Хакер украл изображения с сайта и шантажирует. Что делать?

Поиск источника компрометации 

Изначально мы воспринимали исчезновение картинок как случайность. Да, был удален бакет в S3 с картинками (отдельные контейнеры для хранения объектов в объектном хранилище S3), но такое возможно. 

Мы действовали по логичному алгоритму: 

• получили от клиента новые ключи для бакета;
• восстановили картинки;
• вновь обнаружили пропажу;
• проверили скрипты и убедились, что нет скрипта, который бы самостоятельно удалял бакет;
• получили новые ключи; вновь заметили исчезновение картинок;
• подключили свое S3-хранилище, опасаясь, что компрометация происходит на стороне клиента при создании бакета 

Картинки исчезли в четвертый раз. Повторяющаяся проблема даже после смены ключей и провайдера указывала на целенаправленные действия злоумышленников и на то, что у хакеров есть доступ к системному файлу с паролями.

Мы собрали рекомендации по решению проблем и срочность тех или иных действий в случае подобных ситуаций. Сохраните эту информацию — возможно, наш опыт когда-нибудь поможет и вам справиться с хакерскими атаками. 

• У злоумышленника есть доступ к бакету с картинками. Он может самостоятельно удалять картинки: Клиенту нужно создать новый бакет с новыми ключами — срочность средняя;
• У злоумышленника есть доступ на отправку форм в CRM. Это даёт ему возможность спамить в CRM, а также удалять обращения: Для CRM-сервиса клиенту необходимо сгенерировать новый ключ. Старый ключ сразу же удалить — срочность высокая;
• Хакеры могут массово отправлять сообщения с адреса почты клиента. При спаме почту могут заблокировать, и потребуется время на то, чтобы доказать отсутствие спамных намерений: Клиенту необходимо поменять пароль для почты на более надёжный — срочность высокая;
• Сторонними лицами получен apache доступ и адрес, по которому обновляется товарная номенклатура с 1С, что позволяет просматривать товары и искать уязвимости в этом сервере: Клиенту необходимо сменить apache-авторизацию — срочность высокая;
• Злоумышленники имеют доступ к базе данных. Без доступа к серверу это не является угрозой, но есть сопряжённые с этим риски: Клиенту необходимо поменять логин/пароль/название базы данных — срочность средняя;
• У хакеров имеется секретный ключ приложения, который участвует в шифровке сессий и куки: Необходимо перегенерировать ключ приложения — срочность высокая;
• Получен доступ к Rewriter API — сервису для перевода и переписывания текстов. Злоумышленник может израсходовать лимиты, и сервисом нельзя будет пользоваться: Клиенту следует поменять API-ключ для сервиса — срочность низкая;
• В руках хакеров Recaptcha, и его компрометация позволяет злоумышленнику проводить фишинг сайта и заниматься спамом: Клиенту нужно заменить recaptcha — срочность высокая;
• Получен доступ к Typesense, что позволяет злоумышленнику получать индексированные данные и спамить ресурс запросами: Клиенту необходимо заменить API-ключ — срочность высокая;
• Хакерам удалось получить доступ на чтение 3D-моделей первого сайта клиента (точнее, к ресурсу, на котором они расположены). Доступ хоть и на чтение, но хакер знает ресурс и может пробовать искать уязвимости на этом сервере: Клиенту необходимо заменить пароль — срочность средняя.

Отдельное внимание уделим бэкапированию. Чтобы в случае возникновения таких непредвиденных ситуаций иметь возможность быстро и оперативно восстановить данные, необходимо делать бэкапы и регулярно проверять их на целостность данных.

Наши эксперты рекомендуют дополнительно: 

• Менять пароли к системам после увольнения сотрудников (смены подрядчика);
• Проводить мониторинг доступности ключевых систем инфраструктуры;
• Подключать и проверять alert-чаты. 

Мы продолжаем работу над двумя сайтами клиента. Даже в случае шантажа и хакерских атак у вас всегда есть минимум два выхода. Мы сделали выбор в пользу решений, которые защитили интересы нашего клиента и позволили решить проблему без потери средств из-за шантажа.