систем может обходиться крупным компаниям в сфере торговли до 9,6 млн рублей, а в сфере IT и телекоммуникаций — до 21,7 млн рублей.

- По условному расчету «Известий», двухдневный простой части интернет-магазинов, размещенных на Beget, может привести к совокупной потере маржинального дохода около 33,5 млн рублей.

- Beget уведомил клиентов об обстоятельствах, имеющих признаки форс-мажора. Однако кибератака не освобождает провайдера от ответственности автоматически.

- Договорные компенсации за простой и утрату данных привязаны к стоимости услуг провайдера, а не к потерянной выручке клиентов. Размер выплат может оказаться несопоставим с реальными убытками бизнеса.

Масштабная кибератака на хостинг-провайдер Beget привела к остановке цифровых сервисов и уничтожению данных в облачной инфраструктуре. На площадках компании размещались сотни тысяч сайтов. По отраслевым оценкам, час простоя IT-систем может обходиться бизнесу от сотен тысяч до десятков миллионов рублей. При этом компенсация со стороны провайдера может оказаться несопоставимой с потерянной выручкой и расходами на восстановление. Сколько могли потерять клиенты Beget, во что обходится цифровая зависимость и кому придется оплачивать последствия атаки — в материале «Известий».

Как один сбой затронул сотни тысяч сайтов

В ночь на 2 ноября злоумышленники получили доступ к системе управления инфраструктурой Beget и запустили скрипты, уничтожающие данные. Информация была утрачена в облачной инфраструктуре (VPS, S3 и Kubernetes), которую компании используют для размещения сайтов, приложений и хранения данных. Полностью уничтожены и бинарные резервные копии, позволявшие восстанавливать виртуальные серверы целиком. При этом большая часть файловых резервных копий VPS сохранилась. Beget рассчитывает предоставить клиентам доступ к ним через панель управления до 10 ноября.

Сложность восстановления связана не только с объемом потерянных данных. Перед возобновлением работы более тысячи серверов специалисты Beget должны вручную проверить каждый из них на наличие вредоносных программ и скрытых уязвимостей. Сроки завершения работ остаются неопределенными.

Масштаб возможных последствий определяется положением Beget на российском рынке. По данным исследования сервиса «Тенур», в начале октября на инфраструктуре компании размещались 334,6 тыс. действующих сайтов — 14,6% от общего числа «живых» ресурсов в доменных зонах .ru, .рф и .su. По этому показателю Beget занимал первое место, опережая REG.RU и Timeweb. С учетом доменов без настроенных сайтов и с истекшим сроком регистрации число хостов, связанных с Beget, достигало 617,3 тыс.

Эти цифры не означают, что все размещенные на инфраструктуре Beget сайты перестали работать или потеряли данные. Однако они показывают, насколько широко инфраструктура одного поставщика используется российскими интернет-проектами. Для компаний, чья деятельность зависит от работы цифровых сервисов, главные финансовые потери при таких сбоях связаны с недополученной выручкой.

Среди пострадавших — каршеринговый сервис BelkaCar. Его пользователи столкнулись с проблемами при использовании приложения, например, не могли завершить аренду автомобиля. Во второй половине дня 2 ноября сервис восстановил работу после перехода к другому подрядчику. BelkaCar также пообещала пересчитать стоимость аренд, которые пользователи не могли завершить из-за сбоя.

Сколько стоит остановка бизнеса

По оценке BI.ZONE, стоимость одного часа простоя IT-систем компаний в сфере информтехнологий и телекоммуникаций может достигать 21,7 млн рублей, для ретейла — 9,6 млн рублей, для строительства и недвижимости — 2,7 млн рублей. Общий ущерб от одной успешной веб-атаки для крупного бизнеса может превышать 50 млн рублей. При этом восстановление критически важных процессов может занимать 3–4 дня, а полное возвращение к штатной работе — несколько месяцев.

Эти показатели относятся к отраслевым сценариям и не являются оценкой потерь клиентов Beget. Однако на их основе можно рассчитать стоимость продолжительного простоя для бизнеса. Так, восьмичасовая остановка критических систем крупной торговой компании обойдется в 76,8 млн рублей, а сутки будут стоить 230,4 млн рублей. Для IT- и телекоммуникационной компании аналогичные величины достигают 173,6 млн и 520,8 млн рублей соответственно.

Для небольших компаний суммы могут быть значительно ниже. Чтобы оценить возможный масштаб таких потерь среди клиентов Beget, «Известия» рассчитали отдельный сценарий для интернет-торговли. За основу взято число действующих сайтов на инфраструктуре провайдера — 334 562. Если предположить, что 1% этих ресурсов представляет собой интернет-магазины с выручкой 50 тыс. рублей в сутки, то при двухдневной остановке и полной потере продаж их совокупная недополученная выручка составит около 334,6 млн рублей. Если половину заказов удастся перенести, показатель сократится примерно до 167,3 млн рублей. При условной маржинальности продаж 20% расчетная потеря маржинального дохода составит около 33,5 млн рублей.

