Взломали тех, кто чинит чужие компьютеры
К нам пришла фирма: бухгалтерия встала на два дня. Заразу занесли не письмом и не флешкой, а через программу, которой пользуется их же техподдержка.
Недавно по всему миру червь SCKit добрался до 48 компаний. Он распространяется через ScreenConnect, программу удалённого доступа, которую ставят сами администраторы. Инструмент помощи превратили в дверь для вируса. Реалии известные: в малом бизнесе такую программу ставит «приходящий айтишник» и забывает о ней навсегда.
В моей практике было похоже. У производственной компании подрядчик когда-то поставил удалённый доступ, потом перестал обслуживать, а программа осталась и висела со старым паролем. Два дня простоя бухгалтерии и ручной пересчёт отчётности обошлись примерно в 300 тысяч рублей. Закрыли за вечер.
Что делаю в таких случаях
1. Инвентаризация: нахожу все программы удалённого доступа на компьютерах и серверах. Было «не знаем, что стоит», стало список с хозяином у каждой.
2. Удаляю забытое и обновляю нужное. Было: открытая дверь для подрядчика, которого давно нет. Стало: доступ только у тех, кто работает сейчас.
3. Включаю двухфакторную защиту входа и настраиваю уведомление руководителю в мессенджер о каждом подключении. Было: узнали через два дня по остановке работы. Стало: видно в момент подключения.
Весь комплекс стоил в разы дешевле, чем одни только потери от простоя. Дело не в цене защиты, а в том, что про этот вход никто не помнил.
А вы знаете, какие программы удалённого доступа стоят на ваших компьютерах и кто ими пользуется?
Полный разбор с деталями кейса →
Генеральный партнёр CIOlogia — ИБ-интегратор TS Solution.
