Почему хакеры атакуют малый бизнес: 5 точек входа и защита 1С

«У нас всего десять сотрудников. Кому мы нужны?» Так небольшие компании часто отвечают на предложения заняться защитой сервера, резервным копированием и информационной безопасностью.

Проблема в том, что хакер может вообще не знать, кому принадлежит сервер. Автоматический сканер ищет в интернете доступные RDP, VPN, панели администрирования, старые сервисы и учетные записи со слабыми паролями. Нашел подходящую цель — попробовал атаковать и пошел дальше.

Ниже — почему малый бизнес попадает под кибератаки, какие данные оказываются под угрозой и что сделать заранее, чтобы один инцидент не остановил работу компании.

Зачем хакеру «маленькая и бедная» фирма?

Главное заблуждение владельца бизнеса: «У нас нечего украсть». Но в киберпреступности взломанный сервер или офисный ПК — это в первую очередь ресурс, который можно монетизировать десятком способов, даже если компания зарабатывает немного:

1. Прямое вымогательство (шифровальщик). За расшифровку базы 1С или клиентских документов требуют не миллионы долларов, а посильные 100–300 тысяч рублей. Для малого бизнеса это цена выживания, и многие платят, потому что простой обходится дороже.
2. Электронная подпись (ЭЦП) и счета. Оставленная в USB-порту флешка с токеном или сохраненные сертификаты позволяют злоумышленникам подписывать фиктивные накладные, выводить средства через банк-клиент или отправлять от вашего имени поддельные отчеты.
3. Использование сервера как прокси / ботнета. Вашу инфраструктуру могут использовать как прикрытие («прокладку») для атак на другие компании, рассылки спама или взлома госсервисов. При этом правоохранительные органы и проверки по IP-адресу в первую очередь придут именно в ваш офис.
4. Кража личных данных и шантаж. Базы сотрудников, скан-копии паспортов, переписки и коммерческие тайны можно продать в даркнете либо использовать для шантажа штрафами по 152-ФЗ.
5. Фишинг от вашего имени. Получив доступ к рабочей почте, мошенники пишут вашим реальным клиентам и партнерам: выставляют поддельные счета с «новыми реквизитами» или рассылают вирусы под видом актов сверки. Уровень доверия к письму с вашего домена максимальный.
6. Месть или недобросовестные конкуренты. Не всегда атаку ведет профи: заказной сбой, заказ у «школьника-хакера» на теневом форуме или обиженный уволенный сотрудник — частая причина паралича работы компании.

Кибератаки на малый бизнес: почему размер не защищает

Размер компании сам по себе не защищает от взлома. Небольшая организация иногда даже проще для атаки: инфраструктура компактнее, а до информационной безопасности предприятия — обновлений, разграничения прав, контроля доступов — руки доходят реже.

Автоматическому сканеру не важно, сколько сотрудников в компании и какой у нее оборот. Он проверяет доступные адреса и сервисы. Если находит уязвимость или слабую учетную запись, пытается войти и переходит к следующей цели.

Что делает небольшую компанию уязвимой

Уязвимость обычно складывается из нескольких будничных вещей:

• RDP/SSH или другой удаленный доступ открыт напрямую в интернет;
• один и тот же пароль используют для нескольких сервисов;
• пароль администратора знают бывшие сотрудники или подрядчики;
• операционную систему и программы давно не обновляли;
• старые учетные записи никто не отключает;
• резервные копии лежат рядом с рабочими данными и доступны с теми же правами.

Такая схема может работать годами: 1С запускается, сотрудники подключаются, сервер не ломается и кажется, что все в порядке. Но безопасность определяется не тем, сколько времени ничего не происходило, а тем, насколько сложно получить лишний доступ и насколько быстро компания сможет восстановиться.

Как взламывают небольшие компании

Обычно атакующему достаточно одной точки входа. И это не обязательно сложная или дорогая атака.

