Rosyjska infrastruktura dostała potężny cios. Skala zniszczeń zaskakuje

Poważny cyberatak na rosyjskiego dostawcę usług hostingowych Beget doprowadził do ogromnych zniszczeń w jego infrastrukturze. Z serwerów zniknęły dane klientów korzystających z VPS, pamięci masowej S3 i platformy Kubernetes. Problemy objęły również konfigurację adresów IP, DNS i CDN. Firma uruchomiła procedurę awaryjnego przywracania usług, ale skala zniszczeń jest tak duża, że pełne odtworzenie systemów może potrwać bardzo długo. Do ręcznego sprawdzenia pozostaje ponad 1000 serwerów.

Do incydentu doszło w nocy z 1 na 2 listopada 2026 roku. Początkowo klienci Beget zauważyli problemy z dostępem do stron internetowych, poczty elektronicznej, serwerów VPS i paneli administracyjnych, jednak szybko okazało się, że nie jest to zwykła usterka techniczna. Według oficjalnego komunikatu firmy cyberprzestępcy uzyskali dostęp do systemu zarządzającego infrastrukturą dostawcy. Następnie uruchomili skrypty czyszczące, które doprowadziły do usunięcia danych i konfiguracji wielu usług.

Awaria objęła środowiska VPS, obiektową pamięć masową S3 oraz platformę Kubernetes. Zniknęły również ustawienia CDN i adresów IP. Beget nie ujawnił jeszcze, w jaki sposób napastnicy uzyskali dostęp do systemów administracyjnych.

Kopie zapasowe przetrwały, ale jest jeden poważny problem

Sytuacja z backupami jest bardziej skomplikowana, niż mogłoby się wydawać. Beget poinformował, że część kopii zapasowych została zachowana. Dotyczy to między innymi plików związanych z infrastrukturą hostingową i chmurową. Klienci nie mogą jednak na razie z nich korzystać. Dostawca musi najpierw odbudować własne środowisko zarządzania i sprawdzić, czy odzyskiwane serwery nie zawierają złośliwego oprogramowania lub pozostawionych przez napastników mechanizmów dostępu.

Gorzej wygląda sytuacja z binarnymi kopiami zapasowymi, które według komunikatu firmy zostały bezpowrotnie utracone. Nie wiadomo, czy wszystkie strony internetowe działające na hostingu współdzielonym będą możliwe do odzyskania. 

Ponad 1000 serwerów do ręcznej kontroli

Przywrócenie usług nie sprowadza się do ponownego uruchomienia maszyn. Beget musi najpierw zweryfikować bezpieczeństwo całego środowiska. Według przedstawionych szacunków ręcznej inspekcji wymaga ponad 1000 serwerów. Firma nie chce przywracać systemów bez sprawdzenia ich pod kątem pozostałości po ataku. Samo uruchomienie sprzętu mogłoby doprowadzić do ponownego naruszenia infrastruktury.

Pracownicy zostali skierowani do działań kryzysowych, a zespół DevOps pracuje przez całą dobę. Część usług udało się już uruchomić. Przywrócono między innymi serwery dedykowane, znaczną część infrastruktury pocztowej oraz wybrane funkcje zarządzania domenami.

Ponad 334 tys. stron internetowych korzystało z Beget

Beget działa na rosyjskim rynku od 2007 roku. Firma oferuje hosting, serwery wirtualne i dedykowane, rejestrację domen oraz rozwiązania chmurowe. Według szacunków branżowych obsługuje ponad 200 tys. klientów.

Z październikowego zestawienia dotyczącego rynku hostingowego wynika, że infrastruktura dostawcy obsługiwała ponad 334,5 tys. aktywnych stron w domenach .ru, .рф i .su. To około 14,6 proc. wszystkich aktywnych witryn w tych rozszerzeniach.

Nietypowe anomalie sieciowe przed cyberatakiem

Dodatkowe informacje o incydencie opublikował rosyjski dziennik „Kommiersant”. Według źródeł gazety krótko przed atakiem część bloków adresów IP obsługiwanych przez Beget wykazywała nietypową niestabilność routingu.

Dane RIPEstat miały wskazywać na niemal milion komunikatów dotyczących zmian tras w ciągu jednej godziny. Dla porównania, w poprzednich 90 dniach liczba takich zdarzeń nie przekraczała 20 tys. Jeden z rozmówców gazety zasugerował, że napastnicy mogli uzyskać wysokie uprawnienia i zresetować konfigurację systemów. Ta hipoteza nie została jednak oficjalnie potwierdzona.

Beget twierdzi, że według dotychczasowych ustaleń nie doszło do prób pobierania ani modyfikowania danych użytkowników przechowywanych na zaatakowanych serwerach. Mimo to firma zaleciła klientom zmianę haseł, kluczy dostępowych i innych danych uwierzytelniających.

Jedna kopia zapasowa to zdecydowanie za mało

Atak na Beget ponownie pokazuje, jak poważne konsekwencje może mieć uzależnienie całej infrastruktury od jednego dostawcy. Jeżeli serwery produkcyjne, systemy zarządzania i kopie zapasowe korzystają z tego samego środowiska, przejęcie uprawnień administracyjnych może sparaliżować wszystkie mechanizmy odzyskiwania danych.

Eksperci zalecają stosowanie zasady 3-2-1. Zakłada ona przechowywanie trzech kopii danych na dwóch różnych rodzajach nośników, przy czym jedna powinna znajdować się poza główną infrastrukturą.