Итак, третья серия вышла!

Подписывайтесь, чтоб не пропустить следующую)

Кстати, вчера вышла серия 4, не пропустили?
Если не видели прошлые, внизу есть ссылки на все)

ООО «ТРИ БОГАТЫРЯ» — ЧАСТЬ 4: БОЛЬШИЕ МАЛЬЧИКИ
Серия 4 из 8.

Брат Михаила Борисовича работает в банке. Посоветовал «нормальных ребят» — крупная компания по кибербезопасности, название все слышали, офис в центре Москвы, сайт с кейсами.

Приехали двое. Костюмы. Ноутбуки с логотипом Apple. Говорят правильными словами: «векторы атаки», «криминалистическая экспертиза», «полный аудит инфраструктуры».

Михаил Борисович немного успокаивается. Серьёзные люди.

Они ходят по офису три часа. Делают снимки экранов. Берут образы дисков. Пьют кофе. Задают вопросы Диме. Дима отвечает уклончиво.

На следующий день присылают письмо.

«Благодарим за обращение. По итогам первичного обследования можем предложить следующие услуги: криминалистическое расследование инцидента, восстановление инфраструктуры, аудит безопасности, разработка регламентов...»

Внизу — итоговая сумма.

4 600 000 рублей.

Срок — 6-8 недель.

Михаил Борисович смотрит на цифру. Потом смотрит в окно. Потом снова на цифру.

Это не значит, что компания плохая. Они реально умеют. Просто они работают с банками и госкорпорациями. Для них ООО «Три Богатыря» — маленький нестандартный кейс, который надо правильно упаковать в коммерческое предложение.

А «Три Богатыря» нужно работать. Сейчас. Не через 6-8 недель.

Пока Михаил Борисович смотрит на КП, Антон сидит в переговорке с «Премиумбетоном».

«Премиумбетон» — партнёр на 12 миллионов в год. Они работают вместе семь лет. Антон знает там всех по именам, был на корпоративах, крестил ребёнка у одного из менеджеров.

Партнёр говорит аккуратно, но прямо: «Антон, мы понимаем, что у вас сложности. Но у нас свои обязательства перед клиентами. Мы вынуждены временно работать с "Стальпромом". Как только у вас всё восстановится — вернёмся к диалогу».

«Временно» в устах партнёра звучит как «навсегда».

Антон говорит: «Конечно, понимаем. Буквально пара дней».

Выходит из переговорки. Зачёркивает «Премиумбетон» в блокноте.

━━━━━━━━━━

Счётчик потерь. День 8:

— Простой: ~4 000 000 ₽ упущенной выручки

— Потрачено на «лечение»: 25 000 ₽

— Данные: зашифрованы

— Причина известна: нет

— Клиентов, ушедших к конкурентам: 2 (в т.ч. партнёр на 12 млн/год)

— На столе у Михаила Борисовича лежит КП на 4 600 000 ₽. Он смотрит на него и думает о жизни.

━━━━━━━━━━

Продолжение в четверг.

1 Серия
2 Серия
3 Серия

Нашли опечатку, поправили)

Киберстрахование для МСБ: почему раньше не работало и что изменилось

Киберстрахование в России существует уже несколько лет, но малый и средний бизнес им почти не пользуется. Причины понятны.

Проблема 1: Сложный вход. У компаний малого и среднего бизнеса либо очень слабая защита цифровой инфраструктуры, либо ее вовсе нет, что чаще всего связано с отсутствием ресурсов и экспертизы. Страховщики не готовы страховать такие риски.

Проблема 2: Высокая цена. Страховщик не может точно оценить киберриски клиента без дорогостоящего аудита, поэтому закладывает неопределённость в тариф. Услуга становится нерентабельной для небольших компаний.

Проблема 3: Риск отказа в возмещении ущерба. Договор страхования заключается на основании заявления на страхование, которое оформляется в самом начале. Решение о выплате принимается в том числе с учетом данных, указанных в заявлении. Что если инфраструктура с тех пор изменилась?

Мы в 4sec попробовали решить эти три проблемы одновременно. Идея - если встроить в страховой продукт систему мониторинга, которая непрерывно оценивает состояние инфраструктуры, то:
— реальное снижение рисков позволяет получить более выгодный тариф
— решение о страховании и возмещении принимается на основе данных из сервиса, а не на основе устаревших данных в заявлении

Так появился Кибер.Полис+ — страховой продукт, в который встроен облачный сервис безопасности. Покрытие от 30 млн рублей, оформление за 1 день, подключение сервиса за 30 минут.

