На устранение последствий сбоя в работе IT-систем «Аэрофлота», произошедшего утром 28 июля, может уйти до нескольких месяцев, утверждают эксперты. Официального разъяснения администрации «Аэрофлота» о причинах сбоя пока не поступало, но уже есть подтверждение Генеральной прокуратуры РФ о том, что он произошёл из-за хакерской атаки.

Источник изображения: Ivan Shimko/unsplash.com

По словам экспертов, сроки восстановления систем «Аэрофлота» напрямую связаны с масштабами взлома, о которых пока ничего не известно, помимо заявлений самих хакеров. Ашот Оганесян, основатель сервиса разведки утечек данных и мониторинга даркнета DLBI, сообщил ресурсу Hi-Tech Mail, что текущая ситуация с массовой отменой рейсов «показывает значительные проблемы в IT-инфраструктуре авиаперевозчика». По данным «РИА Новости», только в аэропорту Шереметьево задержали свыше 80 и отменили порядка 60 рейсов.

По мнению Оганесяна, если сохранились резервные копии, восстановление IT-систем займёт от одного-двух дней до недели. Если нет — на восстановление могут уйти месяцы. Кроме того, если хакеры, как утверждается, действительно находились в инфраструктуре «Аэрофлота» более года, можно с высокой вероятностью предполагать, что и бэкапы заражены бэкдорами, которые могут быть использованы при повторных атаках.

Как полагает директор центра мониторинга и противодействия кибератакам IZ:SOC компании «Информзащита» Александр Матвеев, с учётом важности «Аэрофлота», восстановление его работы можно ожидать в ближайшие сутки. Однако на полное возобновление работы, проверку всех систем и их перенастройку уйдёт гораздо больше времени — при интенсивном темпе работ на это потребуется 2-3 недели. Матвеев отметил, что при серьёзной кибератаке рейсы будут отменять, поскольку речь идёт о безопасности полётов.

Как сообщается, у «Аэрофлота» есть соглашение о сотрудничестве в сфере кибербезопасности с компанией по управлению цифровыми рисками BI.Zone. В пресс-службе BI.Zone отказались дать комментарий ресурсу Hi-Tech Mail по сложившейся ситуации в связи с тем, что не раскрывают информацию о взаимоотношениях с любыми организациями и клиентами, хотя было бы интересно узнать, как хакеры могли находиться в компьютерных системах «Аэрофлота» более года, оставаясь незамеченными.

Российский авиаперевозчик «Аэрофлот» сообщил о сбое в работе внутренних систем, из-за чего возможна корректировка расписания рейсов, в том числе путём переноса и отмены. Компания уже отменила более 40 рейсов из Москвы в разных направлениях, предложив пассажирам вернуть потраченные средства или перерегистрироваться на рейсы, проведение которых запланировано в ближайшие 10 дней.

Источник изображения: Dmitriy Soloduhin/unsplash.com

«В работе информационных систем авиакомпании произошёл сбой. Возможны перебои в работе сервисов. В связи с этим ожидается вынужденная корректировка в расписании выполняемых рейсов, в том числе путём переноса и отмены <…> В настоящее время команда специалистов работает над минимизацией рисков выполнения производственного плана полётов и скорейшего восстановления штатной работы сервисов. Авиакомпания приносит извинения за доставленные неудобства», — говорится в сообщении на сайте «Аэрофлота».

На этом фоне появилась информация о том, что сбой в работе информационных систем «Аэрофлота» может быть связан с хакерской атакой. По данным Telegram-канала Максима Горшенина imaxai, о причаcтности к маcштабной атаке на IT-инфраструктуру «Аэрофлота» заявили хакерские группировки. В их заявлении сказано, что операция длилась около года и завершилась «полным уничтожением внутренний IT-инфраструктуры авиакомпании».

Хакеры утверждают, что им удалось получить доступ и осуществить выгрузку полного массива баз данных истории полётов, скомпрометировать критические корпоративные системы, в том числе CREW, Sabre, SharePoint, Exchange, КАСУД, Sirax, CRM, ERP, 1C и DLP. В сообщении говорится, что хакеры взяли под контроль компьютеры сотрудников компании, включая высшее руководство, а также скопировали данные с серверов прослушки, включая аудиозаписи телефонных разговоров и перехваченные коммуникации.

Злоумышленники утверждают, что они извлекли данные систем наблюдения и контроля за персоналом, получили доступ к 122 гипервизорам, 43 инсталляциям виртуализации ZVIRT, около сотни iLO-интерфейсов для управления серверами, четырём кластерам Proxmox. В результате этих действий, как утверждается, было уничтожено около 7 тыс. физических и виртуальных серверов, а объём похищенной информации составил 12 Тбайт.

Несколько позже в Генпрокуратуре России подтвердили, что сбой в работе систем «Аэрофлота» является результатом хакерской атаки. Возбуждено уголовное дело по признакам преступления, предусмотренного ч. 4 ст. 272 УК РФ — неправомерный доступ к компьютерной информации.

На этом фоне акции «Аэрофлота» начали терять в цене. По состоянию на 11:38 мск они торговались на Московской бирже по 56,8 рублей за одну ценную бумагу. На закрытии торгов 27 июля стоимость одной акции компании составляла 58,91 рублей.