18% атак, 100% паралич бизнеса. Xакеры научились убивать ваш «чёрный день» — атакуя резервные копии.

Хакеры всё чаще выбирают в качестве основной цели резервные копии — не системы, не серверы, а именно те данные, которые компании хранят «на чёрный день» для восстановления после атак. Новое исследование Apricorn показывает тревожную статистику: каждый пятый инцидент утечки данных в Великобритании напрямую связан с компрометацией резервных копий. Это сигнал о том, что нарушители научились проникать глубже и точнее — туда, где бизнес надеется найти спасение в случае кибератаки.

Ранее считалось, что резервные данные — это своего рода страховка, надёжная и защищённая копия критической информации, которую можно поднять в случае любой катастрофы. Однако динамика меняется. Если раньше компании концентрировались на защите активной IT-инфраструктуры — рабочих станций, облаков, маршрутизаторов — то теперь под удар попадают и пассивные хранилища. Причём это не просто побочный эффект — в некоторых случаях атаки направлены исключительно на резервные копии, чтобы подорвать саму возможность восстановления.

По данным Apricorn, 18% компаний указали взлом резервных копий в качестве главной причины инцидента. Это не только прямой ущерб, но и стратегический срыв бизнес-континуума: невозможность вернуться к работе без полной переустановки и переговора с шантажистами. Что особенно примечательно — 13% опрошенных признались, что их инфраструктура восстановления недостаточно прочна, чтобы быстро вернуть данные. Почти треть компаний, столкнувшихся с реальным восстановлением из резервных копий, не смогли восстановить всё полностью: либо часть информации была утрачена, либо процесс оказался нерабочим из-за плохо выстроенных процедур.

Пример датской облачной компании CloudNordic, атакованной в 2023 году, показателен. Злоумышленники не только вывели из строя основные сервера, но и зашифровали все бэкапы. В результате вся клиентская база оказалась безвозвратно утрачена, а работа компании — фактически парализована. При этом у CloudNordic были и антивирус, и межсетевые экраны, и многоуровневая стратегия резервного копирования. Тем не менее, уязвимые серверы, ранее уже скомпрометированные, стали точкой входа. Это подчёркивает важную мысль: резервное копирование эффективно только тогда, когда оно не просто существует, а регулярно тестируется, физически изолировано и построено по принципу «невидимости» для основной сети.

Однако в отчёте Apricorn есть и позитивные тенденции. Количество компаний, успешно восстановивших всю инфраструктуру из резервных копий, выросло до 58% — против 50% годом ранее. Всё больше организаций используют автоматические механизмы для создания копий: 44% отправляют данные как в центральные, так и в личные хранилища, тогда как в прошлом году таких было только 30%. В целом 85% компаний уже внедрили хотя бы один элемент автоматизации.

По словам управляющего директора Apricorn по региону EMEA Джона Филдинга, управление инцидентами должно включать не только подготовку к атакам, но и готовность к полному восстановлению. По его оценке, только регулярно тестируемые, полноформатные и надёжно защищённые копии способны стать настоящим инструментом защиты, а не иллюзией безопасности.

На фоне растущей изощрённости атак становится ясно: недостаточно просто иметь бэкап. Он должен быть неподконтролен атакующему, дублирован, отлажен и легко разворачиваем в изоляции. Иначе компании рискуют не просто потерять данные — а навсегда утратить возможность их вернуть.