«Расходы на ИБ ежегодно растут, т.к. все становится дороже», — ИТ-директор «Лиги Ставок» в интервью SecPost

В апреле SecPost сообщал, что DDoS-атаки на букмекерские конторы из-за Олимпиады и хоккея увеличились в 1,5 раза. Как вы это ощущали, как готовились к атакам и чем обернулось?

— Год к году мы не увидели увеличения количества атак, однако они стали более «качественными» и целенаправленными, мощность атак на нашу инфраструктуру в последние года 2-3 увеличилась на 15%, в среднем до 20 Тб в секунду. Хакеры начали целенаправленно искать и атаковать букмекерские конторы в уязвимости – последний такой прецедент на нашу инфраструктуру произошел перед финалом Лиги Чемпионов (чемпионат по футболу, — прим. SecPost). Злоумышленники обнаружили у нас уязвимость, связанную с хранением статистики на сайте. Во время проведения матча на нас была совершена массированная DDoS-атака, из-за чего на 20 минут были недоступны «линии» (ставки во время матча, — прим. SecPost), авторизация на сайте и ввод и вывод денежных средств. Были большие денежные и репутационные потери, сама уязвимость после инцидента была устранена.

Рынок букмекерских контор достаточно конкурентен. Есть ли вероятность, что DDoS-атаки заказываются конкурентами, существует ли такая практика?

— Мы ни к кому не приходили и никому подобного не предлагали, поэтому я могу строить только догадки. Кроме того, что мы конкурируем с «белыми» букмекерами, а есть еще большой «черный» (нелегальный) букмекерский рынок. Какими рыночными правилами действуют эти конторы, никто не знает, поэтому можно предположить, что заказы на DDoS-атаку легальных букмекеров со стороны «черных» происходят. Владельцы этих компаний вполне могут задействовать все возможные инструменты, чтобы переориентировать трафик с легальных букмекеров на себя.

Как вы отработали ЧМ по футболу 2026? Много ли было атак?

— Атаки на нашу инфраструктуру происходят постоянно, в том числе и во время Чемпионата Мира по футболу. ИТ и ИБ команда «Лиги Ставок» отработала безупречно, у нас было большое количество подготовительной работы к чемпионату, как в инфраструктуре, так и на стороне информационной безопасности. Мы сфокусировались на стабильной работе сервисов, и за время проведения ЧМ не было ни одного простоя.

Хакеры в основном работают в неудобное для сотрудников время: в выходные, ночное время и т.п. Чемпионат Мира проводился для РФ в неудобное время из-за разницы часовых поясов. Сложнее ли было защищать сервисы?

— Сотрудники, ответственные за информационную безопасность, дежурили 24 на 7, помимо этого у нас есть специальные сотрудники 3 и 4 линии поддержки, которые подключались по мере необходимости. Сбой в работе системы сначала мы видим на мониторах в офисе, после этого дежурные специалисты поднимают поддержку, та в свою очередь пытается исправить ситуацию. По большей степени проблемы возникали не из-за DDoS-атак, а из-за внутренних работ поставщиков, например дата-центров.

Во время Чемпионата Мира, Олимпиады, Лиги Чемпионов и т.п. активность пользователей увеличивается. Происходит ли увеличение бюджета во время таких соревнований?

— Бюджетирование информационной безопасности — это как инвестирование в страхование жизни. Человека, когда он молодой, не беспокоят колени, спина, руки, он чувствует себя хорошо, занимается спортом. Но в случае, если с ним что-то произойдет, он будет оплачивать лечение за свой счет. А если бы была страховка, он бы мог компенсировать лечение. Аналогично работает и в информационной безопасности: это всегда разговор бизнеса с ИТ и ИБ. Нельзя просто так взять и в канун какого-либо матча или чемпионата нарастить ИБ бюджет, так как его согласование происходит задолго до начала соревнований, это кропотливый финансовый труд.

Бюджет формируется на год вперед. В случае если наши аналитики видят какие-то новые существенные риски, этот вопрос обсуждается с руководством компании. Далее идет оценка рисков: если их страховка обойдется дешевле возможного взлома, тогда логичнее организовать эту страховку. Если же наоборот, страховка рисков обойдется дороже, тогда руководство компании может принять решение выбрать более финансово выгодную сторону. При этом, даже в случае принятия риска, ИТ и ИБ команда всегда продумывает план «Б» в случае взлома или попыток атаковать инфраструктуру.

