«Атакуют не технологию»: число атак на облачную инфраструктуру выросло на 30%

Число атак на облака и гибридные инфраструктуры растет — за прошлый год число атак на такие структуры увеличилось на 30% — это быстрее, чем в среднем по миру. Российский рынок публичных облаков превысил 230 млрд рублей в 2025 году, а в ближайшие 5 лет вырастет еще в 3,7 раза. Это следует из отчета Cloud Advisor.

Директор центра кибербезопасности Cloud.ru Сергей Волков ранее заявлял, что облака становятся фундаментом ИТ-инфраструктуры, в них размещаются стартапы и компании нового формата, однако некоторые члены рынка не готовы к ним, поскольку боятся несоответствия требованиям контролирующих органов. Редакция писала об этом в интервью с Волковым.

В Cloud Advisor проанализировали обезличенные данные более чем 40 000 виртуальных машин в Cloud.ru и Yandex Cloud, которые принадлежат десяткам организаций. Из полученных данных выяснилось, что критические уязвимости есть у 88% компаний, на публично доступных машинах которых обнаружились уязвимости с уровнем опасности CVSS выше 9,0 (максимальный балл — 10).

Одна из причин таких показателей — агентские и сетевые сканеры попросту не успевают за темпом изменений облачной инфраструктуры, из-за чего и появляются «слепые зоны».

Также выяснилось, что в каждой четвертой организации обнаружены признаки состоявшегося проникновения, а у 24% компаний в инфраструктуре замечено присутствие вредоносного ПО. Исследователи подчеркнули, что такие цифры говорят не о потенциальном риске, а о том, что злоумышленники уже могли получить доступ к данным организаций.

В то же время у 39% организаций секреты в виде ключей, токенов и паролей находятся в открытом виде на публично доступных виртуальных машинах. В качестве примера были приведены истории bash history и конфигурационные файлы. Исследователи указали, что в случае компрометации таких машин злоумышленник получает возможность использовать найденные секреты для бокового перемещения (lateral movement) по инфраструктуре.

Lateral Movement — метод, который используют злоумышленники для постепенного продвижения внутри скомпрометированной компьютерной сети от начальной точки взлома к другим системам и ценным данным.

При этом почти половина пользовательских учетных записей не защищена — у 48% записей нет многофакторной аутентификации (MFA). Также было замечено, что у каждой второй организации (50%) есть привилегированная учетная запись без второго фактора. 24% пользовательских учетных записей не использовались более 90 дней; их удаление, по мнению исследователей, должно сократить эту часть поверхности атаки на четверть.

Большая часть (55%) виртуальных машин, как считает Cloud Advisor, работает слабо и загружена менее чем на 10%. Исследователи видят в таких цифрах потенциал для сокращения расходов, поскольку оптимизация неиспользуемых и недостаточно загруженных ресурсов, по оценке отчета, позволит снизить затраты на облако до 30%.

Мнение эксперта

Директор по информационной безопасности MWS Cloud Виктор Бобыльков отметил, что рост числа атак на 30% указывает не на повышение мастерства атакующих, а на рост площади. Эксперт уточнил, что облако дало бизнесу возможность создавать инфраструктуру за минуты, а процессы информационной безопасности остались квартальными: инвентаризация раз в квартал, переосмотр раз в год.

«Разрыв между скоростью создания и скоростью контроля — новая реальность, в которой необходимо научиться жить. Атакуют не технологию. Атакуют скорость, с которой в нее переехали», — объяснил собеседник редакции.

По мнению Бобылькова, секреты в открытом виде живут даже в зрелых командах, так как это дешевый способ заставить что-то заработать, в то время как стоимость уборки секрета несет другая команда в другом квартале. Эксперт выделил — 39% составили секреты, найденные на виртуальных машинах, а не в репозиториях. «Ни один из этих файлов не проходит через код-ревью», — объяснил собеседник, отметив, что зрелость команды измеряется не наличием секрет-менеджера, а количеством секретов, лежащих вне него.

«Индустрия последние пять лет училась искать ключи в Git — pre-commit хуки, сканирование pull request’ов, блокировки в CI. Этот путь закрыт неплохо», — указал Бобыльков. Директор по ИБ MWS Cloud подчеркнул: секреты находятся в env. рядом с приложением, в конфигах в домашней директории, в cloud-init и user-data, в состоянии Terraform, в бэкапе, который сделали перед миграцией.

Руководитель направления развития продуктов кибербезопасности Cloud.ru Максим Долгинин в комментарии редакции указал, что злоумышленники совершают набеги на клиентские публичные ресурсы: на сайты, личные кабинеты, API и «белые» IP.

«Инфраструктуру провайдера тоже пытаются положить объемным DDoS на канальную емкость, но там работает базовая защита по умолчанию, и это скорее фон, чем целевая атака», — отметил Долгинин. При этом собеседник SecPost объяснил: конкретный сайт заказчика с известным адресом является более понятной целью, поскольку у злоумышленников есть конкретная мотивация — положить портал, осуществить вымогательство либо же навредить для снижения конкуренции.

Долгинин выделил, что среди злоумышленников основной тренд — это не атака на компанию, а поиск и эксплуатация известных уязвимостей и ошибок конфигураций. «После появления виртуальной машины в сети с белым IP-адресом атака на нее начинается в среднем через 3 минуты», — отметил эксперт.

«Причем, если раньше атаковали в основном крупные компании, то сейчас я вижу тенденцию в атаках на малый и средний бизнес. Эти сегменты исторически уделяли минимум внимания кибербезопасности, что сейчас выливается в легкую добычу для злоумышленников», — указал Долгинин.

Типичный, по мнению собеседника, вектор атаки — получить доступ в периметр через уязвимый сервис в инфраструктуре клиента, который выставлен в интернет, а затем через небезопасно построенную сеть получить доступ к учетным записям пользователей. Далее, как заявил эксперт, злоумышленники закрепляются в инфраструктуре и шифруют ее вместе с бэкапами, после чего утром на принтерах печатаются требования о выкупе.

«Самое лучшее, что можно сделать, чтобы защититься от атак, — это быть проактивным: анализировать свой внешний периметр, обнаруживать и своевременно устранять уязвимости, проводить атаки на свою инфраструктуру самостоятельно», — порекомендовал Долгинин. При этом собеседник подчеркнул: нельзя отказываться от базового минимума — гранулярных прав для учетных записей, двухфакторной сегментации облачной инфраструктуры, а также защиты периметра от DDoS-атак как на канальном, так и прикладном уровнях.