«Попытка конкурентной борьбы»: Metascan раскрыла хронологию утечки через токен Telegram-бота
Российский ИБ-вендор Metascan раскрыл детали утечки, произошедшей 5 сентября: злоумышленник использовал скомпрометированный токен Telegram-бота с правами администратора в корпоративном чате и добавил туда фейковый аккаунт, имитирующий сотрудника HR. В компании признают, что упустили доступ уволенного разработчика к тестовым виртуальным машинам с токеном бота, и заявляют, что вина за инцидент полностью лежит на Metascan. Утечку там рассматривают как «попытку конкурентной борьбы с помощью PR-методов» и уже запустили Bug Bounty-программу.
Российский ИБ-вендор Metascan опубликовал результаты анализа утечки, произошедшей на прошлой неделе. Как заявили в компании, утечка была «продолжением истории», связанной с предыдущим инцидентом, в котором также фигурировал уволенный в прошлом году разработчик, устроившийся на работу в конкурентную компанию. В Metascan рассматривают инцидент как «попытку конкурентной борьбы с помощью PR-методов», следует из заявления компании в Telegram-канале.
Напомним, 9 сентября SecPost писал, что сотрудник Metascan на испытательном сроке опубликовал в открытый доступ исходные коды и рабочие чаты компании. Вендор заявил, что утечка затронула лишь два отчета об уязвимостях в клиентских системах, проблемы в которых уже были устранены ранее.
«Мы изначально обратили внимание, что по факту слив состоит из двух наборов данных: скриншоты из прошлого инцидента и документы, выгруженные из корпоративного чата», — следует из заявления компании.
Инцидент начался с того, что злоумышленник использовал скомпрометированный токен Telegram-бота, имеющего права администратора в корпоративном чате, чтобы добавить в чат аккаунт, имитирующий сотрудника HR, — это произошло в ночь на 5 сентября. Фейковый аккаунт имитировал аватарку и описание работника HR, но один символ в нике отличался.
В 02:02 от имени фейкового аккаунта злоумышленник запустил экспорт истории чата с выгрузкой файлов и ссылок. В 02:04 администратор чата удалил аккаунт злоумышленника из чата, затем были оповещены руководители направлений. Уже в 02:10 был собран ВКС по анализу инцидента.
«Фактически время пребывания злоумышленника в корпоративном чате составило порядка двух минут. При исключении аккаунта из группы запущенный экспорт файлов прерывается. В связи с этим злоумышленник смог получить минимальный объем данных, которые, к сожалению, включали 2 отчёта от 07.2026 о проведении пилотных проектов», — резюмируют в Metascan.
Как инцидент стал возможным?
В Metascan обратили внимание, что при увольнении злонамеренного сотрудника были отозваны все токены, к которым он имел доступ по работе. Также проверили истории коммитов репозиториев, в которых были найдены и отозваны конфиденциальные токены. Но в компании признают, что упустили из внимания, что у сотрудника был доступ к дополнительным виртуальным машинам, на которых тестировали функциональность бота. Технически злоумышленник имел доступ к токену бота на протяжении всего времени.
«Данный бот не имел доступа к переписке в чатах клиентов, поскольку настройки приватности чатов разрешают боту видеть только обращенные к нему сообщения. К сожалению, в нашем внутреннем чате бот имел права администратора, что снимало данное ограничение», — заявляют в компании.
Бот был постоянно запущен на стороне компании, при попытке параллельного подключения возникала ошибка. Так образовывалась гонка между запросами getUpdates на стороне Telegram API. «По реальным замерам, запуск такого „снифера“ приводит к получению 1 из 10 сообщений, — пишут в Metascan. — Бот всегда посылает getUpdates в цикле, даже если вы не обращаетесь к нему».
Первую такую ошибку в логе своего бота Metascan зафиксировала не ранее 15.08.2026. В компании полагают, что злоумышленник в попытке получения информации для «слива» столкнулся с проблемой получения данных через конфликт с getUpdates и перешел к плану с добавлением фейкового пользователя.
В компании подчеркивают, что вина за инцидент полностью лежит на Metascan. Инцидент выявил ряд проблем на её стороне, теперь компания ведет большой комплекс инженерных и технических мер по недопущению инцидентов.
«Мы рассматриваем произошедшее как попытку конкурентной борьбы с помощью PR-методов. Мы считаем принципиально недопустимым такое поведение, особенно для компаний, работающих в сфере информационной безопасности. Мы предпочитаем конкурировать качеством инженерных решений, сервиса и реальными результатами на проектах», — также добавили в компании.
Metascan добавила, что в случае предыдущего инцидента, в октябре 2025 года, когда, как писал SecPost, недобросовестный сотрудник попытался внедрить бэкдор в исходный код приложения, компания не преследовала участников инцидента юридически. «Больше мы эту ошибку не повторим», — отмечают в компании.
Также Metascan заявила о запуске Bug Bounty-программы — пока идут переговоры с площадками. Но желающих поучаствовать уже приглашают присылать отчеты на bb@metascan.ru.
Читайте также
