Обращали внимание, что большинство зарубежных компаний, когда у них происходит инцидент, винят во всех грехах внешние причины, но не внутренние? Как думаете, почему так?
Вопрос, вынесенный в заголовок, пришел ко мне в голову на днях, после одного инцидента у российской ИБ-компании. И, в целом, ответ-то будет одинаково неприятным. Но все-таки, для ИБ-компании это два разных типа репутационной катастрофы и версия с инсайдером обычно выглядит хуже компрометации со стороны APT.
Внешний взлом прежде всего ставит под сомнение техническую компетентность компании. Возникает очевидный вопрос: «Вы продаете решения по ИБ и помогаете другим бороться с хакерами, но не смогли защитить себя?» Это классический «сапожник без сапог». Однако здесь есть вполне рабочая линия защиты: взламывают всех, абсолютной безопасности не существует; важно, как быстро обнаружили, локализовали, восстановились и насколько ограничили последствия.
«Сапожник без сапог» – вообще не всегда работает в ИБ и не только в ней. При бесконечном числе уязвимостей и кибератак, при большом масштабе компании, защититься от всего нельзя. Нужно приоритизировать, оценивать бизнес-последствия и вот это вот все (да, поэтому концепция недопустимых событий» и возникла).
Инсайдерский сценарий бьет уже не столько по технологиям (Zero Day, цепочка поставок и т.п.), сколько по зрелости самой системы управления безопасностью в ИБ-компании. И вот обычно тут всплывает довольно-таки интересная цепочка, например, как в упомянутом выше кейсе:
разработчик на испытательном сроке → доступ к исходникам → секрет в истории Git → токен бота → чтение корпоративного чата почти два месяца → сотрудники пересылают туда клиентские отчеты в обход регламента → часть этих материалов оказывается снаружи.
Если эта версия соответствует действительности, она не доказывает, что ИБ-компания не умеет защищаться от хакеров, но заставляет задать целый набор иных вопросов к Secure SDLC, управлению секретами, IAM, принципу минимальных привилегий, offboarding сотрудников, контролю корпоративных коммуникаций, DLP/контролю данных и обнаружению аномального доступа.
Про offboarding в контексте ИБ подробно писал в Telegram-канале.
Причем меня здесь больше всего заинтересовала не упомянутая в соцсетях кража исходников (в них еще разобраться надо, хотя с ИИ сейчас это делать стало легче), а токен в истории репозитория. Вендор пишет, что доступ через него существовал с 1 июля по 28 августа – почти два месяца. Возникает неудобный вопрос: если бывший/увольняемый сотрудник мог использовать креды для систематического получения корпоративной переписки, почему это не было обнаружено раньше? И почему секрет вообще продолжал работать после попадания в историю Git?
Есть еще одна любопытная проблема в коммуникации обсуждаемой российской ИБ-компании. Формула «никаких доступов к продакшну… злоумышленник не имеет» психологически успокаивает, но не отвечает на главный вопрос любого заказчика: «Какие мои данные он получил?». Для клиента совершенно неважно, украли его отчет непосредственно из защищенного хранилища или сотрудник сначала выгрузил его оттуда, отправил коллеге в Telegram, а злоумышленник забрал его через скомпрометированный бот. Каналы утечки разные, а последствия для бизнеса одинаковые.
Если у меня не работает Интернет, то какая мне разница, это у провайдера проблемы с оборудованием, в районе вырубили электричество или РКН в очередной раз накосячил на ТСПУ, – результат-то для меня один.
Можно, конечно, вообще не ставить вопрос как «что хуже – внешний или внутренний нарушитель?». Для профессиональной ИБ-компании гораздо интереснее другая формулировка: «Что страшнее для ИБ-компании: когда ломают ее технологии/средства защиты или когда ломается ее модель доверия?». И я бы сказал, что второе потенциально хуже. Внешний взлом можно объяснить сильным противником, zero-day, сложной цепочкой атаки или косяками на стороне поставщиков или партнеров (многие так и делают – «не мы виноваты, все подрядчики»). Инсайдерский инцидент, кстати, тоже невозможно полностью исключить. Но когда одновременно проявляются чрезмерный доступ, секреты в коде, обход правил сотрудниками, недостаточный контроль каналов передачи данных и длительный незамеченный доступ, возникает уже вопрос не об одной дыре или векторе. Возникает вопрос о том, способна ли компания сама делать то, что она «продает» заказчикам.
18 лет назад я написал заметку «О сапожнике без сапог» о том, что российские ИБ-интеграторы и вендоры, которые активно продвигали тему выполнения ФЗ-152, сами этот закон не выполняют и поэтому они, мягко говоря, звиздят, рассказывая о том, какой экспертизой они обладают (раз они сами у себя даже это не смогли реализовать). И в комментариях разверзся ад. Мне даже судом за клевету угрожали… Аналогичная реакция была на заметку «Как выбрать консультанта по ПДн?«
В свежем Verizon DBIR 2026 внутренние субъекты фигурируют лишь в 12% подтвержденных утечек/компрометаций данных. Причем «внутренний» у Verizon – это не только злонамеренный инсайдер, туда входят и обычные ошибки сотрудников. Следовательно, доля именно внутреннего нарушителя с плохими мыслями еще меньше 12%. И данные ENISA дают еще одно хорошее подтверждение. В Threat Landscape 2025 они исследовали 4875 инцидентов. Картина там вообще практически целиком определяется внешними субъектами: почти 80% наблюдавшихся инцидентов были идеологически мотивированными, преимущественно хактивистскими DDoS; отдельно присутствуют киберпреступники и прогосударственные хакеры.
Кстати, к разговору о методике оценки угроз ФСТЭК и делении нарушителя на внешнего и внутреннего. Когда внешний злоумышленник использовал креды сотрудника, фишинг, украденный токен и т.д. – это расценивать как внутреннюю или внешнюю атаку?
Но в PR-коммуникации история про инсайдера имеет для компании некоторые привлекательные свойства. Ведь «нас взломали» означает, что наша система защиты не выдержала нападения. А «нас предал уволенный сотрудник, который затем пытался нас шантажировать» позволяет построить совершенно другой нарратив:
система не была взломана → злоумышленник имел легитимный доступ → нарушил закон и корпоративные правила → украл то, к чему имел доступ → попытался шантажировать → мы отказались платить → обратились в правоохранительные органы.
Компания превращается из плохо защищенной организации в жертву преступления собственного сотрудника. Правда, в кейсе выше ситуация не такая. Если это был просто джун на испытательном, это одно. Но если он обнаружил в истории Git креды и после этого использовал их для получения доступа к информации, к которой прав у него не было, ситуация становится гораздо интереснее. Физически человек – сотрудник, но техника компрометации уже очень напоминает обычную атаку: утечка секрета → злонамеренное использование кредов → неавторизованный доступ → сбор и утечка информации.
Статистически версия «нас атаковали внешние хакеры» гораздо банальнее и поэтому популярнее версии «это сделал злонамеренный инсайдер». Но репутационно для ИБ-компании версия про инсайдера может звучать привлекательнее, потому что позволяет отделить преступное поведение конкретного человека от качества собственной защиты.
Только в обсуждаемом случае эта, вроде как выгодная, линия защиты одновременно создает новые вопросы: почему секрет оказался в истории репозитория, почему он оставался валидным, какие права давал, регистрировалось ли его использование и почему предполагаемый несанкционированный доступ продолжался столь долго?
Однако, какой бы причина не была, вырулить из нее можно грамотно выстроенным и продуманным, а не спонтанным PR. Но это уже другая история…
