ESTT подтвердил кибератаку с шифровальщиком на облачную инфраструктуру
Российский хостинг-провайдер ESTT сообщил, что причиной масштабного сбоя 8 ноября 2026 года стала кибератака с использованием программы-шифровальщика. Основной удар пришелся на кластеры виртуализации и системы управления облачной инфраструктурой, тогда как выделенные физические серверы клиентов, по данным компании, не пострадали. К 9 ноября ESTT восстановил около 90% клиентских виртуальных серверов. Личный кабинет пока остается недоступным, а признаков утечки клиентских данных компания на текущем этапе не обнаружила.Как технический сбой оказался кибератакой
Первые массовые жалобы на ESTT появились около 04:00 мск 8 ноября. Пользователи сообщали о недоступности сайтов, виртуальных серверов, панели управления, SSH и других сервисов. Первоначально провайдер называл происходящее серьезным техническим сбоем и не раскрывал его причины.К утру 9 ноября значительную часть инфраструктуры удалось вернуть в работу, однако компания продолжала расследование. Позднее ESTT сообщил, что предварительной причиной аварии стала кибератака с использованием программы-шифровальщика.
Таким образом, первоначальная версия о технической аварии больше не описывает статус инцидента. При этом ESTT пока не назвал используемое вредоносное ПО, способ первоначального проникновения и момент, когда атакующие получили доступ к инфраструктуре.
Что именно пострадало у ESTT
По данным провайдера, атака затронула прежде всего кластеры виртуализации и системы управления облачной инфраструктурой. Именно поэтому основная часть пользовательских жалоб касалась виртуальных серверов и связанных с ними сервисов.Выделенные физические серверы клиентов, напротив, не пострадали и продолжили работать в штатном режиме. Это важное отличие от ситуации, при которой атакующий получает контроль над всей физической инфраструктурой дата-центра.
К моменту последнего обновления ESTT сообщил о восстановлении 90% клиентских виртуальных серверов. Остальные системы продолжают возвращать в работу, а личный кабинет пока недоступен. Точного срока полного восстановления компания не называет.
Признаков утечки данных пока не нашли
ESTT заявляет, что по имеющейся на данный момент информации признаков утечки клиентских данных не выявлено. Но это предварительный вывод собственного расследования компании, а не окончательное независимое подтверждение отсутствия доступа к информации.Сам факт использования шифровальщика также не доказывает кражу данных. Современные атаки этого класса могут включать как простое шифрование инфраструктуры, так и предварительное копирование информации, однако ESTT пока не сообщил о признаках эксфильтрации, публикации данных или требованиях выкупа.
Поэтому корректный статус на 9 ноября такой: подтверждены кибератака, использование программы-шифровальщика и нарушение работы облачной инфраструктуры. Утечка данных, личность атакующих и мотив операции публично не установлены.
Это уже второй крупный инцидент ESTT за полтора года
В июле 2025 года ESTT уже переживал масштабную атаку, но тогда механизм был другим. По данным «Ведомостей», инфраструктура провайдера несколько дней находилась под мощной DDoS-атакой.Тот инцидент затронул сервисы ресторанного сектора: проблемы возникали у «Вкусно - и точка», iiko, Cofix, «Суши мастер» и «Много лосося». DDoS нарушал доступность сервисов, но не был связан с подтвержденным проникновением внутрь облачной инфраструктуры.
Нынешняя атака качественно отличается: ESTT говорит уже о вредоносном ПО внутри инфраструктуры и поражении систем виртуализации и управления облаком. Поэтому два инцидента нельзя считать продолжением одной и той же кампании без дополнительных доказательств.
Почему ESTT - не повторение истории Beget
Инцидент произошел всего через несколько дней после разрушительной атаки на Beget, поэтому внешне ситуации выглядят похожими: российский хостинг-провайдер, проблемы с VPS и длительное восстановление инфраструктуры.Но подтвержденные последствия существенно различаются. В случае Beget атакующие получили доступ к управляющему контуру всей архитектуры и запустили обнуляющие скрипты. Компания сообщила об утрате данных VPS, S3 и Kubernetes и потере части резервной инфраструктуры.
ESTT пока не сообщает о сопоставимом уничтожении данных. Напротив, провайдер утверждает, что уже восстановил около 90% виртуальных серверов, а выделенные физические серверы вообще не были затронуты. Поэтому говорить об одинаковом сценарии или общей группе атакующих оснований нет.
Для более широкого контекста PavRC ранее разбирал атаку через инфраструктуру хостинга Notepad++, которая показала другой риск компрометации провайдера: даже атака на один инфраструктурный слой способна затронуть большое число внешне независимых клиентов и сервисов.
Итог
Сбой ESTT 8 ноября оказался не обычной технической аварией, а кибератакой с использованием программы-шифровальщика. Основной ущерб пришелся на облачную часть инфраструктуры - кластеры виртуализации и системы управления ими.К 9 ноября около 90% клиентских виртуальных серверов уже восстановлены, а выделенные физические серверы продолжали работать. Однако личный кабинет остается недоступным, расследование продолжается, а первоначальный вектор проникновения, семейство шифровальщика и личности атакующих пока не раскрыты. ESTT также заявляет, что признаков утечки клиентских данных не обнаружено, но этот вывод еще может уточняться по мере расследования.
Редакция PavRC