Точка входа	В чем проблема	Что сделать
RDP и VPN	Сервис доступен из интернета или защищен слабым паролем	Закрыть прямой доступ, использовать VPN, MFA и ограничения по IP-адресам
Пароли	Один пароль подходит к нескольким системам или уже попал в утечку	Использовать уникальные пароли, менеджер паролей и MFA
Старое ПО	В необновленном сервисе часто есть известные уязвимости	Регулярно устанавливать обновления и удалять ненужные сервисы
Фишинг	Сотрудник открывает ссылку или вложение из убедительного письма	Обучать сотрудников, фильтровать почту и ограничивать права
Старые учетные записи	Уволившийся сотрудник или подрядчик сохраняет доступ	Регулярно проверять пользователей и сразу отзывать ненужные доступы

Фишинговое письмо

Фишинговое письмо не обязано выглядеть подозрительно. Это может быть счет, акт сверки, договор или уведомление о заказе. Если заражен компьютер сотрудника, последствия зависят от его прав и от того, какие системы доступны из этой сети.

Безопасность RDP и доступов: что сделать в первую очередь

1. Закрыть RDP и административные панели от прямого доступа из интернета.
2. Проверить, какие учетные записи и права действительно нужны сотрудникам.
3. Обновить операционную систему и ПО, удалить ненужное и подозрительное.
4. Убедиться, что уволившиеся сотрудники и подрядчики больше не могут войти.

Что происходит после первого входа

Получив доступ к одному компьютеру, злоумышленник начинает изучать инфраструктуру:

• виден ли сервер и общие папки;
• есть ли права администратора;
• сохранены ли пароли в браузере или файлах;
• доступны ли база 1С и почта;
• можно ли добраться до резервных копий.

Если пользователи работают с расширенными правами, разные сервисы используют одинаковые учетные данные, а сервер и бэкапы находятся в одной зоне доступа, одна скомпрометированная учетная запись может открыть путь сразу ко многим данным.

Атака не всегда начинается с заметного сбоя. Сначала злоумышленник может изучать сеть и копировать данные, а уже потом запускать шифровальщик. Поэтому отсутствие предупреждений антивируса еще не доказывает, что в инфраструктуре ничего не происходило.

Какие данные есть у небольшой компании

Даже у фирмы из нескольких человек обычно есть данные, без которых нормальная работа быстро останавливается:

• в 1С — бухгалтерия, зарплаты, сведения о сотрудниках и контрагентах, продажи и банковские операции;
• на файловом сервере — договоры, счета, акты и коммерческие предложения;
• в почте — переписка, контакты и документы клиентов;
• на рабочих компьютерах — сохраненные пароли, браузерные сессии и доступы к сервисам.

Чем опасен вирус-шифровальщик

Ransomware, или вирус-шифровальщик, блокирует доступ к файлам и базам. Файл базы 1С может остаться на месте, но открыть его уже нельзя. В общих папках появляются зашифрованные документы, а затем — требование заплатить за восстановление.

Для малого бизнеса даже несколько дней простоя могут быть критичными: сотрудники не оформляют заказы и документы, не видят остатки, не могут вести бухгалтерию. Зарплата, аренда и другие расходы при этом никуда не исчезают.

Эту сумму полезно сравнить с расходами на резервное копирование, администрирование или перенос критичной инфраструктуры в облако. Как считать эту разницу для 1С — в статье 1С в облаке: плюсы, минусы и реальная цена.

Защита от шифровальщиков: почему одного бэкапа мало

Резервная копия помогает только тогда, когда она отделена от основной инфраструктуры и из нее действительно можно восстановиться.

Плохой вариант резервного копирования 1С: база лежит на сервере, а копия каждую ночь сохраняется на соседний диск этого же сервера. При административном доступе злоумышленник может зашифровать оба диска. Похожая ситуация возможна с сетевой папкой, если рабочий сервер постоянно имеет к ней полный доступ.

Правило 3-2-1: что значит «хранить бэкап отдельно»

Правило 3-2-1: три копии данных, на двух разных типах носителей, одна из них — вне основной площадки. Для небольшой компании это обычно рабочая база, копия в отдельном хранилище и копия на внешней площадке. На практике отдельное хранилище может быть таким:

• отдельный небольшой сервер или NAS, доступ к которому ограничен и не совпадает с доступами к рабочему серверу;
• отдельное сетевое хранилище, куда резервные копии передаются по специально настроенной схеме;
• внешняя площадка или облачное хранилище резервных копий;
• специализированное решение для резервного копирования, например Кибер Бэкап, с отдельным хранилищем и политиками хранения.

Устройство и программа вторичны. Важна независимость копии: потеря рабочего сервера, заражение или компрометация его учетной записи не должны автоматически давать возможность удалить или зашифровать все резервные копии.

