Что произошло в Шереметьево

С утра понедельника, 28 июля, табло вылетов и прилетов международного аэропорта Шереметьево было красным из-за отмененных рейсов. Десятки рейсов «Аэрофлота» в этот день были перенесены на другие даты или полностью отменены из-за сбоя в информационной системе.

Люди не смогли вылететь в Бодрум, Анталью, Сочи, Стамбул, Волгоград, Астрахань, Хургаду, Дубай, Тюмень, Пермь и еще несколько десятков городов России и зарубежья. По данным Минтранса и самой авиакомпании, были отменены 54 парных рейса. Еще свыше 80 вылетели с опозданием, сообщили в Генпрокуратуре.

Глобальный сбой в информационной системе «Аэрофлота» стал результатом хакерской атаки, также заявили в надзорном ведомстве. Возбуждено уголовное дело о неправомерном доступе к компьютерной информации.

Пассажирам отмененных рейсов пообещали вернуть деньги. Кроме того, у них есть возможность переоформить билет на свободные места на аналогичный рейс в последующие десять дней — после восстановления работы IT-систем. Впрочем, в аэропорту поменять билеты нельзя. А получить возврат можно «в канале приобретения билетов».

Пассажирам стыковочных рейсов пообещали автоматически подобрать место на следующем рейсе со свободными местами. Такая же возможность будет у участников СВО, детей, которые летят без сопровождения родителей, а также пассажиров с ограниченными возможностями по здоровью.

Из-за большого скопления пассажиров в залах ожидания Шереметьево не хватало мест. Люди сидели на ступеньках эскалаторов, у ворот вылета образовались длинные очереди.

— Все люди стоят, ждут, толпятся, пока непонятно, улетим мы сегодня или нет, — рассказал утром в понедельник «Известиям» пассажир задержанного рейса Москва – Калининград Данила Садовский.

Еще одна пассажирка, Екатерина Вологодская, сообщила, что 28 июля вместе с детьми должна была вылететь в Москву из Сочи — в отпуск. Однако за полчаса до вылета мужу пришла СМС о том, что рейс отменен.

— Мы приехали в аэропорт — информации никакой, никто к нам не вышел и ничего не объяснил, — сказала она. — Стоим и не понимаем, что происходит. Мы в состоянии прострации.

Михаил летел с семьей на отдых в Калининград. Вылет должен был состояться в 10:00, но его отменили.

— Мы сняли отель, запланировали экскурсии, хотели покупаться в море, — рассказал он «Известиям». — Сейчас у нас полетела вся схема отдыха. Очень неприятно.

Пассажирка Шереметьево Юлия Одиденко прилетела в Москву из Санкт-Петербурга, в Шереметьево у нее должен был быть стыковочный рейс — девушка направлялась в командировку в Нижнекамск.

— Отмена критична, так как уже завтра мы должны были приступать к работе, — сказала она.

Позднее в этот же день Минтранс и Росавиация совместно с «Аэрофлотом» организовали работу по пересадке части пассажиров на рейсы авиакомпаний «Россия» и «Победа».

«Также «Аэрофлот» гибко использует собственные провозные емкости для минимизации возникших сложностей с выполнением плана рейсов. Другие авиакомпании России выполняют полеты по расписанию, все аэропорты страны принимают и отправляют рейсы», — сообщили в Росавиации.

На что рассчитывать пассажирам

Согласно правилам перевозки, отмена рейса обязывает авиакомпанию в полном объеме вернуть пассажиру деньги, потраченные на покупку билета, рассказал «Известиям» вице-президент Альянса туристических агентств (АТА) Алексан Мкртчян. Сумма возврата должна быть не больше и не меньше фактически понесенных затрат.

Если рейс перенесен, авиакомпания обязана обеспечить пассажира проживанием и трехразовым питанием до момента вылета. Но для авиакомпании такой сценарий в разы затратнее простого возврата денег, отметил Алексан Мкртчян.

— Надо понимать, что за всю свою историю существования «Аэрофлот» не сталкивался с подобными вызовами, — сказал эксперт, имея в виду такое количество отмененных и перенесенных рейсов за короткий промежуток времени.

Организованного туриста, то есть купившего тур, туроператор обязан доставить до места назначения за свой счет. Если же турист отправился в поездку сам, то и искать деньги на быструю покупку нового билета ему придется самостоятельно.

— Хакерские атаки на сайты авиакомпаний и введение плана «Ковер» (режим, при котором воздушное пространство над определенной территорией полностью закрывается. — «Известия») стали приметой времени, — отметил Алексан Мкртчян. — В такой период я бы не советовал туристам самостоятельно куда-либо путешествовать, тем более за границу.

