Уронили все
Российский хостинг-провайдер Beget сообщил об утрате данных облачной инфраструктуры в результате кибератаки, произошедшей в ночь с 1 на 2 ноября 2026 г.
Злоумышленники получили доступ к управляющему контуру всей архитектуры компании и запустили обнуляющие скрипты. В результате были потеряны данные виртуальных серверов VPS, объектного хранилища S3 и платформы Kubernetes, а также настройки CDN и IP.
В компании утверждают, что файловые резервные копии сохранились, однако доступ к ним пока невозможен. На восстановление инфраструктуры потребуется существенное время.
В подробном сообщении в официальном Telegram-канале провайдер раскрыл масштаб последствий атаки. По информации компании, злоумышленники получили доступ к управляющему контуру всей архитектуры и запустили скрипты, предназначенные для обнуления инфраструктуры.
Дополнительные подробности произошедшего Beget пока не раскрывает, объясняя это необходимостью обеспечить безопасный запуск систем и не навредить расследованию.
Наиболее серьезные последствия затронули облачное направление бизнеса. Beget сообщил о полной утрате данных в VPS, S3 и Kubernetes. Кроме того, компания лишилась настроек CDN и IP.
Инцидент затронул сразу несколько категорий инфраструктуры. VPS позволяют клиентам арендовать виртуальные серверы и самостоятельно размещать на них приложения, сайты и базы данных. S3 используется для объектного хранения файлов и других данных, а Kubernetes обеспечивает управление контейнеризированными приложениями и их масштабированием. Потеря данных в этих сервисах означает необходимость восстанавливать соответствующие среды и пользовательские проекты.
При этом ситуация с резервными копиями оказалась неоднозначной. Beget сообщил, что бинарные резервные копии VPS полностью утрачены.
Вместе с тем файловые бэкапы хостинга и облачной инфраструктуры удалось сохранить. Однако получить к ним доступ клиенты пока не могут: сначала провайдеру необходимо восстановить работу собственной инфраструктуры и вручную проверить серверы на наличие скрытых уязвимостей и вредоносных скриптов.
По предварительной оценке компании, восстановлению подлежат почти 100% сайтов, размещавшихся на виртуальном хостинге. На серверах под администрированием Beget также сохранилась большая часть данных.
Перезагрузка не поможет
Первые сообщения о проблемах в работе провайдера появились ночью 2 ноября 2026 г. Пользователи жаловались на недоступность сайтов, виртуальных серверов, электронной почты, личного кабинета и панели управления. Возникли перебои в работе DNS — системы, которая сопоставляет доменные имена с IP-адресами серверов.
Около 4:50 по московскому времени Beget сообщил о крупном инциденте, не раскрывая его причин. Инженеры приступили к ручной настройке инфраструктуры непосредственно в дата-центрах.
Позже компания официально подтвердила массированную кибератаку и уведомила клиентов о возникновении обстоятельств, обладающих признаками непреодолимой силы, сославшись на статью 401 ГК РФ.
К 2 ноября провайдеру удалось восстановить работу выделенных серверов без собственного администрирования. В дальнейшем компания сообщила о возможности изменения DNS-записей A, MX и TXT для доменов в зонах .ru, .рф и .su. Восстановлением управления международными доменами продолжали заниматься специалисты.
На момент последнего подробного обновления компания также сообщала, что значительная часть инфраструктуры почтового сервиса восстановлена. Для клиентов планировалось предоставить ограниченный интерфейс панели управления в течение 24 часов.
Однако сроки полноценного восстановления всех услуг остаются неопределенными. По данным Beget, специалистам предстоит вручную проверить более 1 тыс. серверов. В компании подчеркивают, что просто включить оборудование недостаточно: необходимо предварительно убедиться в отсутствии вредоносных скриптов и других угроз.
Все сотрудники провайдера переведены на работу в кризисном режиме, команда DevOps работает круглосуточно.
Пострадали сотни тысяч
Beget работает на российском рынке с 2007 г. и предоставляет услуги виртуального хостинга, аренды виртуальных и выделенных серверов, регистрации доменов и облачных решений. По данным профильных отраслевых оценок, компания обслуживает более 200 тыс. клиентов.
Согласно переписи хостингов за октябрь 2026 г., на инфраструктуре Beget размещалось более 334,5 тыс. действующих сайтов в доменных зонах .ru, .рф и .su. Это около 14,6% всех работающих сайтов в этих зонах.
Масштаб сбоя вышел за пределы непосредственной клиентской базы провайдера. По данным мониторинговых сервисов, массовые жалобы поступали из 33 городов России. За первые сутки было зарегистрировано несколько тысяч обращений пользователей.
Среди ресурсов, столкнувшихся с проблемами, оказался информационный портал национальной системы маркировки товаров «Честный знак». При этом в Центре развития перспективных технологий (ЦРПТ), операторе системы, уточнили, что основная система маркировки и личные кабинеты участников товарооборота продолжали работать штатно. Проблемы затронули только информационный сайт, работа которого впоследствии была восстановлена.
Также сбой затронул каршеринг BelkaCar. Пользователи столкнулись с трудностями при доступе к приложению и завершении аренды автомобилей. Для восстановления сервиса компания перевела его к другому подрядчику. В BelkaCar пообещали пересчитать стоимость поездок, которые не удалось корректно завершить из-за технических проблем.
Причины и последствия атаки
Дополнительные обстоятельства произошедшего описал «Коммерсантъ». По данным источника издания на телекоммуникационном рынке, незадолго до инцидента у некоторых блоков IP-адресов, обслуживаемых через системы Beget, наблюдалась аномальная нестабильность маршрутизации трафика.
Согласно данным RIPEstat, за один час было зафиксировано почти 1 млн анонсов смены маршрутов передачи трафика. Для сравнения, за предшествующие 90 дней максимальное значение этого показателя не превышало 20 тыс. Один из собеседников «Коммерсанта» предположил, что атакующие могли получить высокие привилегии доступа к системе и сбросить конфигурации. Официального подтверждения этой версии пока нет.
В самой компании сообщили, что на серверах, где хранилась пользовательская информация, по имеющимся данным, не было попыток скачать или изменить данные. Тем не менее клиентам рекомендовали поменять пароли, ключи доступа и другие учетные данные, которые могли находиться на серверах.
Инцидент также вновь поставил вопрос о надежности хранения данных и резервировании инфраструктуры у крупных облачных провайдеров. Эксперты, опрошенные ComNews, отмечают, что компании нередко размещают на одной площадке основные серверы, DNS, почту и резервные копии. В случае масштабной атаки на управляющую инфраструктуру такая концентрация может лишить клиентов не только доступа к сервисам, но и возможности оперативно переключиться на резервную площадку.
В качестве одной из мер защиты специалисты рекомендуют хранить резервные копии независимо от основного провайдера и регулярно проверять возможность восстановления из них. В частности, применяется принцип 3-2-1: три копии данных, два разных типа носителей и одна копия за пределами основной инфраструктуры.
Точные сроки возвращения облачной инфраструктуры к полноценной работе пока не определены.
Поделиться