Подробнее о том, как это устроено: https://4security.ru/products/insurance/

Серия 5 вышла, вы знаете где ее смотреть)

"А кто нас ломает?" - точного ответа нет и не будет

Чтобы ответить на этот вопрос, ИБ-компании прибегают к атрибуции — процессу установления того, кто именно стоит за кибератакой или конкретным инцидентом.

Но возможно ли это точно определить? Скорее нет, чем да.

На чем базируются исследователи?
- Цифровой почерк: У каждой группы есть свои любимые инструменты, фрагменты кода и методы закрепления в системе (TTPs).
- Метаданные и время: Часовые пояса, в которых компилировались вирусы, и язык комментариев в коде (хотя кто мешает хакеру в Москве работать по времени Сиэтла?).
- Инфраструктура: Использование конкретных серверов, прокси-цепочек и методов покупки доменов, которые уже «светились» в прошлых кампаниях.
- Мотив: Кому выгоден взлом? Если крадут чертежи истребителя, подозрение падает на страны-конкуренты, а не на школьника-хулигана.

Но в 2017 году мир ИБ содрогнулся: WikiLeaks опубликовал Vault 7 — крупнейший в истории массив секретных документов ЦРУ. Среди чертежей эксплойтов для «умных» телевизоров и смартфонов обнаружились доказательства того, что американские спецслужбы возвели подделку следов в ранг искусства. В рамках проектов Marble и Umbrage они годами оттачивали технологии «цифрового камуфляжа».

Marble — это целый фреймворк для «запутывания» кода, который позволял вставлять куски на русском, китайском или арабском языках. Чистой воды «подстава», чтобы направить следствие по ложному пути.

А подразделение Umbrage пошло ещё дальше: они собирали библиотеку методов реальных хакерских групп со всего мира. Зачем изобретать велосипед, если можно украсть данные, используя чужой «почерк», и оставить аналитиков в полной уверенности, что это был кто-то другой?

В итоге атрибуция из точной науки превращается в игру «верю — не верю», где любые улики могут оказаться профессионально подброшенными.

Стоит ли вообще доверять публичным отчетам об атрибуции, если «цифровой камуфляж» стал настолько доступным?

Также репостим пятую серию, чтоб точно не пропустили)

ООО «ТРИ БОГАТЫРЯ» — ЧАСТЬ 5: КОЛЯ ИЗ КАЗАНИ
Серия 5 из 8.

На десятый день Михаил Борисович позвонил однокласснику Игорю. Просто поговорить, пожаловаться. Игорь — владелец производства в Казани.

Игорь молча выслушал. Потом говорит:

— У нас такое же было. Год назад. Нашли ребят, которые помогли. Дай номер дам.

Так появился Коля.

Коля приехал один. Без костюма. С рюкзаком. На вид лет 35. Говорит мало, смотрит много.

Посмотрел час. Сказал:

— Восстановить данные не получится. Шифр современный. Но поднять инфраструктуру и разобраться, как вошли — сделаем. 380 тысяч, две недели.

Михаил Борисович: «А быстрее?»

Коля: «48 часов — базовые бизнес-процессы. Всё остальное — две недели».

Михаил Борисович подписал договор не читая.

Коля начал работать в тот же вечер.

На следующее утро 1С заработала. Частично — с данными за последние полгода, которые нашли в облачном кэше. Склад ожил.

Пока Коля разбирался с серверами, Антон наконец начал обзванивать клиентов с хорошими новостями.

Из двадцати звонков:

— Восемь ответили. Обрадовались. Готовы возобновить заказы.

— Пять не ответили. Перезвонили сами позже и сказали, что «пока работают с другими».

— Трое написали в мессенджер что-то вроде «окей, держите в курсе».

— Двое — «Стройдепо» и «Премиумбетон» — не ответили вообще.

Антон смотрит на блокнот. Там семь зачёркнутых строк.

Семь клиентов. За одиннадцать дней.

Но на третий день Коля пришёл к Михаилу Борисовичу с неприятным разговором.

«Нам нужно поговорить про Диму».

━━━━━━━━━━

Счётчик потерь. День 11:

— Простой: ~5 500 000 ₽ упущенной выручки

— Потрачено на «лечение»: 405 000 ₽ (25к Авито + 380к Коля)

— 1С: работает! Частично. Склад ожил.

