Уволенный инженер выложил исходники и переписку Metascan
Сотрудник Metascan на испытательном сроке после неудавшегося шантажа опубликовал в открытом доступе исходные коды и рабочие чаты. Перехваченный токен Telegram-бота позволил ему собирать файлы, которыми обменивались коллеги, включая отчеты с данными об уязвимостях. Эксперты сообщают, что проукраинская группировка заявила о наличии у нее результатов сканирования клиентов — среди них ВТБ, Сбер, «Ростелеком», «Лукойл». Metascan утверждает, что скриншот со списком компаний — фейк, но признает утечку двух файлов с уже устраненными уязвимостями. Компания работает с правоохранителями и уведомила НКЦКИ.
Сотрудник российского ИБ-вендора Metascan опубликовал рабочие документы компании в открытый доступ после неудавшейся попытки шантажа. Инженер выложил исходники, к которым имел доступ, а также информацию из рабочих чатов — в них ранее публиковалось несколько отчетов. Это следует из заявления компании в Telegram-канале, опубликованного 8 сентября.
Как следует из пояснений Metascan, виновник инцидента — инженер на испытательном сроке, обладавший доступом к части исходного кода. Он пытался шантажировать компанию, угрожая слить исходный код конкурентам или злоумышленникам. Из заявления следует, что в истории коммитов репозитория, к которому имел доступ злоумышленник, находился токен от внутреннего TG-бота, который состоял во внутреннем корпоративном чате. «В момент выявления неправомерного доступа к боту он был деактивирован», — подчеркивают в компании.
В Metascan утверждают, что шантаж не удался, и на выходных сотрудник выложил исходники, к которым имел доступ по работе. Помимо этого, была опубликована информация из рабочих чатов.
«Вы можете видеть по составу опубликованных документов, что большая часть из них — это обычные непубличные рабочие документы, — сказано в заявлении. — Все данные, связанные с отчетами по результатам пилотных или иных проектов, хранятся в защищенном хранилище».
Однако в Metascan отмечают, что в корпоративном чате были опубликованы несколько отчетов, которые передавались в нарушение корпоративных политик.
«Никаких доступов к продакшену, базам данных, пользовательскому интерфейсу или иного взаимодействия с нашей инфраструктурой злоумышленник не имеет. В настоящий момент мы уже работаем с правоохранительными органами для привлечения сотрудника к уголовной ответственности», — сказано в заявлении Metascan.
На инцидент обратил внимание бизнес-консультант по информационной безопасности Positive Technologies Алексей Лукацкий. Как следует из публикации в его Telegram-канале от 00:46 9 сентября, одна из проукраинских хакерских группировок заявила, что располагает чувствительными данными Metascan. Из заявления хакеров следует, что в их руках оказались не только персональные данные и переписка сотрудников, но и исходники продуктов, планы развития, а также результаты сканирования заказчиков. В отчетах сканирования были описаны найденные уязвимости, в том числе критические.
«Среди упоминаемых клиентов — ВТБ, Сбер, Ростелеком, Норникель, Лукойл, Лента, Вайлдберриз, Селектел и т. д.», — написал Лукацкий.
В 10:00 9 сентября Metascan опубликовали еще одно заявление, касающееся технических деталей. Из него следует, что уволившийся разработчик скомпрометировал слепок VM, к которому имел доступ по рабочей необходимости. В нем содержался код, актуальный на 21.10.2025 г., и БД с маскированными данными пользователей до 2024 г.
Перехваченный токен от Telegram-бота использовался в период 01.07.2026 — 28.08.2026, что позволило собрать пересылаемые между сотрудниками файлы. Среди них были два файла, содержащие данные об уязвимостях, которые уже были устранены.
«Это наша ошибка, мы полностью её признаем и работаем с компаниями для обеспечения всех необходимых мер безопасности», — утверждают в компании.
Другие файлы из утечки — публичные документы, которые и так расположены на лендинге, а также маркетинговые файлы, с участием в конференциях, и табличные файлы, не содержащие приватных данных.
«Опубликованный скриншот с названиями некоторых компаний — фейк и попытка раздуть инцидент. По части компаний, находящихся на скриншоте, таких отчётов в принципе не делалось, еще по части они имеют другие внутренние наименования. Ни к каким продуктивным данным, учётным записям, серверам или хранилищам данных доступ скомпрометирован не был», — заверили в компании.
Metascan также заявили, что уже уведомили об инциденте НКЦКИ.
«Мы понимаем, что для части компаний-конкурентов отсутствие технических преимуществ приводит к использованию подобных PR-методов. Мы не разделяем подобные подходы к ведению бизнеса и считаем подобное слабостью и уголовно наказуемой практикой», — подчеркнули в Metascan.
В октябре 2025 года SecPost писал о другом инциденте в Metascan, также связанным с недобросовестным сотрудником. Сообщалось, что была выявлена попытка внедрения бекдора в исходный код приложения разработчиком, находящимся на испытательном сроке. Внедренный код попал в репозиторий, но был выявлен до попадания на продакшн.
SecPost ведет реестр кибератак на российские организации. Только за август 2026 года редакция зафиксировала информацию о шести атаках.
Читайте также
