V noci z 1. na 2. novembra 2026 sa útočník dostal do systémov, ktorými ruský poskytovateľ webhostingu a cloudu Beget spravuje celú svoju infraštruktúru. Namiesto krádeže dát či vydierania spustil skripty, ktoré dáta na serveroch jednoducho prepísali nulami. Firma síce servery rýchlo odpojila od siete, no škody boli obrovské: podľa jej vlastných vyjadrení prišla o dáta virtuálnych serverov (VPS), objektového úložiska S3 aj služieb Kubernetes – a spolu s nimi aj o časť záloh.

Prípad je dôležitý aj pre slovenské firmy a domácnosti. Ukazuje totiž, čo sa stane, keď záloha leží „pod tou istou strechou“ ako ostré dáta a útočník získa kľúče od celého domu.

Čo sa v Begete stalo

Beget patrí medzi najväčších ruských registrátorov domén a poskytovateľov hostingu. Podľa denníka Kommersant, na ktorý sa odvoláva portál The Record, spravoval v októbri približne 540-tisíc domén .RU. BleepingComputer uvádza, že firma má viac ako 200-tisíc zákazníkov – najmä e-shopy, firemné weby, médiá a vzdelávacie služby.

Podstatné body incidentu, ako ich opísala samotná spoločnosť:

• útočník získal prístup k riadiacej vrstve celej architektúry, teda k systémom, cez ktoré sa ovládajú všetky servery naraz,
• následne spustil skripty, ktoré dáta nenávratne vymazali (tzv. wiper útok),
• binárne zálohy virtuálnych serverov boli stratené úplne, súborové zálohy prežili len čiastočne – podľa odhadu z 6. novembra budú dostupné približne pre polovicu používateľov VPS,
• vyše 1 000 serverov musia technici pred opätovným spustením ručne preveriť, či v nich nezostali skryté škodlivé skripty.

Viac než týždeň po útoku firma podľa svojej stavovej stránky obnovila asi 60 % zdieľaného hostingu a 40 % spravovaných dedikovaných serverov. Sama priznáva, že všetky dáta obnoviť nebude možné.

Kto za útokom stojí a ako sa útočník do systémov dostal, zatiaľ nie je známe – žiadna skupina sa k nemu verejne neprihlásila a Beget spôsob prieniku nezverejnil. Podľa firmy nič nenasvedčuje tomu, že by útočník dáta zákazníkov kopíroval; toto tvrdenie však zatiaľ nikto nezávisle neoveril.

Prečo je wiper horší než ransomvér

Pri klasickom ransomvéri útočník dáta zašifruje a za ich vrátenie žiada výkupné. Je to zločin, no útočník má aspoň obchodný záujem, aby dáta existovali. Wiper žiadny dešifrovací kľúč neponúka – jeho cieľom je zničenie. Ak sú dáta prepísané nulami, nepomôže zaplatenie ani vyjednávanie.

Prepísané dáta sú pre obnovu tvrdý oriešok

Pri bežnom vymazaní súboru alebo rýchlom formátovaní zostávajú dáta často fyzicky na médiu a odborné laboratórium ich vie zrekonštruovať. Pri cielenom prepísaní nulami je situácia oveľa horšia: prepísané bloky sa spravidla obnoviť nedajú. Šanca zostáva v častiach, ktoré skript nestihol prepísať (napríklad preto, že servery boli včas odpojené), v starších kópiách, snapshotoch na iných systémoch či v zvyškoch súborových systémov. Na SSD diskoch navyše príkaz TRIM a interné čistenie buniek môžu „uvoľnené“ dáta zničiť rýchlo a natrvalo.

Jeden kľúč ku všetkému

Najdôležitejšie ponaučenie: útočník nemusel napádať každý server zvlášť. Stačilo mu ovládnuť centrálnu správu a z nej zasiahnuť ostré dáta aj zálohy. Rovnaký princíp platí v malej firme s jedným administrátorským účtom pre servery, NAS aj zálohovací softvér – kto ho získa, môže zmazať všetko.

Čo si z toho vziať: praktické rady na ochranu dát

• Nespoliehajte sa len na zálohy poskytovateľa. Ak máte web, e-shop alebo server u hostingovej firmy, robte si pravidelne vlastnú zálohu (databáza aj súbory) mimo jeho infraštruktúry.
• Dodržiavajte pravidlo 3-2-1. Tri kópie dát, na dvoch rôznych typoch médií, jedna mimo pracoviska – ideálne offline alebo nemenná (immutable), ktorú nemožno zmazať ani s administrátorským heslom.
• Oddeľte prístupy. Zálohy by mali mať iné prihlasovacie údaje ako produkčné systémy a všetky administrátorské účty dvojfaktorové overenie.
• Obnovu skúšajte. Záloha, z ktorej ste nikdy nič neobnovili, je len nádej. Raz za čas si overte, že sa dáta naozaj dajú vrátiť.
• Po incidente zmeňte heslá a kľúče. Beget odporučil zákazníkom zmeniť heslá a prístupové kľúče uložené na postihnutých systémoch – rovnako postupujte aj vy pri akomkoľvek podozrení na prienik.

Varovné signály a čo nerobiť pri strate dát

Zbystrite pozornosť, ak náhle miznú súbory, disky sa javia ako prázdne či neinicializované, zálohovacie úlohy hlásia chyby alebo sa v systéme objavujú neznáme naplánované úlohy a skripty. Ak k strate dát dôjde:

• okamžite zastavte zápis na postihnuté disky – každá nová operácia môže prepísať to, čo sa ešte dá zachrániť,
• nespúšťajte opravy súborového systému (chkdsk, fsck), neformátujte a neinštalujte na disk nástroje na obnovu,
• pri SSD zvážte okamžité vypnutie, aby radič nestihol vymazať uvoľnené bloky,
• pri RAID poliach a NAS-och neprestavujte pole a nemeňte poradie diskov.

Keď ide o vaše dáta, konajte s rozvahou

Ak ste prišli o dáta po útoku, chybe alebo poruche disku, neskúšajte svojpomocné opravy – často poškodenie len prehĺbia a znížia šancu na úspešnú záchranu. Obráťte sa na odborníkov na www.zachranaudajov.sk, ktorí posúdia stav média a navrhnú najbezpečnejší postup obnovy.

Zdroj: BleepingComputer – Russian cloud firm Beget rebuilds from scratch after data wiper attack; doplnkovo The Record – Cyberattack wipes cloud data at major Russian hosting provider Beget