Мясоедов: атака хакеров на «Аэрофлот» стала беспрецедентной по своим масштабам

Информационные системы российской авиакомпании «Аэрофлот» столкнулись с масштабным сбоем, что привело к отмене более 50 рейсов. Ответственность за срыв работы перевозчика взяли на себя хакерские группировки «Киберпартизаны» и Silent Crow. Почему система «Аэрофлота» оказалась уязвима и что теперь делать не улетевшим пассажирам, узнал 360.ru.

Сбой в системе и отмена рейсов «Аэрофлота»

О сбое в информационных системах и отмене рейсов пресс-служба «Аэрофлота» предупредила пассажиров после 10:00 в понедельник, 28 июля. В компании призвали клиентов следить за онлайн-табло аэропорта Шереметьево.

Тех, чей рейс отменили, попросили в срочном порядке забрать багаж и покинуть воздушную гавань, чтобы не создавать скопления людей. Обращение к пассажирам сработало. Утром в Шереметьеве никакого столпотворения не было.

В этом убедился корреспондент 360.ru, побывавший в терминалах воздушной гавани. Пассажиры других авиакомпаний стояли в очередях на регистрацию рейсов и возмущения не высказывали.

Для нормализации ситуации с рейсами «Аэрофлота» в Шереметьево прибыл заместитель министра транспорта Владимир Потешкин. Там он провел совещание с представителями Росавиации, аэропорта и пострадавшей авиакомпании.

По итогам встречи перевозчик объявил, что отдал приоритет рейсам на Дальний Восток, в Калининград, Сочи, Минеральные Воды и за границу. При этом в компании не исключили, что число рейсов может снова сократиться.

Для помощи пострадавшим пассажирам в Шереметьеве и на сайте авиакомпании организовали дополнительное информирование. Также в воздушной гавани открыли кассы для переоформления билетов, а пассажирам бесплатно раздали питьевую воду.

Все это время профильные специалисты «Аэрофлота» занимались восстановлением работы информационных систем. Но быстро это сделать не удалось.

Число отмененных полетов в течение дня постоянно росло и к вечеру достигло 54. При этом более 200 рейсов компания выполнила, в том числе за счет посадки пассажиров в самолеты дочерних авиакомпаний «Россия» и «Победа».

На этом проблемы «Аэрофлота» не закончились. Компания отменила еще семь рейсов на 29 июля. Вероятно, восстановление систем займет больше времени, чем предполагалось ранее.

За день сбоя финансовые потери перевозчика достигли 250 миллионов рублей, подсчитал РБК. Затраты на восстановление информационной инфраструктуры сюда не вошли.

Хакерская атака на «Аэрофлот»: что случилось 28 июля

Ответственность за взлом и полное уничтожение внутренней цифровой системы «Аэрофлота» взяли на себя хакерские группировки «Киберпартизаны» и Silent Crow.

Они подчеркнули, что проникли в корпоративную сеть перевозчика почти год назад и углубились в самое ядро инфраструктуры, получив доступ к персональным компьютерам сотрудников, системам наблюдения и контроля за персоналом.

Кроме доступа к данным, хакеры выгрузили весь массив данных с историями перелетов и другие базы, которые они пообещали использовать для сливов.

«Восстановление займет очень много времени, не говоря о финансовом ущербе», — заявили организаторы кибератаки.

Они подчеркнули, что проникновение стало возможным благодаря простым паролям и устаревшим системам Windows XP и 2003. «Аэрофлот» никак не прокомментировал это заявление.

Хакерскую атаку подтвердила Генпрокуратура. В ведомстве прямо заявили, что причиной сбоя в информационных системах перевозчика стало внешнее вмешательство злоумышленников. По итогам прокурорской проверки следователи завели уголовное дело о неправомерном доступе к компьютерной информации.

Как хакеры взломали системы «Аэрофлота»

Хакеры совершают три вида различных атак, которые отличаются по сложности и стоимости проводимых работ. Первая, когда злоумышленники перегружают инфраструктуру организации, чтобы она вышла из строя, вторая — запускают в систему вирус-шифровальщик, от которого пострадала сеть алкомаркетов «Винлаб».

В случае с «Аэрофлотом» это взлом с множеством ходов, направленный на поиск уязвимостей в цифровой системе перевозчика. Это самая сложная хакерская атака. Об этом 360.ru рассказал эксперт по информационной безопасности, директор и партнер компании «IT-Резерв» Павел Мясоедов.

Он подчеркнул, что у любой хакерской группировки есть своя система финансирования и рентабельность. При организации атаки преступники заранее рассчитывают, как они смогут монетизировать свою работу.

В случае вируса-шифровальщика все просто: начинается шантаж владельца зараженной системы и вымогательство денег за раскодировку данных. Но крупного рода атаки обычно имеют внешних заказчиков — это конкуренты или политически мотивированные лица.

Павел Мясоедов

Эксперт по информационной безопасности, директор и партнер компании «IT-Резерв»

Судя по последствиям атаки, хакеры работали достаточно долго и кто-то все это время обеспечивал их необходимым финансированием. Для проникновения злоумышленники использовали скрытые точки доступа. Попав внутрь, они изучили всю архитектуры системы и установили каналы для выкачивания данных. Все это длительные процессы.

