API-ключ без срока жизни: почему ваша процедура увольнения ничего не значит

В пятницу вечером вы уволили разработчика. Заблокировали учётку в Yandex Cloud. Удалили из организации в VK Cloud. Отчитались перед HR — всё по регламенту. Молодцы.

В понедельник утром объектное хранилище тихо отдаёт терабайт ваших данных. Никакого взлома. Никакого фишинга. Просто у уволенного был API-ключ сервисного аккаунта, созданный полгода назад для автоматического деплоя. Ключ жив. Он никогда не умирает сам по себе. HR об этом не знает. Регламент увольнения соблюден.

Я занимаюсь информационной безопасностью больше двадцати лет. Эту историю слышал в разных вариациях десятки раз. Каждый раз компании удивляются. Потому что на бумаге всё было сделано правильно. А у уволенного сотрудника доступ к авторизованной когда-то ранее сессии в Контур.Толк еще остался.

 Почему даже доверенные сервисы могут стать источником угроз (и как себя защитить)

Что произошло: случай с трояном Buhtrap

Недавно компания СКБ Контур обнаружила масштабную атаку на пользователей популярного сервиса электронного документооборота Диадок. Злоумышленники запустили настоящую "цепную реакцию" заражения.

Важно понимать: сам портал Диадок не был взломан. Проблема оказалась гораздо коварнее.

Как работала "цепная реакция" заражения

Схема напоминала распространение инфекции:

• Этап 1: Злоумышленники взломали несколько аккаунтов клиентов Диадока
• Этап 2: От имени этих компаний начали рассылать зараженные ZIP-архивы с трояном Buhtrap своим деловым партнерам
• Этап 3: Получатели видели знакомое имя отправителя, доверяли файлу и запускали его
• Этап 4: После заражения их компьютеры автоматически начинали рассылать вирус дальше — уже от имени новых жертв
• Этап 5: Так вирус распространялся по цепочке от одной компании к другой, используя реальные деловые связи

Цель атаки: кража денег через системы интернет-банкинга и перехват платежных операций.

Что делает троян Buhtrap