Минимальные требования к резервному копированию

• Хранить копии отдельно от рабочего сервера.
• Ограничить доступ к хранилищу резервных копий.
• Иметь несколько точек восстановления за разные даты.
• Регулярно проверять, что из копии можно восстановить базу и файлы.
• Заранее описать порядок восстановления и назначить ответственного.

Файл с названием backup еще не гарантирует, что из него можно восстановиться. Проверять нужно не только факт успешно созданного файла бэкапа, но и результат тестового восстановления.

Безопасно ли хранить данные в облаке

Облако само по себе не делает сервер неуязвимым. Облачную инфраструктуру тоже нужно обновлять, правильно настраивать, ограничивать по правам и защищать резервными копиями.

Преимущество облака в другом: компании не приходится самостоятельно обслуживать всю физическую инфраструктуру. При собственном сервере нужно следить за дисками, питанием, ИБП, интернетом, сетевым оборудованием, RAID и резервным копированием. Если что-то выходит из строя, искать причину и замену часто приходится в самый неподходящий момент.

В облаке физическими ресурсами занимается провайдер, а компания получает виртуальный сервер и может передать специалистам его техническое сопровождение. Это особенно удобно, если в штате нет системного администратора.

1С в облаке: когда это удобно

1С можно разместить на облачном сервере, а сотрудникам дать защищенный удаленный доступ. Тогда бухгалтеру не обязательно находиться в офисе, а при замене рабочего компьютера не придется переносить на него всю инфраструктуру.

Отдельно организованное резервное копирование позволяет хранить копии не на той же виртуальной машине, где работает база. Если рабочий сервер потерян, остается независимая точка восстановления.

Стоит ли переносить сервер в облако

Облако нужно не каждой компании. Но аудит инфраструктуры точно стоит провести, особенно если совпадают несколько пунктов:

• сервер стоит в офисе и давно не обслуживался;
• 1С критична для ежедневной работы;
• сотрудники подключаются удаленно;
• RDP открыт напрямую в интернет;
• резервные копии хранятся на том же сервере;
• восстановление из бэкапа давно не проверяли;
• пароль администратора знают несколько человек;
• операционную систему и сервисы давно не обновляли;
• в компании нет ответственного за сервер и резервное копирование.

Если вы нашли у себя несколько таких пунктов, начните с аудита. Необязательно переносить в облако все сразу. Можно начать с критичного: разместить 1С на виртуальном сервере, вынести резервные копии в независимое хранилище или передать техническое сопровождение специалистам.

По кодовому слову «21 ДЕНЬ» тестовый доступ к 1С в облаке продлим до 21 дня вместо стандартных 14.

Перенос в облако не подойдет, если

• Сервер уже в дата-центре, RDP закрыт, копии лежат в отдельном хранилище и восстановление проверено. Переносить ради безопасности незачем. Пройдитесь по пяти вопросам в конце статьи и держите этот порядок.
• Нужна защита от целевых атак или аудит ИБ по требованиям регулятора. Это задача ИБ-подрядчика: облако и независимые бэкапы закрывают базовый уровень, но не заменяют пентест и аудит.

С чего начать

Не нужно перестраивать всю инфраструктуру за один день. Сначала вынесите из зоны риска то, потеря чего остановит работу компании.

Так кому нужна маленькая компания

Возможно, никому конкретно. В этом и заключается главный риск: автоматическому сканеру не важно, сколько сотрудников в компании и какой у нее оборот. Достаточно открытого сервиса, старого пароля, не обновленного ПО или неудачного вложения в письме.

Вместо вопроса «кому мы нужны?» полезнее проверить другое:

• Где находятся данные компании?
• Кто имеет к ним доступ?
• Отделены ли резервные копии от рабочего сервера?
• Когда в последний раз проверяли восстановление?
• Сколько времени займет возврат к работе после потери сервера?

Если на последний вопрос нет точного ответа, с него и стоит начать.

В МАРС Телеком можно перенести в облако существующий сервер, разместить отдельную виртуальную машину или запустить 1С с независимым резервным копированием. Перенос базы 1С в облако — бесплатно. При этом не обязательно менять всю инфраструктуру за один раз: сначала определите критичные данные и сервисы, а затем переносите их по приоритету.

Облако не волшебная кнопка от хакеров. Его задача — помочь построить инфраструктуру, которую проще обновлять и контролировать, а после инцидента — восстановить.