DDoS-атака или Роскомнадзор? Что говорят эксперты о проблемах «Орион телеком»
Связано ли это с отключениями в День России?
Специалист по сетям, бывший сотрудник крупных интернет-провайдеров Иван (имя изменено по просьбе собеседника для соблюдения рабочей этики, — прим.ред.) считает, что атака на «Орион» не связана с отключением мобильного интернета в ряде городов России 12 июня.
«Отключение мобильного интернета в День России было довольно странным явлением. С одной стороны, все понятно: мобильную связь ограничивают в целях защиты от атак беспилотников. С другой — отключения были в регионах, которые, на мой непрофессиональный взгляд, защищены от атак чисто географически: те же Новосибирская, Иркутская, Омская области, Ханты-Мансийский автономный округ. Но это ладно. Главным маркером согласованности этого мероприятия было то, что никто не паниковал и не заявлял о каких-либо атаках. Операторы просто разослали всем СМС-сообщения с предупреждениями и извинениями. Вскоре связь восстановилась».
По мнению Ивана, ситуация «Ориона» не вписывается в этот кейс. Провайдер сразу заявил, что подвергся DDoS-атаке, а позже и украинская хакерская группировка BO Team взяла на себя ответственность за эту атаку.
Все же DDoS?
«Орион телеком» в своем заявлении отрицает слова хакеров об утечке персональных данных и потере оборудования. По словам провайдера, это просто длящаяся DDoS-атака.
«Провайдер настаивает на том, что подвергся именно DDoS-атаке и только ей. Возможно ли это? Вполне, — считает Иван. — Однако, верится в это с трудом. Сама по себе распределенная denial-of-service атака довольно простой (хоть и эффективный) инструмент, которому квалифицированные специалисты настолько же легко могут противостоять. Я сомневаюсь, что у такого крупного провайдера не хватает компетенций, чтобы отразить атаку, пусть даже она ведется разными методами, в течение максимум суток. Атака может идти и неделю, и две, и три, да хоть сколько угодно, но ее эффект можно нивелировать до минимальных неудобств для абонентов. Такой серьезный сбой после банальной DDoS-атаки мог случиться только в одном случае — если провайдер вообще не был готов к атаке и никогда даже не готовился, что маловероятно».
Скорее всего, считает Иван, непосредственно DDoS-атака, могла быть лишь отвлекающим фактором для серьезной хакерской атаки на инфраструктуру «Орион телекома»:
«Сама по себе DDoS-атака не позволяет злоумышленникам получить какие-то данные объекта атаки. Но масштабная атака работает как напарник карманника в метро — пока существенная часть сил бросается на ее отражение, злоумышленники могут запустить в систему вредоносное ПО, ведь все запросы система безопасности уже не в состоянии отфильтровать и проконтролировать. Если же хакеры получают доступ к серверной инфраструктуре жертвы, то ситуация из критической становится просто катастрофической».
Иван отмечает, что конечной целью атаки может быть вовсе не «Орион», а его абоненты из коммерческого сектора:
«Сейчас многие компании, от мелких до крупных, начинают переносить свою рабочую инфраструктуру в облако, что, на первый взгляд, довольно удобно. Но удобно это ровно до тех пор, пока таким компаниям не обрубают интернет-соединение, что приводит к недоступности облака и обрушению бизнес-процессов. Некоторые готовятся к этому заранее и разрабатывают, скажем так, failsafe-процедуры на такие случаи. Но многие могут просто проигнорировать кажущиеся на первый взгляд излишними меры предосторожности, и понадеяться на „авось“. Вот „авось“ и случился».
Уничтожение серверов?
Эксперт в IT-безопасности Александр (имя изменено по просьбе собеседника для соблюдения рабочей этики, — прим.ред.) и рассказал «ПМ», что целиком ситуацию могут не понимать даже в самом «Орион телекоме», так что сейчас можно только спекулировать на тему прошедшей атаки.
«Это выглядит как классический взлом с выводом из строя инфраструктуры и ядра сети. Хотя, конечно, нужно сразу оговориться, что мне, как внешнему наблюдателю, некоторые моменты могут быть недоступны, в том плане, что точно только инсайдер может сообщить детали произошедшего».
По мнению Александра, хакеры могли частично уничтожить как сетевую, так и клиентскую инфраструктуру «Ориона» с целью усложнить работу провайдера:
«Судя по сообщениям хакерской группировки, они похитили все данные которые нужны для того чтобы сеть работала, и попутно уничтожили кучу коммутаторов и часть сетевой инфраструктуры, возможно даже на уровня ядра. И вот сейчас мы наблюдаем, как постепенно восстанавливаются узловые коммутаторы (это более массовые в производстве „железяки“, в отличии от ядра сети). Базу данных, грубо говоря, они восстановили из бэкапов, для того чтобы хоть что то заработало».