— Данные за 4 месяца: потеряны навсегда

— Клиентов, ушедших к конкурентам: 7

— Причина известна: скоро узнаем. Дима нервничает.

━━━━━━━━━━

Продолжение в воскресенье.

1 Серия
2 Серия
3 Серия
4 Серия

Вчера вышла и шестая серия, мы на финишной прямой!

ООО «ТРИ БОГАТЫРЯ» — ЧАСТЬ 6: ЧТО ДИМА СЛОМАЛ, ПОКА ЧИНИЛ
Серия 6 из 8.

Дима не виноват. Почти.

Он сделал то, что умел. Проблема в том, что когда происходит взлом, первое, что нужно сделать — это ничего не трогать. Зафиксировать. Сохранить следы.

Дима сделал противоположное.

Перезагрузил серверы — стёр данные из оперативной памяти, где мог сидеть вирус в активном состоянии.

Запустил антивирус — тот «вылечил» заражённые файлы, уничтожив улики.

Проверил диски — перезаписал часть секторов, где были артефакты атаки.

Удалил «подозрительные файлы» — некоторые из них были следами атакующих, по которым можно было восстановить хронологию.

Дима пытался помочь. И сделал расследование в 10 раз сложнее.

Коля смог установить: взлом произошёл через старый VPN-сервер (не обновлялся 2 года), атака шла 18 дней до того как активировался шифровальщик (они сидели внутри и изучали сеть), точку входа — нашёл. Хронологию после первого часа — не восстановить, Дима постарался.

Данные потеряны безвозвратно. 4 месяца истории продаж, часть клиентской базы, архив документов.

━━━━━━━━━━

Итого на день 14:

— Простой: ~7 миллионов упущенной выручки

— Потеряно данных: 4 месяца

— Потрачено на «лечение»: 405 000 рублей

— Найдена точка входа: да

— Данные восстановлены: нет

И ещё одна новость.

━━━━━━━━━━

Продолжение во вторник — финал.

1 Серия
2 Серия
3 Серия
4 Серия
5 Серия

ФИНАЛ истории
Но предпоследняя серия

ООО «ТРИ БОГАТЫРЯ» — ЧАСТЬ 7: ФИНАЛ
Серия 7 из 8. Предпоследняя.


Коля уходит. Говорит последнее.

«Мы закрыли дыру, через которую вошли. Обновили VPN, поставили нормальные пароли, настроили мониторинг. Базовые процессы работают.

Но вот что важно.

Когда взломали, вы думали: "Главное — восстановиться. Потом разберёмся с защитой". Почти все так думают.

Вы восстановились. Теперь "потом". Если не сделать защиту нормально — вас зашифруют снова. Те же люди или другие — неважно. Дыра была серьёзная, значит вы попали в базы как "платёжеспособная мишень".

Это не страшилка. Статистика: больше половины компаний после шифрования без нормального расследования получают повторную атаку в течение 6–12 месяцев».

Михаил Борисович слушает.

«Сколько стоит нормальная защита?» — спрашивает он.

Коля пожимает плечами.

«Для компании вашего размера — копейки в месяц. Есть один сервис, который сканирует инфраструктуру и сигналит, когда находит дыры. Я с этими ребятами работаю — езжу к их клиентам, когда случается что-то серьёзное. Вот через них вы бы нашли меня не на четырнадцатый день. А на первый».

Михаил Борисович вспоминает 7 миллионов.

Потом вспоминает мастера с Авито, большую компанию с КП на 4,6 миллиона, Диму с его умным видом.

«Всего этого можно было не допустить», — добавляет Коля. — «Та дыра в VPN светилась бы как маяк при любом нормальном сканировании. Три месяца назад. До того, как хакеры её нашли».

Михаил Борисович молча кивает.

Дима в углу делает вид, что смотрит в ноутбук.

На экране у Димы открыт hh.ru.

Антон тоже в углу. У него в блокноте теперь две колонки: «вернулись» и «ушли».

В колонке «ушли» — девять строк. Среди них «Премиумбетон» с его 12 миллионами в год.

Антон считает. Даже если все из «вернулись» восстановят заказы — дыра в плане продаж на этот квартал уже не закрывается.

На годовой план Антон смотреть не стал.

