Мошенники используют сбои Yandex Cloud для фишинга

Перебои в работе Yandex Cloud мошенники используют как предлог для кражи учетных данных клиентов платформы. В опубликованных 12 октября рекомендациях компания предупреждает о фишинговых письмах, отправители которых представляются ее сотрудниками и предлагают пользователям срочно решить возникшую из-за сбоя проблему.

Поводы могут быть разными: якобы поврежденные данные, заблокированный аккаунт, компенсация за простой, для получения которой требуется указать платежные реквизиты. Еще один сценарий – предложение срочно перенести ресурсы, открыв вложение из письма.

Яндекс напоминает, что никогда не запрашивает по электронной почте пароли, коды двухфакторной аутентификации, API-ключи, реквизиты банковских карт и удаленный доступ. Компания советует проверять реальный адрес отправителя – он должен принадлежать домену @yandex.cloud – и не доверять ссылке только потому, что она начинается с HTTPS. Безопаснее самостоятельно открыть сайт или консоль платформы.

Насторожить должны и требования подтвердить что-либо в течение короткого срока, например 24 часов, а также вложения с расширениями .exe, .js, .docm и защищенные паролем ZIP-архивы. Сведения о состоянии облачных сервисов Яндекс рекомендует проверять через официальный статус-борд или консоль.

Для пользователей, которые уже ввели свои данные на подозрительном сайте, компания приводит порядок действий: сменить пароль, завершить все активные сессии, проверить правила пересылки почты и сообщить о случившемся в поддержку через консоль.

Сбои Yandex Cloud начались после серии атак БПЛА на дата-центры компании: 8 октября пострадал ЦОД в Сасово Рязанской области, 9 октября – в Калужской области, а 11 октября была полностью остановлена работа площадки во Владимире. Перебои затронули как собственные сервисы Яндекса, так и инфраструктуру его клиентов. Опрошенные SecPost эксперты оценили возможные потери компании в десятки миллионов рублей и предупредили о вероятных претензиях со стороны пострадавших заказчиков.

Последствия атак могут выйти за пределы технических и финансовых проблем. По оценке опрошенных SecPost юристов, поврежденные ЦОДы подпадают под действие президентского указа № 604, предусматривающего возможность передачи объектов критической инфраструктуры во временное государственное управление при невыполнении требований по защите. В то же время экстренный перенос клиентских систем на площадки других провайдеров, как выяснил SecPost, создает дополнительные ИБ-риски: ошибки при переносе настроек сетевой защиты и различия в механизмах безопасности облачных платформ могут привести к утечкам данных и новым сбоям.

Что делать с сервисами безопасности

Яндекс дал рекомендации и по работе с облачными сервисами безопасности на время перебоев.  В частности, доступ к аппаратным модулям HSM в сервисе управления ключами Key Management Service (KMS) сейчас может быть затруднен. Компания советует воздержаться от создания новых HSM-ключей. Для клиентов, которым необходимо выгрузить хранящиеся в облаке секреты, предусмотрена соответствующая процедура в Lockbox. Из Certificate Manager можно скачать цепочку сертификатов и приватный ключ, если сертификат поддерживает экспорт.

Для управления облачными ресурсами через командную строку (CLI) или Terraform Яндекс рекомендует создать один или несколько сервисных аккаунтов, назначить им необходимые права и выпустить авторизованные ключи.

Пользователям Smart Web Security пока лучше отказаться от изменения настроек работающих экземпляров сервиса. По информации Яндекса, они продолжают обеспечивать защиту в полном объеме, однако изменение текущей конфигурации может привести к ее отключению.

Yandex Cloud продолжает работать в ограниченном режиме, сроки полного восстановления сервисов компания пока не называет.