Если говорить о бюджетировании, то расходы на информационную безопасность у нас ежегодно растут на 5-6%, в основном из-за того, что все становится дороже. Этой суммы достаточно, чтобы поддерживать имеющийся ИБ-контур, но не для того, чтобы заявить, что мы «заткнули» все дыры. Бюджетирование и ИБ-стратегия — это баланс между рисками и защитой. Можно сильно увлечься, вложиться в ИБ, перекрыть все уязвимости и точки входа, но это будет очень дорого, что невозможно будет обосновать. То же самое и в другую сторону — можно минимизировать расходы, но такой подход будет работать до первого злоумышленника.

«Лига Ставок», как и другие букмекерские компании, хранит у себя персональные данные клиентов. Каким образом вы их защищаете?

— Как и для других секторов бизнеса, кто хранит персональные данные, у нас есть требования по их защите со стороны регулятора. Все данные хранятся в РФ, защита обеспечивается по одобренным регламентам, доступ к персональным данным есть только у ограниченного круга лиц, либо эти данные могут быть предоставлены по требованию органам власти. Мы работаем с дата-центрами, которые имеют соответствующую сертификацию защищенности, например, Selectel.

Были ли за последние несколько лет случаи попыток входа в инфраструктуру со стороны хакеров? Как именно вы решали инцидент?

— Последняя попытка хакерского проникновения произошла три года назад. Злоумышленник пытался войти в контур «Лиги Ставок» через наш ритейл. Такие попытки есть наверняка и сейчас, однако опытный хакер почти не оставляет следы: поэтому мы просто можем не знать о взломе и краже данных. Самый популярный способ атаковать нашу инфраструктуру — это DDoS-атака. Злоумышленники нацелены в первую очередь обмануть систему антибот. Второй профиль атаки — это «игровой фрод». Через купленные аккаунты в «Лиге Ставок» злоумышленники пытаются обойти правила площадки: целью является обман букмекера и обогащения за счет мошеннических схем в игре. Третий профиль — ИИ-атаки, которые с каждым годом растут.

Были ли случаи, когда ИБ-экономия приводила к рискам для клиентов?

— Периодически приходится сталкиваться с подобными ситуациями. Но, как я уже говорил ранее, ИБ и ИТ-команда старается «подложить» соломку даже в случае, если руководство не одобрило то или иное вложение.

Используете ли вы отечественные ИБ-продукты и чего в них не хватает?

— Вся инфраструктура «Лиги Ставок» работает на российских ИБ-решениях. Так, например, мы сотрудничаем с российским провайдером Curator, они нам предоставляют антибот систему, WAF и анти-DDoS. Также в структуре «Лиги Ставок» мы используем инструменты DevSecOps, системы мониторинга, логирования и др. Все наши сотрудники работают через защищенные туннели Fortinet. Самый защищенный контур — это сервера и корневой доступ: доступ к этим системам жестко контролируется, поскольку мы понимаем угрозу инсайдерской информации и утечки клиентских данных.

Когда мы только начали миграцию на отечественные ИБ-решения в 2022 году, мы сталкивались с рядом проблем и недоработок со стороны вендоров. Но сейчас каких-то серьезных отличий от иностранных продуктов мы не видим. Само импортозамещение совокупно обошлось в несколько десятков миллионов, однако российские продукты дешевле.

Мы точно понимаем, что работать дальше с иностранными вендорами нельзя — рано или поздно нас либо заблокируют, либо отключат возможность оплаты или отменят обновления для нашей страны, что создает дополнительные риски.

Какие ИБ-риски вы для себя видите в перспективе ближайших нескольких лет, как будете к ним готовиться?

— Искусственный интеллект пока видится самым активно развивающимся не только в защите, но и в атаке. Каким именно образом и в какой области хакеры будут в будущем его использовать — не понятно. Сами злоумышленники становятся умнее — работают более точечно, учатся работать с букмекерской отраслью, бьют в прайм-тайм и в уязвимость, маскируясь под реальных игроков. Последнее, что бы я упомянул, — это внутренние риски: с развитием ИИ и других технологий все забывают, что самая уязвимая ячейка цепочки — это человек. Поэтому и мы все больше будем внедрять автоматизацию процессов, чтобы нивелировать потенциальные риски со стороны человека.