━━━━━━━━━━

Счётчик потерь. Итог. День 16:

— Простой (14 дней до запуска): ~7 000 000 ₽ упущенной выручки

— Потрачено на «лечение»: 405 000 ₽

— Клиентов, ушедших к конкурентам: 9 (из них 1 партнёр на 12 млн/год)

— Данные восстановлены: нет (4 месяца — в никуда)

— Виновные найдены: технически да, юридически — удачи

— Дима: продолжает работать. Ему подняли зарплату «за кризисное управление».

— Итого прямых потерь: ~7 400 000 ₽

— Итого потерь с учётом ушедших клиентов: считайте сами

Для справки: нормальная защита стоила бы ~50 000 ₽/мес.

Это 148 месяцев защиты. Или 12 лет.

━━━━━━━━━━

Серия 8 — в четверг.
Эпилог: что было бы, если Коля не нашёлся.

1 Серия
2 Серия
3 Серия
4 Серия
5 Серия
6 Серия

Про защиту МСП на Время Цифры

Всем привет, приходите на Время Цифры, там на панельной сессии «Безопасность как ценность бизнеса» я кратко расскажу свой доклад «Из ИБ-бюджета только кот: как МСБ строить защиту в 2026 году».

Поговорим о том, как вообще строить защиту без бюджета или с минимальными бюджетами. Ведь сейчас любому бизнесу это крайне актуально!

Когда: 27.05 (среда)
Где: Москва, Центр событий РБК

Ждали?)

ООО «ТРИ БОГАТЫРЯ» — ЧАСТЬ 8: ДРУГАЯ ИСТОРИЯ
Серия 8 из 8.


«Три Богатыря» нашли Колю. По счастливой случайности. Потому что Михаил Борисович позвонил школьному другу в нужный момент.

Но большинству не везёт так.

Вот другая версия этой истории.

Коля не находится. Мастер с Авито берёт деньги и пропадает. Большая компания присылает КП на 4,6 миллиона. Михаил Борисович не может столько потратить.

Они восстанавливаются сами. Медленно. Из обрывков. Нанимают фрилансера, который «поднимает» систему. Закрывают ли дыру — никто не знает. Дима говорит, что закрыл. Михаил Борисович верит.

А Антон в это время дозванивается до клиентов.

Неделя третья. Большинство уже не берут трубку — нашли других поставщиков, перестраивать логистику обратно дорого и незачем. «Премиумбетон» прислал официальное письмо о прекращении сотрудничества. Не звонок, не мессенджер — письмо. На бланке. С подписью директора.

Антон распечатал его и положил на стол Михаилу Борисовичу.

Михаил Борисович прочитал. Убрал в ящик. Ничего не сказал.

Антон вернулся к себе. Открыл таблицу с планом продаж на год. Долго смотрел. Закрыл.

На четвёртой неделе Антон написал заявление на увольнение.

Не потому что плохой сотрудник. А потому что продавать нечего — половина клиентской базы ушла, кредитная линия закрыта, новых контрактов не подписать без нормальной инфраструктуры. Антон это понял раньше Михаила Борисовича.

Через 6 недель — повторное шифрование. Дыру так и не закрыли.

На этот раз в офисе почти никого нет. Антона нет. Двух менеджеров нет. Людмила Семёновна сидит одна и смотрит на знакомый чёрный экран.

«Снова», — говорит она себе тихо.

На этот раз денег на восстановление уже нет. Один из трёх учредителей требует вернуть вложения.

Через 4 месяца — ликвидация.

Не потому что взломали. А потому что не было никого рядом в нужный момент. И потому что Антон ушёл первым — он просто раньше всех понял, куда это идёт.

Дима, кстати, в этой версии тоже нашёл новую работу. Айтишником. В другой компании.

————

Это была история об одной компании. Но это история тысяч компаний каждый год.

━━━━━━━━━━

Две версии одной истории. Счёт:

Версия А (нашли Колю):
Потери: ~7 400 000 ₽. Бизнес выжил.

Версия Б (не нашли):
Потери: ~15 000 000+ ₽. Ликвидация.

Разница между версиями: один звонок однокласснику.

Или один сервис мониторинга, который нашёл бы дыру за три месяца до взлома.

━━━━━━━━━━
Завтра — важный пост: что делать в первые 2 часа, если вас взломали.
Это не очевидно. И это реально спасает.

Начать с 1 серии.