Скорее всего, предполагает специалист, быстро оправиться от атаки не вышло из-за текущей геополитической ситуации:
«Обычно вендоры на сетях наших провайдеров коммерческих стоят не импортозамещенные, поскольку это не „Ростелеком“ или какой-нибудь федеральный провайдер, поэтому смысла менять работающее оборудование на импортозамещенное нет. А значит, у „Ориона“ может не быть технической поддержки со стороны вендора, который просто ушел из России и оборвал всю поддержку. Вероятнее всего, на этой неделе связь, все же, восстановится».
Александр также считает, что атака на «Орион телеком» готовилась не один месяц:
«Против лома нет приема, допустим, и инфраструктуру сотовых операторов ломают, например „Киевстар“ в 2023 году. Там это происходило при участии работников, здесь работники, думаю, могли использоваться втемную. Обычно такие взломы происходят месяцами: сначала получается доступ к инфраструктуре провайдера, потом происходит „закреп“, то есть устойчивое функционирование бэкдоров без обнаружения ответственными лицами. Ну и далее готовится ряд действий по разгрому, которые начинаются одновременно».
Эксперт не стал предполагать, утекли ли данные абонентов «Ориона» в сеть, только отметил, что «судя по реакции провайдера, вполне могли».
А может, Роскомнадзор?
Экс-директор компании-провайдера Аркадий Накрохин считает, что никакой атаки украинских хакеров на провайдера могло и не быть. По мнению Накрохина, это быть связано с вмешательством Роскомнадзора в работу рунета:
«Хакерская атака — это чаще всего DDoS. От него уже давно придуманы и реализованы инструменты (например, Анти-фрод). Как правило, восстановление работоспособности занимает не более суток (чаще — несколько часов). Если же эта ситуация связана с РКН — то там вообще мало что зависит от провайдера. Я уже давно не в теме, но насколько до меня доходили слухи, РКН (через систему СОРМ-2/3 и т. п.) может довольно серьёзно воздействовать на маршрутизацию. А учитывая, что в европейской части РФ интернет на прошлой неделе реально блокировали, я бы не исключал, что могли „зацепить“ и какие-то ресурсы „Ориона“».
Аркадий Накрохин добавил, что в последнее время пользователи сталкиваются с проблемами с доступом к сайтам доменной зоны .com, даже к «самым безобидным», вроде сайта компании Disney.
«Я на них на прошлой неделе не мог попасть. Плюс Anydesk (ПО для удаленного доступа к рабочему столу, — прим.ред.) практически не работал. Из этого я сделал предположение, что в РФ строится аналог „Великого китайского файрвола“. И на первом этапе „строители“ что-то не то „построили.
Подобную версию поддерживает и IT-безопасник Александр:
«Думаю, интернет в России „сломают“ еще до очередной атаки на провайдера. Например, сейчас заблокировали доступ Cloudflare (американская компания, предоставляющая услуги CDN, в том числе защиту от DDoS-атак, — прим.ред.) и перестали сайты грузиться, которые за ним находятся. Интернет жутко тупит, без VPN теперь вообще почти ничего не работает. Естественно, никто ничего не объясняет и не будет, но „чебурнет“ на прошлой неделе стал ближе».
Что говорят цифры?
Хакерские атаки на российских и не только интернет-провайдеров — не редкость. Это могут быть происки конкурентов, кибершпионаж или хактивизм, то есть взломы ради донесения определенной гражданской или политической позиции хакеров.
К примеру, с 5 по 10 апреля этого года хакерской атаке подвергся красноярский провайдер «Игра-Сервис», тогда в течение нескольких дней у ряда пользователей медленно грузились страницы в сети, а у некоторых интернет и вовсе не работал. В марте атаке подвергся оператор Lovit, работающий в Москве и Санкт-Петербурге. В мае масштабной атаке подвергся московский провайдер «АСВТ», сотрудничающий с девелоперскими и строительными компаниями.
Специалисты Главного радиочастотного центра Роскомнадзора в мае этого года заявляли, что за один только апрель отразили 941 DDoS-атаку в отношении систем защищаемых субъектов государственного управления, операторов связи, предприятий онлайн-торговли, финансового, топливно-энергетического сектора.
По данным российского поставщика услуг информационной безопасности StormWall, в первом квартале 2025 года число DDoS-атак достигло «беспрецедентного уровня» по всему миру — рост к тому же периоду 2024 года составил 74%. При этом больше всего атак пришлось на телекоммуникационный сектор — 28% от всего DDoS-трафика в мире. За год число атака на телеком-сектор возросло на 48%.