В стартапе "МедиаФлоу", который разрабатывал платформу для стриминга видео, кипела жизнь: разработчики дописывали код, маркетологи готовили запуск, а основательница мечтала о миллионах подписчиков. ИТ-инфраструктура стартапа была собрана на скорую руку: сервер на Ubuntu 20.04, несколько облачных сервисов и тестовый аккаунт "testadmin" с правами суперпользователя, созданный для настройки SSH-доступа. Аккаунт был добавлен в группу `sudo` для настройки сервера, что позволило выполнять команды с правами root. После тестов аккаунт забыли удалить — пароль "Test123!" остался в системе, как открытая дверь.

Тревожный звонок

Проблема выявилась, когда клиент сообщил, что их новый сериал уже появился на пиратском сайте. Основательница вызвала фрилансера-администратора, который настраивал сервер. Фрилансер-администратор зашёл в систему через SSH и проверил логи входов, выполнив команду:

grep 'Accepted' /var/log/auth.log | grep 'testadmin'

В выводе он увидел строки с IP из Индонезии: кто-то заходил под "testadmin" три дня назад. Он понял, что этот аккаунт создавали для тестов, но его забыли удалить. Фрилансер-администратор немедленно удалил учётную запись и её данные:

userdel -r testadmin # Удаление пользователя и домашней директории

Фрилансер-администратор сообщил основательнице о взломе, объяснив, что хакер вошёл через забытый тестовый аккаунт. Основательница была шокирована: она считала, что безопасность системы под контролем, но оказалось, что ошибка фрилансера-администратора поставила всё под угрозу.

Поиск следов

Фрилансер-администратор начал разбираться, что произошло. Хакер подобрал пароль "Test123!" за 37 секунд с помощью брутфорс-атаки через `hydra -l testadmin -P rockyou.txt ssh://IP`, используя словарь популярных паролей. Получив доступ, он воспользовался правами `sudo`, чтобы создать нового пользователя "backupuser" и сохранить доступ. Фрилансер-администратор проверил список пользователей командой `cat /etc/passwd` и обнаружил "backupuser", после чего удалил его через `userdel backupuser`.

Затем он проверил cron-задания:

crontab -l -u backupuser

В них нашёлся скрипт, который каждую ночь копировал новые файлы на внешний сервер через `scp`. Хакер также попытался скрыть следы, очистив логи через `shred -u /var/log/auth.log`, но фрилансер-администратор восстановил их из резервной копии журналов, хранившейся на отдельном сервере. Он проверил сетевые соединения:

ss -tulpn

И обнаружил неизвестный процесс, слушающий порт 31337 — явный след бэкдора.

В `/var/www` хранился контент, и 500 ГБ видео, включая невышедшие сериалы, уже утекли. Бэкапы делались вручную и нерегулярно — последняя копия была недельной давности, из-за чего часть данных оказалась утеряна. Пришлось откатить сервер из этой копии.

Последствия и уроки

Через неделю пираты выложили в сеть приватные видео клиентов, включая эксклюзивные сериалы. Два ключевых партнёра разорвали контракты, а ущерб составил $200 тыс. — столько стоили права на контент. Стартап попал в чёрный список ассоциации стриминговых платформ, что заблокировало доступ к партнёрским программам.

Регуляторы оштрафовали компанию на $50 тыс. за нарушение закона о защите данных, так как в утечке оказались персональные данные пользователей. Основательница была в панике: разрыв контрактов поставил стартап на грань закрытия, и она созвала срочное совещание, чтобы спасти репутацию.

Основательница организовала обучение для команды, чтобы тестовые аккаунты удалялись сразу после использования, но из-за срочных задач его отложили, и разработчики продолжали оставлять временные аккаунты. Фрилансер-администратор внедрил двухфакторную аутентификацию для SSH через Google Authenticator, чтобы даже с паролем войти было нельзя без кода.

После инцидента контент начали хранить в зашифрованном виде с помощью LUKS. Установили Fail2ban для блокировки IP с подозрительной активностью и OSSEC для мониторинга изменений в системе. Также он настроил скрипт в cron, который с правами root каждые 24 часа удаляет пользователей с именами, начинающимися на `test`:

getent passwd | grep -E '^test' | cut -d: -f1 | xargs -I {} userdel -r {}

Внедрили регулярный аудит пользователей и процессов, ежедневное автоматическое резервное копирование в зашифрованное хранилище, а также заменили пароли на ключи SSH с обязательной двухфакторной аутентификацией. Но фрилансер-администратор всё ещё опасался, что бэкдор остался незамеченным. Это было похоже на оставленный под ковриком ключ, который привёл к краже.

"МедиаФлоу" дорого заплатила за забытый тестовый аккаунт: утечка данных, финансовые потери, штрафы и подмоченная репутация стали уроком для всей команды. Простые меры — удаление временных аккаунтов, настройка аудита, регулярные бэкапы и двухфакторная аутентификация — могли бы предотвратить катастрофу.