Tez Tour инфрақұрылымына шабуыл: мәселе неге сайтты бұзудан тереңірек болды
2026 жылғы 17 қыркүйекте Tez Tour туроператорының инфрақұрылымына шабуыл жасалғаны белгілі болды. DataSuckers тобы компания серверлеріне кіргенін, көп көлемде дерек ұрлағанын және ақпараттың бір бөлігін жойғанын мәлімдеді.
Tez Tour киберинцидент болғанын растады, бірақ сол сәтте дерек таралуының белгілерін таппағанын хабарлады. Компания өкілдерінің айтуынша, шабуыл шектеліп, кей жүйелер уақытша өшірілген, ал қолданыстағы брондаулар сақталған.
Бұл оқиға ірі компанияның кезекті бұзылуы ретінде ғана назар аудартпайды.
Ол бір веб-сервистегі мәселенің бүкіл IT-инфрақұрылым мәселесіне қаншалықты тез айналатынын көрсетеді.
Бәрі кәдімгі файл жүктеуден басталуы мүмкін
Шабуылдаушы топ жариялаған деректерге сәйкес, бастапқы кіру нүктесі файл жүктеу сервисі болуы мүмкін.
Бір қарағанда бұл әдеттегі функция: пайдаланушы құжат, сурет немесе басқа файл тіркейді, сервер оны қабылдап, сақтайды.
Бірақ дәл осындай функцияларды ерекше мұқият қорғау қажет.
Сервер жүктелетін файлдың мазмұнын жеткілікті тексермесе, шабуылдаушы арнайы дайындалған нысанды жүктеп, өз кодын орындатуға әрекет жасауы мүмкін.
Одан кейін шабуыл инфрақұрылымның ішінде өрбуі мүмкін.
DataSuckers мәлімдеуінше, бастапқы қолжетімділікті алғаннан кейін шабуылдаушылар басқа жүйелерге кіруге көмектескен конфигурация файлдары мен тіркелгі деректерін тапқан.
Негізгі сабақ осы жерден басталады.
Шабуыл басталған жерімен сирек шектеледі.
Бір қолжетімділік ондаған жүйеге жол ашуы мүмкін
Компанияның қазіргі IT-инфрақұрылымы сирек жағдайда ғана бір серверден тұрады.
Әдетте бір-бірімен мыналар байланысқан:
- сайт;
- CRM;
- ERP;
- дерекқорлар;
- төлем сервистері;
- ішкі API;
- брондау жүйелері;
- файл қоймалары;
- әкімші панельдері;
- аналитика сервистері;
- резервтік көшірмелер.
Шабуылдаушы бір компонентке кірген соң, келесі нысанасы сайттың өзімен шектелмейді.
Оның мақсаты — құқықтарын кеңейтіп, әрі қарай өту.
DataSuckers мәлімдемесіне сәйкес, олар Tez Tour инфрақұрылымына шамамен екі апта бойы кіре алған және желі ішіндегі мүмкіндіктерін біртіндеп кеңейткен.
Бұл lateral movement — инфрақұрылым ішінде бір жүйеден екіншісіне өту деп аталады.
Сондықтан сайт қауіпсіздігін бүкіл жүйенің қауіпсіздігінен бөлек қарауға болмайды.
Деректерге не болды?
Шабуылдаушы тарап ауқымды мәлімдемелер жасады.
Топ жүздеген миллион жазбаға қол жеткізгенін мәлімдеді. Олардың арасында брондаулар, тапсырыстар, қонақүйлер және қаржылық операциялар туралы деректер болған-мыс.
Сондай-ақ хакерлер паспорт деректерін, телефон нөмірлерін, мекенжайлар мен банк ақпаратын алғанын мәлімдеді.
Алайда шабуылдаушылардың мәлімдемелерін расталған фактілерден ажырату маңызды.
Мақала жарияланған сәтте Tez Tour дерек таралуының белгілерін таппағанын хабарлаған. Компания ERP жүйесінің оқшауланғанын және зардап шекпегенін, қолданыстағы брондаулардың сақталғанын да мәлімдеген.
Сондықтан ұрланған деректердің толық көлемі расталды деу әзірге дұрыс емес.
Ең қауіпті тұсы — резервтік көшірмелер
Бизнес үшін ерекше маңызды тағы бір мәселе бар.
Шабуылдаушы топтың айтуынша, резервтік көшірмелер негізгі жүйелермен бір серверлерде сақталған.
Егер бұл рас болса, ол елеулі мәселе тудырады.
Мына тізбекті елестетіңіз:
Негізгі дерекқор → резервтік көшірме → бір сервер → бір қолжетімділік
Мұндай архитектурада резервтік көшірме толыққанды қорғаныс болудан қалады.