Опрошенные «Известиями» юристы сошлись во мнении, что получить компенсацию ущерба, вероятнее всего, получится у граждан, оформивших страховку от невылета. У остальных реальные шансы лишь на возврат денежных средств или замену билета.

Закон «Об основах туристской деятельности» дает туристу право требовать от туроператора соразмерного уменьшения цены тура, добавила партнер адвокатского бюро «Плешаков, Ушкалов и партнеры» Елена Якушева. Что касается компенсации за отмену рейса, то на практике пассажирам удавалось взыскивать ее с перевозчиков.

— Суды присуждали суммы 10–100 тыс. рублей, — сказала адвокат. — При этом наличие групповых исков также возможно, если сбой затронул значительное число потребителей и был вызван общей причиной. Сейчас пассажирам необходимо фиксировать убытки и обращаться с претензиями напрямую к авиакомпании, а при отсутствии удовлетворения — в Роспотребнадзор или суд.

Признают ли ситуацию форс-мажором

Возможность компенсации морального вреда в судебном порядке зависит от того, будет ли ситуация признана форс-мажором, пояснили эксперты. Согласно правилам перевозки, форс-мажор не зависит от действий или бездействия перевозчика. Таковыми могут быть признаны наводнение, пожар или иное стихийное бедствие, а в современных реалиях еще и план «Ковер».

— В ситуации с «Аэрофлотом» авиакомпания и страховщики явно будут настаивать на форс-мажоре, — полагает Алексан Мкртчян. — Однако туристы и их адвокаты могут настаивать на том, что IT-специалисты «Аэрофлота» не обеспечили должную защиту серверов авиакомпании. А это уже не форс-мажор, а человеческий фактор и ответственность перевозчика.

Чтобы данный инцидент был признан форс-мажором, юристам «Аэрофлота» придется доказать, что структуры компании, отвечающие за кибербезопасность, предприняли все возможные меры для предотвращения атаки, считает адвокат московской коллегии адвокатов «Союз юристов» Илья Дроздов.

Если же суд установит, что авиакомпания могла и должна была предотвратить уязвимости в системе, то сослаться на форс-мажор ей не удастся, сказала Елена Якушева.

Согласно ст. 401 ГК РФ, технический сбой в системах авиакомпании, как правило, не признается форс-мажором, поскольку не отвечает критериям чрезвычайности и непредотвратимости, рассказала «Известиям» руководитель практики частных клиентов юридической компании «Митра» Алина Лактионова. По ее словам, авиаперевозчик должен предусматривать риски технических сбоев и иметь механизмы их предотвращения и устранения.

— Но в нынешнем случае мы имеем дело не просто со сбоем, а с хакерской атакой самого высокого уровня, — сказала юрист. — А это уже преступление, которое компания не могла предвидеть.

Страховые компании могут также отказывать пассажирам в выплате компенсаций, не исключает Алексан Мкртчян. Однако коснется это немногих: согласно статистике, страховку от невылета покупают меньше 20% пассажиров. Остальные 80% не хотят переплачивать за билеты.

Сколько будет восстанавливаться система

Изначальное восстановление информационной системы «Аэрофлота», которую взломали хакеры, может занять до недели — при условии, что злоумышленники не добрались до бэкапов (резервных копий), рассказали опрошенные «Известиями» компании по кибербезопасности.

Но, вероятно, хакеры всё же уничтожили часть виртуальных серверов компании, включая базы данных, полагает основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян.

— Теперь всё зависит от того, добрались ли они до бэкапов. Если бэкапы есть, восстановление займет от одного-двух дней до недели, — сказал он. — В противном же случае потребуются месяцы.

Директор департамента киберрасследований T.Hunter Игорь Бедеров оценил сроки восстановления работоспособности публичных систем «Аэрофлота» в полтора-два месяца — в случае, если сохранились бэкапы утраченной информации.

— Если пренебречь восстановлением архивов и ориентироваться только на текущие перелеты, в указанные сроки можно уложиться, — считает он.

В среднем восстановление после масштабной кибератаки занимает от нескольких недель до шести месяцев, рассказал ведущий аналитик отдела мониторинга информационной безопасности «Спикател» Алексей Козлов. Так, один-два месяца уходят на восстановление критических систем, остальное — на настройку защиты, аудит, пересмотр процессов и возврат доверия клиентов.

— Полная стабилизация может затянуться до года, если инфраструктура разрушена и резервные копии недоступны, — считает эксперт.