Почему атаку хакеров заметили поздно?

Информационная система авиакомпании не застрахована от взлома, но должна обеспечить быстрое восстановление утраченных данных и возвращение к обычной работе, пояснил эксперт.

«Если архитектура построена правильным образом, то при комплементации одного блока другие остаются на плаву. Если там есть резервный бэкап, другие способы восстановления. Компания понесет финансовые и репутационные потери, но из строя не выйдет», — заявил Мясоедов.

В случае «Аэрофлота», который отменил рейсы на протяжении всего дня, понятно, что инфраструктура плохо пережила внешнее вмешательство.

Большая система не значит сильно защищенная. В этом и заключается проблема, которую мы называем «лоскутной автоматизацией», когда огромное количество разных вендоров поставили свое программное обеспечение, отвечающее за разные задачи.

Павел Мясоедов

Эксперт по информационной безопасности, директор и партнер компании «IT-Резерв»

Он добавил, что в итоге единой целостной архитектуры в системе перевозчика не было. Каждый отдельный специалист отвечал за свой участок работы, но поскольку все они оказались связаны между собой, то возник эффект домино.

Почему заявление хакеров об атаке на «Аэрофлот» вызвало сомнения

Эксперт по безопасности, комментируя заявление группировок, взявших на себя ответственность за сбой в работе системы «Аэрофлота», посоветовал им не доверять. Во всяком случае пока.

Слова о том, что восстановление займет до полугода и потребует до 20 миллионов долларов, не очень состоятельны и больше связаны с пиаром для привлечения внимания СМИ и поиска новых заказчиков. Но взлом стал беспрецедентным по своим масштабам. Хотя окончательные выводы можно сделать только по итогам расследования и определения степени проникновения хакеров в систему.

Павел Мясоедов

Эксперт по информационной безопасности, директор и партнер компании «IT-Резерв»

Он добавил, что устаревшая Windows или старые пароли не дали хакерам никакого преимущества, потому что с компьютеров обычных менеджеров и даже руководства перевозчика внутрь инфраструктуры попасть нельзя. Доступ есть только у отдельных команд системных администраторов.

«В этих местах должен быть другой у уровень защиты. Но о чем косвенно свидетельствует использование устаревших систем Windows, так это о том, что люди не выстроили единой архитектуры системы безопасности, то есть работало разрозненное количество IT-систем», — добавил специалист.

Пока даже сложно оценить ущерб, но уже понятно, что «Аэрофлот» начнет модернизировать свои системы. Он отметил, что хочется верить, что у перевозчика были резервные копии и бэкапы, через которые он восстановит работу хотя бы в течение недели. Но если этого не произойдет, то, вероятно, хакеры сказали правду и разрушения достаточно сильные.

Что делать пострадавшим пассажирам «Аэрофлота»

Отмены или задержки рейсов могут происходить по разным причинам, но во всех случаях пассажиры должны действовать по одному сценарию. О них 360.ru рассказала руководитель туристического агентства Go Travel Наталия Ансталь.

Она напомнила, что в случае задержки рейса представители авиакомпании должны предоставить определенный ряд услуг в зависимости от длительности ожидания следующего вылета.

Если порядка четырех часов, то это бесплатные напитки, более шести-восьми часов — горячее питание, более 12 часов — размещение в отеле.

Наталия Ансталь

Руководитель туристического агентства Go Travel

Пассажирам, чьи рейсы отменили, она посоветовала потребовать у представителя авиакомпании вернуть деньги за билет или предоставить место на другом рейсе в том же направлении, а если его придется долго ждать, то предоставить все необходимые услуги.

«Главное — сохранять спокойствие и четко знать, что вам положено в определенных условиях. Если вы видите, что рейс задержали на 12 и более часов, а у вас вылет сегодня в 17:00, то нужно сразу подходить к представителю авиакомпании и требовать предоставления места для проживания», — добавила Ансталь.

Она отметила, что сотрудники компаний-перевозчиков прекрасно знают, как действовать в том или ином случае.

Можно ли получить компенсацию после коллапса в «Аэрофлоте»

Потребовать компенсацию можно как в случае задержки рейса, так и в случае отмены, заявила Ансталь. Она посоветовала найти представителя авиакомпании, чтобы он сделал на билетах отметку о срыве полета.

Это необходимо для того, чтобы потребовать компенсацию от авиакомпании в страховой.

Наталия Ансталь

Руководитель туристического агентства Go Travel

Она рекомендовала сохранять все документы, включая посадочные талоны с отметками, чеки о покупках еды и воды, чтобы в дальнейшем прикрепить их к своей претензии для требования компенсации.

Но важно понимать, по какой причине возникла отмена или задержка рейса. Если это вызвано погодными условиями, то получить компенсацию станет очень сложно, поскольку авиакомпания не может контролировать стихию. Но если вина лежит на самом перевозчике, то потребовать компенсацию за потраченное время или срыв отпуска необходимо.

В пресс-службе «Аэрофлота» во время коллапса пассажирам отмененных рейсов пообещали вернуть деньги за купленные билеты или переоформить на аналогичные рейсы в последующие 10 дней, при условии что информационные системы к тому времени уже заработают.