Шабуылдаушы серверде жеткілікті құқық алса, резервтік көшірмеге де әсер ете алады.
Сондықтан резервтік көшірме негізгі инфрақұрылым толық бұзылған жағдайда да бизнесті қорғауы керек.
Бұл бөлек қоймаларды, шектелген қолжетімділікті, әртүрлі құқық деңгейлерін және шабуылға ұшыраған инфрақұрылымнан тәуелсіз қалпына келтіру мүмкіндігін білдіреді.
Сұрақ қойыңыз немесе өтінім қалдырыңыз
Мақала тақырыбы бойынша сұрақтарыңыз бар ма? Міндетіңіз туралы Qazaqsoft командасына айтып беріңіз.
Форманы жіберу арқылы дербес деректерді өңдеуге келісім бересіз.
Неге тек осалдықты жабу жеткіліксіз?
Шабуыл анықталғаннан кейін компания әдетте алдымен күмәнді сервисті өшіріп, қолжетімділіктерді бұғаттап, тергеуді бастайды.
Бірақ шабуылдаушы біраз уақыт жүйенің ішінде болған болса, бастапқы осалдықты ғана жабу жеткіліксіз.
Мынаны тексеру қажет:
Қандай аккаунттар бұзылды?
Қандай кілттер мен құпиясөздер әшкереленуі мүмкін?
Шабуылдаушы қай жүйелерге өтті?
Қандай серверлер зардап шекті?
Қосымша кіру нүктелері қалды ма?
Қолда бар резервтік көшірмелерге сенуге бола ма?
Сондықтан ауыр инциденттен кейін инфрақұрылымды қалпына келтіру бастапқы осалдықты жоюдан әлдеқайда ұзаққа созылуы мүмкін.
Бұл оқиға қарапайым бизнес үшін нені білдіреді?
Мұндай мәселеге тап болу үшін ірі туроператор болу міндетті емес.
Шағын бизнесте де мыналар болуы мүмкін:
- клиенттер базасы;
- CRM;
- онлайн төлем;
- жеке кабинеттер;
- API;
- файлдары бар сервер;
- басқару панелі;
- басқа сервистермен интеграциялар.
Бір-бірімен байланысқан жүйелер көбейген сайын жеке компоненттерді ғана емес, олардың арасындағы байланыстарды да бақылау маңыздырақ болады.
Бизнеске арналған ең аз тексеру тізімі
Файл жүктеуді тексеріңіз
Файл кеңейтіміне сенбеңіз. Түрін, мазмұнын, көлемін және орындалу құқықтарын тексеріңіз.
Құпия деректерді ашық конфигурацияларда сақтамаңыз
API кілттері, құпиясөздер мен токендер бастапқы кодпен немесе конфигурациямен бірге оңай алынатын жерде болмауы керек.
Қолжетімділікті бөліңіз
Тек бір дерекқорға кіруі қажет сервис бүкіл инфрақұрылымның әкімші құқықтарын автоматты түрде алмауы керек.
Оқшауланған резервтік көшірмелер жасаңыз
Негізгі сервер бұзылғаннан кейін де резервтік көшірме қалпына келтіруге қолжетімді болып қалуы керек.
Журналдарды бақылаңыз
Журналдарды ешкім талдамаса, жүйе бұзылып, компания бұл туралы айқын салдары пайда болғанда ғана білуі мүмкін.
Қолданылатын бағдарламаларды жаңартыңыз
Ескірген компоненттерде нақты шабуылдарда бұрыннан қолданылып жүрген белгілі осалдықтар болуы мүмкін.
Сайтпен ғана шектелмеңіз
Сайт арқылы CRM-ге, дерекқорға немесе ішкі сервистерге өту мүмкін болса, оның қауіпсіздігін бөлек қараудың мәні жоқ.
Негізгі қорытынды
Tez Tour оқиғасы бір сайттың бұзылуы туралы ғана емес.
Ол бір кіру нүктесі әлдеқайда ауқымды шабуылдың бастамасына айналуы мүмкін екенін көрсетеді.
Сондықтан IT жүйесін әзірлегенде мына сұрақпен шектелу жеткіліксіз:
«Сайтымыз қорғалған ба?»
Бұдан да маңызды сұрақ:
«Сайтымыз бәрібір бұзылса, не болады?»
Осындай жағдайда компания деректерін қалпына келтіріп, жүйелерін оқшаулап, бұзылған қолжетімділіктерді тез өшіре алса, инфрақұрылым инцидентке шынымен дайын.
Ал бүкіл жүйе бір серверге, бір құпиясөздер жиынтығына және негізгі дерекқордың жанындағы резервтік көшірмеге тәуелді болса, мәселе шабуылдан әлдеқайда бұрын басталады.
