Троих предполагаемых участников хак-группы DataSuckers задержали после расследования атаки на сеть ресторанов «Додо Пицца». По данным СМИ, следователи вышли на одного из подозреваемых из-за банальной ошибки: он засветил домашний IP-адрес при подключении к скомпрометированным системам.

История показывает, как одна неосторожность ломает всю конспирацию. Даже если злоумышленник использует чужие учётные данные, цепочку его действий всё равно можно восстановить по логам, адресам подключения и следам доступа к корпоративным сервисам.

Что произошло

Как пишет Baza, в DataSuckers входили четыре человека из России, Казахстана и Беларуси. Среди задержанных оказался 19-летний Денис Фридман из Барнаула; журналисты утверждают, что сначала он тренировался на украинских сайтах, а затем переключился на более крупную цель в России.

Отдельно суд уже отправил Фридмана под домашний арест до 8 декабря 2026 года. Его связывают с атакой на IT-систему «Додо Пиццы» и обвиняют по пунктам «а» и «в» части 3 статьи 272.1 УК РФ — речь идёт о незаконных операциях с компьютерной информацией с персональными данными, совершённых из корыстной заинтересованности и группой лиц по предварительному сговору.

Как это сделали

По версии, которую приводит издание, отправной точкой для атаки стали действующие учётные данные компании, найденные в открытом доступе на GitHub. Дальше злоумышленники использовали доступ к связанным корпоративным системам и добрались до облачных хранилищ и баз данных, а заодно нашли дополнительные пароли.

Такая схема не выглядит изобретательной, но остаётся одной из самых опасных. Если пароль или токен лежит в публичном репозитории, атакующему уже не нужен сложный взлом: он просто входит в систему как обычный сотрудник, а потом расширяет доступ шаг за шагом. О том, как хрупко такое «наследование доверия», мы уже писали в разборе цепочки, которая ведёт от одной дыры к большому компромиссу.

По сути, DataSuckers, если верить опубликованным данным, использовали не столько продвинутый эксплойт, сколько плохую гигиену доступа. Публичный код, повторно используемые пароли, слабый контроль над корпоративными сервисами — этого часто хватает, чтобы украсть данные и потом шантажировать компанию.

Кого затронуло и какие последствия

В публикации также говорится о связи группы с атаками на украинскую сеть ATB Market и туроператора Tez Tour. В последнем случае, по словам хакеров, они якобы дефейснули сайт, похитили и уничтожили 395,5 млн записей, включая данные о бронированиях, заказах туров и финансовых транзакциях, а также удалили резервные копии. В самой компании подтвердили атаку, но заявили, что признаков утечки не нашли.

По «Додо Пицце» картина тоже остаётся смешанной. Компания подтвердила сам факт взлома и допустила утечку персональных данных части клиентов. При этом сами злоумышленники утверждали, что получили базу примерно о 68 млн клиентов из разных стран и 65 млн уникальных телефонных номеров.

Самый неприятный для любой компании вывод здесь простой: инцидент редко заканчивается на первом взломе. Дальше начинается шантаж, продажа данных и попытки монетизировать доступ любым способом. По данным Baza, похищенную БД якобы даже продали в даркнете за 100 000 долларов США, а деньги ушли на общий криптокошелек группы.

Что сейчас делать читателю

Если история DataSuckers кажется далёкой от обычной жизни, это обманчивое впечатление. Подобные атаки часто начинаются не с «хакерского гения», а с одного случайного файла, сохранённого пароля или токена в репозитории. Для бизнеса это повод пересмотреть контроль доступа, а для сотрудников — привычки, связанные с хранением данных и входом в корпоративные сервисы.

Хорошая базовая защита начинается с трёх вещей: уникальные пароли, двухфакторная аутентификация и отказ от хранения секретов в открытом виде. Для удалённой работы и фриланса стоит добавить ещё один слой цифровой гигиены — например, аккуратное защищённое подключение для рабочих задач и контроль того, где именно вы входите в корпоративные сервисы.

Для компаний вывод ещё жёстче: проверяйте публичные репозитории, следите за токенами доступа и ограничивайте права по принципу минимально необходимого. Иначе одна утечка превращается в цепочку, которую уже трудно остановить.

Чек-лист

  • Проверьте, не лежат ли в открытых репозиториях пароли, токены и конфиги с доступом к рабочим сервисам.
  • Смените пароли, если один и тот же логин используется в нескольких системах.
  • Включите двухфакторную аутентификацию везде, где это возможно.
  • Удалите старые ключи доступа и неиспользуемые учётные записи.
  • Ограничьте доступ к облачным хранилищам и базам данных по принципу минимальных прав.
  • Проверьте журналы входов: неожиданные адреса и время входа часто первыми выдают проблему.
  • Не храните секреты в коде, заметках и общих чатах.
  • Если работаете вне офиса, используйте защищённый канал для рабочих подключений как часть набора цифровой гигиены наряду с менеджером паролей и 2FA.
Поделиться: