Егор Андюков

29 октября 2026 года атакующие вывели с горячих кошельков Binance около 6,3 млрд долл. Чтобы добраться до внутреннего сервиса, который подписывает транзакции, им не понадобилась уязвимость в инфраструктуре биржи. Хватило компьютеров нескольких разработчиков, к которым злоумышленники подбирались с июня.

Binance тратит на безопасность больше многих банков, но техническая защита не мешает сотруднику поверить фальшивому рекрутеру, запустить чужой код или подтвердить посторонний вход. Такие ошибки будут всегда. Поэтому важен другой вопрос: что найдет атакующий на устройстве, где ошибка произошла, и как далеко сможет пройти дальше.

Binance, KnowBe4, Uber, Okta, LastPass и Bybit столкнулись с разными сценариями проникновения через людей, их устройства и доступы. Разберем, как были устроены эти атаки, что позволило им развиваться и какие организационные и технические меры стоит предусмотреть компаниям.

Binance: несколько устройств и токен развертывания

Первый эпизод произошел в июне. Инженер команды кошельков искал ИИ-инструмент для программирования и загрузил поддельный установщик Homebrew. Служба безопасности заменила устройство и сменила связанные учетные данные. При этом атакующим стали известны роль инженера и личности его коллег.

В сентябре другой разработчик прошел фальшивые собеседования и скачал на рабочий компьютер репозиторий с тестовым заданием. Вредоносный код выполнился при установке и не был обнаружен защитой конечной точки в тот момент.

20 октября с этого устройства через внутренний ИИ-инструмент злоумышленники получили контроль над компьютерами еще двух инженеров. Одним из них оказался тот самый инженер из июня: на его новом ноутбуке лежал токен с правом развертывания контейнеров. 29 октября с помощью этого токена атакующие развернули контейнер с учетными данными, которые им не принадлежали, и меньше чем за три часа добрались до внутреннего сервиса подписи транзакций.

Замена ноутбука и паролей после первого эпизода не отвечает на вопрос, что противник успел узнать о людях и процессах. Эти сведения могут использоваться при следующем этапе атаки.

KnowBe4: поддельная личность прошла проверку при найме

В июле 2024 года KnowBe4 сообщила, что наняла человека под украденной личностью. Кандидат прошел проверку биографии, рекомендации и четыре видеособеседования, использовав чужие документы и измененную нейросетью фотографию.

После включения выданного ноутбука началась подозрительная активность. Примерно через 25 минут после первого сигнала защиты устройство было изолировано. Проверка кандидата не остановила внедрение, однако управляемая техника и контроль активности позволили прервать его дальнейшие действия.

Для работодателя это аргумент в пользу постепенного предоставления доступа: прохождение найма не должно автоматически открывать новичку продуктивные базы и платежные системы.

Uber: MFA сработала до первого ошибочного подтверждения

В 2022 году злоумышленник завладел паролем внешнего подрядчика Uber. По предположению компании, пароль купили в даркнете после заражения личного устройства подрядчика. Затем начались повторные запросы двухфакторного подтверждения, один из которых человек одобрил.

Эпизод с сообщением в WhatsApp от имени ИТ-поддержки описывал сам атакующий: он утверждал, что убедил подрядчика подтвердить вход ради прекращения уведомлений. Внутри сети нашлись скрипты с паролем администратора системы управления привилегированным доступом.

Таким образом, двухфакторная аутентификация не была выключена. Слабым местом стала возможность добиться подтверждения от человека и затем использовать доступные внутри секреты.

Okta: служебные данные в личном Google-профиле

В 2023 году сотрудник Okta вошел в личный Google-профиль в Chrome на корпоративном ноутбуке. Учетные данные служебного аккаунта сохранились в личном аккаунте.

По итогам расследования наиболее вероятным путем их получения Okta назвала компрометацию личного аккаунта или устройства сотрудника. С этими данными атакующий получил доступ к системе обращений поддержки. В скачанных файлах были токены сессий, использованные затем против клиентов.

Разделение рабочих и личных данных должно обеспечиваться настройками браузера, а не только запретом в документе.

LastPass: ключи через домашний компьютер

В ходе атаки 2022 года злоумышленники скомпрометировали домашний компьютер одного из четырех DevOps-инженеров LastPass, имевших доступ к ключам расшифровки облачного хранилища резервных копий.

Уязвимость стороннего медиаприложения позволила установить кейлоггер. Он перехватил мастер-пароль корпоративного хранилища после прохождения второго фактора. Дальше атакующие получили ключи к резервным копиям, в том числе с зашифрованными хранилищами клиентов.

Доступ к критичным ресурсам должен открываться с устройств, которыми управляет компания. Личный компьютер не должен становиться неконтролируемой точкой работы с такими секретами.

Bybit: компрометация интерфейса поставщика

В феврале 2025 года при подтверждении операции с холодным кошельком Bybit подписанты видели привычный интерфейс, но одобрили изменение, позволившее похитить около 1,5 млрд долл. в эфире.

По опубликованным результатам расследования, путь атаки проходил через компьютер разработчика Safe{Wallet} и подмену кода интерфейса этого стороннего сервиса. Bybit заявляла, что ее собственная инфраструктура не была скомпрометирована.

Для операций с высокой ценой ошибки нужна независимая проверка. Сведения нельзя подтверждать только через тот интерфейс или канал, по которому пришла сама операция: аналогичная логика применима к смене реквизитов контрагента и крупным платежам.

Что проверить в собственной инфраструктуре

Из этих случаев следуют несколько направлений работы:

  • Установка и исполнение кода. Использовать утвержденный каталог ПО, внутренние зеркала репозиториев и изолированную среду для незнакомого кода. Тестовые задания и программы для собеседований не должны запускаться на рабочем ноутбуке.

  • Привилегии и секреты. Убрать постоянные привилегии на рабочих станциях. Права администратора и доступ к критичным операциям выдавать на время конкретной задачи через систему управления привилегированным доступом. Проверять, чтобы на рабочих станциях и в репозиториях не было паролей и токенов в открытом виде. Критичные операции подтверждать двумя сотрудниками.

  • Устройства и аутентификация. Доступ к критичным системам открывать с устройств, которыми управляет компания. Отключить синхронизацию личных профилей браузера на служебных ноутбуках, хранить рабочие пароли в корпоративном менеджере. Для двухфакторной аутентификации использовать ввод кода с экрана входа вместо кнопки «Да», ограничивать число запросов, а для администраторов применять аппаратные ключи.

  • ИИ-инструменты. Не предоставлять ИИ-помощнику больше прав, чем у сотрудника, который им пользуется. Журналировать действия инструмента и назначить ответственного, который знает, к каким системам он подключен и от чьего имени действует.

  • Жизненный цикл доступа. Не открывать новичкам все системы сразу. Отзывать доступы в день увольнения и регулярно подтверждать их необходимость с руководителями. Для подрядчиков использовать именные учетные записи с двухфакторной аутентификацией и сроком действия, равным сроку договора.

  • Работа с людьми. Проверять личность кандидатов, а при удаленном найме — хотя бы на одной очной встрече или видеозвонке с документом в кадре. Рекомендации у прошлых работодателей запрашивать только с письменного согласия кандидата (п. 3 ч. 1 ст. 86 ТК РФ, ст. 9 Федерального закона № 152-ФЗ и объяснять сотрудникам риски фальшивых собеседований и обращений лжеподдержки. Срочные просьбы о деньгах, доступах и документах проверять обратным звонком по корпоративному справочнику. Руководители должны проходить обучение наравне с персоналом. Сотрудник, который быстро сообщил о своей ошибке, не должен получать за это взыскание.

Нужно оценивать не только вероятность заражения отдельного устройства, но и последствия такого заражения. Какие секреты будут доступны, до каких систем можно добраться и какие операции останутся под независимым контролем? Ответы определяют, насколько далеко зайдет атака после первого входа.

Источник:
Иллюстрация предоставлена пресс-службой компании