Чтобы восстановить систему полностью, ее нужно будет всю пересобрать с заведомо безопасных носителей, на которых нет уязвимостей, отметил гендиректор компании «Нейроинформ» Александр Дмитриев.

— Первое восстановление работоспособности будет проведено достаточно быстро — несколько дней буквально, а вот потом будет планомерная, кропотливая работа по проверке всего и вся, создание безопасной инфраструктуры, — сказал он. — Учитывая огромное количество серверов и рабочих компьютеров «Аэрофлота», думаю, что реальное время восстановления может занять до года.

Ответственность за сбой взяли на себя хакерские группировки Silent Crow и «Киберпартизаны». Они якобы находились внутри IT‑инфраструктуры «Аэрофлота» около года и, по их словам, уничтожили примерно 7 тыс. серверов.

Задержки и отмены десятков рейсов «Аэрофлота» говорят о масштабном воздействии, отметил Алексей Козлов. Такую же оценку ситуации дал и Ашот Оганесян.

— Если хакеры действительно присутствовали в инфраструктуре более года, существует вероятность, что и бэкапы заражены бэкдорами (дефект алгоритма, который намеренно встраивается в него злоумышленником и позволяет получить несанкционированный доступ. — «Известия»), которые могут быть использованы при повторных атаках, — сказал он.

Какие уязвимости ищут хакеры у крупных компаний

Опрошенные «Известиями» эксперты на условиях анонимности отметили, что длительное время злоумышленники могут быть незамеченными, если в компании отсутствует или не функционирует в необходимом объеме операционный центр безопасности (SOC) — специализированное подразделение, отвечающее за мониторинг, обнаружение, анализ и реагирование на киберинциденты.

— Атакующие могут оставаться незамеченными длительный срок, если такой центр минимален или на него выделяется недостаточно бюджета, — сказал специалист. — Хотя в случае «Аэрофлота» это сложно предположить, так как это стратегическая компания с объектами критической информационной инфраструктуры. Но год — это слишком большой срок, чтобы ничего не найти.

Одна из возможных причин ситуации — недостаточный контроль доступа и организации внутренней безопасности, полагает и Алексей Козлов.

— Нужны регулярные аудиты, контроль на уровне поведения пользователей, многофакторная аутентификация, мониторинг привилегированных действий, ограничение прав и анализ команд в реальном времени, — сказал он.

По его словам, сейчас хакерские группировки готовят атаки месяцами и даже годами — в них задействованы топовые эксперты, использующие весь спектр техник: от фишинга и эксплуатации уязвимостей до инсайдеров.

Специалистам по информационной безопасности необходимо обладать информацией не только о любой нелегитимной активности, но и фиксировать любое новое, нехарактерное ранее поведение кого-либо или чего-либо в сети, заявил директор по продуктам компании по кибербезопасности Servicepipe Михаил Хлебунов.

— Чаще всего подобные атаки начинаются со сканирования сети. И противостоять подобным целевым атакам возможно, используя решения по анализу трафика, способные глубоко анализировать сеть, а также решения по защите от ботовых атак, для того чтобы отсекать любую злонамеренную автоматизацию, — пояснил он.

Авиакомпании, транспорт и туризм — среди ключевых целей для хакерских атак в России летом, когда спрос на эти услуги максимально высок, отметил ведущий pre-sale-инженер StormWall Артем Артамонов.

— Группировки, берущие на себя ответственность в таких случаях, часто рассчитывают не столько на технологический, сколько на репутационный ущерб. Поэтому помимо технического реагирования важно иметь план коммуникаций с клиентами и партнерами, чтобы снизить негативный эффект. К счастью, авиакомпания открыто заявляет о возникших проблемах, а значит, такой план у нее есть, — сказал он.

Сейчас время новых вызовов, поэтому необходимо совмещать импортозамещение с высоким уровнем киберзащиты, отметил гендиректор облачного провайдера Nubes Василий Степаненко.

Справка «Известий»
Первые сведения о группировке Silent Crow появились в конце прошлого года. Все ее атаки приходились на российские ресурсы и были достаточно масштабными. При этом хакеры не были замечены в вымогательстве или коммерциализации украденной информации. Они заявляли о взломе Росреестра, «АльфаСтрахования-Жизнь», «Киа Россия и СНГ», «Клуба клиентов Альфа‑Банка», Единой медицинской информационно-аналитической системы (ЕМИАС) и ряда других.

«Киберпартизаны» — белорусская хакерская группировка, заявлявшая о взломах белорусской правительственной инфраструктуры: ГАИ, МВД, автоматизированной информационной системы «Паспорт», Белорусской железной дороги, государственного информационного агентства БелТА.