Потери бизнеса не ограничиваются недополученным доходом. Компании могут столкнуться с дополнительными расходами на восстановление IT-систем и оплату работы специалистов, а также с необходимостью компенсировать клиентам сорванные заказы и нарушение сроков поставки. Наиболее серьезные последствия возможны при утрате баз данных: восстановление истории заказов, учетной информации и настроек приложений может занять значительно больше времени, чем возобновление работы серверов.

Кто заплатит за последствия

Кто будет возмещать компаниям убытки, возникшие из-за сбоя, — вопрос открытый. После атаки Beget уведомил клиентов о возникновении обстоятельств, имеющих признаки форс-мажора. Компания сослалась на п. 3 ст. 401 Гражданского кодекса РФ, предусматривающий освобождение от ответственности за нарушение обязательств вследствие непреодолимой силы. Однако само уведомление не означает автоматического признания кибератаки форс-мажором. В случае судебного спора потребуется установить, отвечали ли обстоятельства критериям чрезвычайности и непредотвратимости, а также препятствовали ли они исполнению обязательств провайдером.

Как следует из ответов технической поддержки, после восстановления панели управления клиенты смогут направить обращения о компенсациях. Однако их размер зависит прежде всего от стоимости оплаченных услуг, а не от финансовых потерь бизнеса. Согласно соглашению об облачных услугах, при перерыве в работе виртуального сервера (VPS) более одного часа клиенту предусмотрена компенсация, эквивалентная стоимости обслуживания за сутки. Она начисляется с учетом продолжительности простоя, но не может превышать стоимость услуг за 30 суток. Отдельная компенсация в размере стоимости 30 суток обслуживания предусмотрена при безвозвратной утрате данных VPS. Аналогичные положения о компенсациях за простой и утрату данных предусмотрены для облачных баз данных (DBaaS).

При этом соглашение ограничивает общую ответственность провайдера стоимостью услуг, оплаченных клиентом за три месяца. Компенсация предоставляется в форме продления обслуживания или начисления бонусов — без прямых денежных выплат.

Для оценки возможных сумм можно использовать опубликованные тарифы на аренду VPS. По данным каталога «РейтингХост», аренда виртуального сервера Beget в сентябре стоила от 480 до 5640 рублей в месяц в зависимости от конфигурации.

Таким образом, предусмотренные договором суммы могут оказаться значительно меньше фактических убытков бизнеса. Это иллюстрирует принципиальный разрыв между стоимостью инфраструктурной услуги и экономической ценностью операций, которые от нее зависят.

Для возмещения фактических убытков клиенту придется предъявить отдельное требование к провайдеру, а в случае отказа — обратиться в суд.

Сколько стоит возвращение к работе

Даже после восстановления доступа к серверам расходы пострадавших компаний могут продолжить расти. Бизнесу необходимо проверить сохранность данных, восстановить настройки приложений и убедиться, что сайты и сервисы работают корректно. Альтернативой становится переезд к другому провайдеру, однако он также требует дополнительных затрат.

По данным одной из IT-компаний, перенос сайта на другой хостинг или виртуальный сервер стоит от 8 тыс. рублей, а настройка виртуального сервера под проект — от 12 тыс. рублей. Таким образом, если интернет-магазину потребуется и перенос сайта, и настройка нового сервера, минимальная стоимость этих работ по опубликованным расценкам составит 20 тыс. рублей.

При этом смена провайдера не всегда позволяет быстро возобновить работу. Если сайт, корпоративная почта, базы данных и резервные копии размещены у одного поставщика, сбой может одновременно затронуть все эти сервисы. Тогда переезд на другую площадку превращается в более сложный и затратный процесс.

Снизить зависимость от одного поставщика позволяют хранение резервных копий у другого провайдера и заранее подготовленный план восстановления. Однако размещение рабочих систем сразу у нескольких провайдеров требует дополнительных расходов и оправданно не для каждого бизнеса. Для небольших сайтов с невысокой стоимостью простоя может быть достаточно отдельного резервного хранилища, тогда как сервисам, непрерывная работа которых непосредственно связана с выручкой, может потребоваться целая резервная инфраструктура.

Дополнительные сложности при переезде могут возникнуть у компаний, которым требуются значительные вычислительные ресурсы. По данным IKS-Consulting, еще до октябрьских атак на российские дата-центры неудовлетворенный спрос на их мощности составлял 150–200 МВт. После повреждения ЦОДов спрос на резервную инфраструктуру вырос. Крупные облачные провайдеры уже вынуждены заранее согласовывать с корпоративными клиентами объемы и сроки выделения ресурсов. При этом для небольших проектов свободные мощности сохраняются.