Beget подтвердил кибератаку и потерю данных облачной инфраструктуры
Beget раскрыл причину масштабного сбоя, начавшегося в ночь с 1 на 2 ноября 2026 года. По данным компании, злоумышленники получили доступ к управляющему контуру всей инфраструктуры и запустили обнуляющие скрипты. В результате Beget заявляет о потере данных в облачных сервисах VPS, S3 и Kubernetes, а также полной утрате бинарных резервных копий VPS. Файловые бэкапы VPS и виртуального хостинга сохранились, поэтому восстановление части ресурсов продолжается. Более 1000 серверов перед запуском приходится проверять вручную.Атакующие получили доступ к управляющему контуру Beget
3 ноября Beget впервые подробно описал механизм инцидента. В официальном разборе компании говорится, что в ночь с 1 на 2 ноября кибератака позволила получить доступ к управляющему контуру всей архитектуры, после чего были запущены обнуляющие скрипты.Это существенно уточняет первоначальную картину. Утром 2 ноября было известно лишь о крупном инфраструктурном сбое, который одновременно затронул сайты, VPS, DNS, почту и панель управления. Позднее Beget подтвердил кибератаку, а теперь прямо связывает последствия с компрометацией централизованного уровня управления инфраструктурой.
Компания пока не раскрывает первоначальный вектор проникновения, используемые атакующими инструменты и точную последовательность действий. Поэтому из опубликованной информации нельзя установить, каким способом злоумышленники получили административный доступ и как долго находились внутри инфраструктуры до запуска разрушительных операций.
Что потеряно и какие резервные копии сохранились
Наиболее тяжелые последствия Beget подтверждает для облачной инфраструктуры. Компания сообщает, что данные VPS, S3 и Kubernetes были утрачены. Также потеряны настройки CDN и IP. При этом Beget продолжает искать дополнительные способы восстановления информации.Для VPS сохранились файловые резервные копии, однако бинарные бэкапы виртуальных серверов полностью утрачены. Разница существенна: бинарная копия позволяет восстановить виртуальную машину целиком в близком к прежнему состоянию, тогда как файловый бэкап содержит отдельные сохраненные файлы и требует повторного развертывания операционной системы, программ и конфигурации.
Для виртуального хостинга ситуация заметно лучше. По предварительной оценке Beget, восстановлению подлежат почти 100% размещавшихся там сайтов. Файловые резервные копии хостинговой инфраструктуры сохранены, но вернуть ресурсы в работу сразу нельзя из-за необходимости проверять серверы перед повторным подключением.
В отношении S3 и Kubernetes компания не сообщила о сопоставимом с VPS механизме восстановления из файловых копий. Поэтому формулировку Beget об утрате данных этих сервисов следует воспринимать буквально до появления нового технического обновления.
Что Beget уже удалось восстановить
Выделенные серверы, которые пользователи администрируют самостоятельно, были возвращены в работу 2 ноября примерно к 14:00. Для dedicated-серверов под управлением самого Beget компания сообщает о сохранности большей части данных, но проверка и поэтапный запуск продолжаются.DNS-инфраструктура также восстановлена частично. Владельцы доменов в зонах .ru, .рф и .su, зарегистрированных через Beget и использующих его DNS, уже могут менять записи A, MX и TXT. Для международных доменных зон восстановление управления продолжается.
Beget отдельно договорился с Координационным центром доменов .RU/.РФ о том, чтобы доменные имена с истекающим сроком делегирования временно не отключались из-за невозможности штатного управления ими во время инцидента.
Почтовая инфраструктура на момент обновления была восстановлена примерно на 80%. Компания рассчитывала завершить ее запуск в течение следующих десяти часов. Ограниченный интерфейс панели управления Beget также обещает вернуть в течение суток.
Почему восстановление требует проверки более 1000 серверов
Beget объясняет медленный запуск не только необходимостью вернуть данные. После получения злоумышленниками доступа к управляющему контуру простое включение сохранившихся серверов создало бы риск повторной компрометации.Каждую машину необходимо проверить на скрытые уязвимости, посторонние скрипты и другие следы присутствия атакующих. По данным компании, ручная проверка требуется более чем для 1000 серверов. Именно поэтому восстановление виртуального хостинга и управляемых выделенных серверов занимает значительно больше времени, чем обычный перезапуск после технической аварии.
Текущий статус подтверждает и разбор Хабра от 3 ноября: часть сервисов уже возвращена в работу, но облачная инфраструктура понесла потерю данных, а окончательного срока полного восстановления Beget пока не называет.
Есть ли признаки кражи пользовательских данных
Наиболее важный нерешенный вопрос касается возможной утечки. Beget утверждает, что по имеющимся сейчас данным на серверах с пользовательской информацией не обнаружены попытки скачивать или изменять данные. Однако расследование продолжается, поэтому это нельзя считать окончательным подтверждением отсутствия эксфильтрации.Компрометация управляющего контура и уничтожение данных доказывают высокий уровень полученного доступа, но сами по себе не доказывают, что атакующие копировали клиентскую информацию перед ее уничтожением. Beget пока не сообщил о подтвержденной публикации баз, продаже данных или иных внешних признаках массовой утечки.
Несмотря на это, компания рекомендует клиентам сменить пароли, SSH-ключи, API-ключи и другие учетные данные, которые могли храниться на затронутых серверах. После инцидента такого масштаба старые секреты разумно считать потенциально скомпрометированными до завершения расследования, даже если их фактическое похищение пока не установлено.
Итог
Инцидент Beget оказался значительно серьезнее первоначально предполагаемой аварии хостинга. Компания официально заявила, что атакующие получили доступ к управляющему контуру всей архитектуры и запустили обнуляющие скрипты. В облаке потеряны рабочие данные VPS, S3 и Kubernetes, полностью утрачены бинарные резервные копии VPS, но файловые бэкапы VPS и виртуального хостинга сохранились.Одновременно Beget пока не подтверждает кражу пользовательской информации. Главная задача компании сместилась от простого восстановления доступности к безопасному запуску инфраструктуры после глубокой административной компрометации. Для этого вручную проверяется более 1000 серверов, а точного срока полного возвращения всех сервисов в работу пока нет.
Редакция PavRC