Хакер зламав компанію без MFA: реальний кейс і поради з безпеки

Як згадує Ярослав Попов, консультант з розвитку хмарних продуктів і сервісів у Київстар:

На перший погляд — технічна проблема, яка вирішується за лічені хвилини. Проте коли команда перевірила тенант клієнта (окреме хмарне середовище організації) через Microsoft Partner Center, стало очевидно: ситуація серйозніша, ніж здавалося спершу.

Це був тривожний дзвіночок. Виявилося, що зловмисник отримав доступ до облікового запису глобального адміністратора компанії. І йому допомогла відсутність багатофакторної автентифікації (MFA). Один неввімкнений захист і вся система відкрилася, як двері без замка.

Що саме зробив хакер:

• Створив новий обліковий запис і надав йому глобальні права адміністратора.
• Масово видалив усіх інших користувачів.
• Виконав «hard delete», тобто остаточно видалив акаунти без змоги їх повернути зі «смітника» чи історії змін.
• З дивного: змінив технічну пошту підтримки компанії та вписав замість неї свою адресу. 

«Скрипт кіберзловмисника усе зробив за чотири хвилини. Навіть якби у клієнта були сповіщення, то він просто не встиг би нічого зробити», — коментує Габріел Молнар, фахівець з продажу бізнес-рішень Microsoft у сфері хмарних сервісів і кібербезпеки.

Також автоматично зникли всі поштові скриньки. Тобто не просто акаунти, а й доступ до листування, до файлів в OneDrive, документів. Усе, що було пов’язано з цими обліковими записами, щезло.

Габріел підсумовує: «Детальна перевірка показала, що щоб не намагався зробити хакер, дані компанії все одно залишилися на боці Microsoft, і можливість їх відновити є. Утім, діяти потрібно було оперативно, бо паралізована робота частини інфраструктури компанії клієнта».

Вже за пів години після того, як помітили проблему, ми вже мали чітке розуміння подальших дій. Одразу оформили запит до технічної підтримки Microsoft, щоб підтвердити свої припущення і дії.

Як розповідає Ярослав Попов:

Увесь процес відновлення тривав понад три тижні, адже в компанії було близько 300 користувачів. Проте найголовніше, що критичні поштові скриньки вже працювали, і це дало змогу бізнесу поступово повернутися до нормального режиму роботи.

Ярослав каже, що насправді це була атака не дуже професійних хакерів:

Хоч рівень інциденту й не був критичним, наслідки для бізнесу виявилися відчутними.

Після інциденту команда Київстар разом з Microsoft провела детальний аудит безпеки та надала клієнту конкретні рекомендації, якими ми хочемо поділитися з вами, щоб ваш бізнес був захищений і подібного не сталося.

Деякі речі можна зробити безкоштовно, а в деякі — варто інвестувати.

Що можна зробити безкоштовно:

• Увімкнути MFA (багатофакторну автентифікацію) для всіх користувачів — це найпростіший і найефективніший спосіб захисту.
• Перевіряти журнали входу (щотижня), щоб виявляти підозрілу активність.
• Мінімізувати кількість глобальних адміністраторів: менше прав — менше ризиків.
• Встановити базові політики безпеки: заборонити автоматичне пересилання листів, вимкнути застарілі протоколи (IMAP, POP3 тощо), налаштувати DKIM і DMARC для доменів.
• Оформити базовий аудит доступів до акаунтів і ролей.

Що можна налаштувати з додатковими ліцензіями та витратами:

• Впровадити passwordless автентифікацію (FIDO2, Windows Hello) — це підвищить безпеку й зручність.
• Контролювати ролі адміністраторів за допомогою Privileged Identity Management, щоб уникнути несанкціонованого доступу.
• Отримувати автоматичні сповіщення про ризики та підозрілі дії, аби швидко реагувати на загрози.
• Налаштувати резервне копіювання через Microsoft 365 Backup або інші сервіси, щоб зберегти дані.
• Навчати вашу команду, а саме — проводити тренінги й фішинг-симуляції.
• Активувати розширені політики безпеки (Safe Links, Safe Attachments) для додаткового захисту від шкідливих листів.

Цей інцидент міг обернутися значно гірше — повною втратою доступу без жодного шансу на відновлення. Тож краще один раз інвестувати час у налаштування безпеки, ніж згодом тижнями повертати контроль над поштою. Якщо ви досі вагаєтеся — просто згадайте цю історію.