Атака TokenChpoken на Oracle PeopleSoft угрожает половине крупных коммерческих и государственных компаний

Атака TokenChpoken на Oracle PeopleSoft угрожает множеству крупных компаний

Компания Digital Security, предупреждает, что около половины систем Oracle PeopleSoft, доступных онлайн (42%, 231 сервер) уязвимы к атаке TokenChpoken, представленной Алексеем Тюриным, директором департамента аудита ИБ Digital Security, на конференции Hack In Paris.

Эта атака позволяет вычислить корректный ключ от аутентификационного токена, войти в систему от имени любого пользователя и получить полный доступ. У злоумышленника также появляется возможность взломать другие системы компании и ее партнеров.

В наибольшей опасности те системы, которые все еще используют для аутентификационных токенов пароль по умолчанию. Таких систем около 10 %, но так как они легко находятся через Google, воспользоваться брешью в их защите сможет даже пользователь, не обладающий специальными знаниями.

Среди уязвимых компаний 18 компаний из списка Fortune 500 и 25 из списка крупнейших государственных компаний мира Forbes 2000. Стоит отметить, что к атаке уязвима одна из крупнейших фармацевтических компаний.

Токен обычно расшифровывается брутфорсом за один день на современной видеокарте, которая обойдется злоумышленнику примерно в $ 500. Учитывая, что в организации, использующей PeopleSoft, в среднем 5000 сотрудников, затраты на получение персональных данных каждого из них составляют всего 10 центов! При этом продать такие данные на черном рынке можно примерно за $ 200, так что обнаруженная атака может стать основой для прибыльного бизнеса.

Кроме того, коммерческие и государственные компании постоянно взаимодействуют друг с другом, что на техническом уровне означает обмен разнообразными данными. Теоретически, это подразумевает возможность проникновения в систему субподрядчика. Пример такой атаки через уязвимость в SAP недавно был опубликован в Washington Post.

Исследовательский центр Digital Security опубликовал результаты нового исследования публично доступных приложений Oracle PeopleSoft и их уязвимостей. Эти приложения обычно используются компаниями из списка Fortune 500 и правительственными организациями. Уязвима почти половина компаний, использующих Oracle PeopleSoft HRMS. Более 200 из них могут быть атакованы через Интернет, в том числе 18 компаний из списка Fortune 500 и 25 из списка крупнейших публичных компаний мира Forbes 2000. Продукт Oracle PeopleSoft используется более чем в 7000 компаниях, в том числе, в половине списка Fortune 100.

Статистика ниже была собрана с помощью специальных Google-запросов. Исследование показало, что через Интернет доступны 549 систем PeopleSoft, включая системы, установленные в банках (20 серверов), на производстве (17 серверов) и на предприятиях розничной торговли (24 сервера). Полученные данные мы разделили на три группы: оборонные и государственные организации (64 сервера), коммерческие предприятия (249 серверов, в том числе 169 в США) и образовательные учреждения (236 серверов). Наибольшая доля систем, доступных через Интернет, по сравнению с общим количеством компаний из той или иной отрасли, использующих PeopleSoft, обнаружилась в следующих отраслях:

  • Здравоохранение (35 %)
  • Образование (13 %)
  • Оптовая торговля (7 %)
  • Транспорт (6 %)
  • Розничная торговля (5 %)

Список организаций с наивысшей долей уязвимых PeopleSoft-серверов относительно общего количества серверов, доступных онлайн:

  • Благотворительность (85 %),
  • Продовольствие и сельское хозяйство (83 %)
  • Страхование (67 %)
  • Промышленность (59 %)
  • Розничная торговля (58 %)
  • Транспорт (55 %)
  • Правительственные институты (53 %)
  • Здравоохранение (47 %)
  • Образовательные учреждения (34 %)

Недавняя атака на Управление кадрами правительства США демонстрирует, что кража персональных данных – популярнейшая из современных кибератак. Хотя нам все еще неизвестно, какого рода системы были скомпрометированы и как именно это случилось, есть данные о том, что системы Oracle PeopleSoft используются для хранения информации о сотрудниках в других государственных службах США. Также известно из открытых источников, что Oracle PeopleSoft установлена в таких федеральных агентствах, как Национальный финансовый центр Министерства сельского хозяйства США, Министерство здравоохранения и социальных служб США и Министерство финансов США. Атаки на правительственные системы PeopleSoft могут иметь такие же последствия, как атака на Управление кадрами, или еще более разрушительные.

Стоит отметить, что инсталляция Oracle PeopleSoft обычно представляет собой сложную систему, состоящую из многих приложений. А это значит, что, стоит атакующему получить доступ к слабейшему компоненту системы, через него он сможет с легкостью проникнуть и в остальные компоненты.

Закупки VPN госзаказчиками выросли в штуках, но упали в деньгах

Общее количество завершённых закупок виртуальных частных сетей (VPN), по данным «Контур.Эгиды» и Staffcop, в 2025 году выросло на 18,5% в количественном выражении — с 8,7 тыс. до 10,3 тыс. процедур. При этом совокупный объём рынка за тот же период сократился на 25,9% — с 32,97 млрд до 24,43 млрд рублей.

Ключевой причиной столь разнонаправленной динамики аналитики называют заметное снижение средней стоимости контрактов. По итогам 2025 года она уменьшилась на 38% и составила 2,44 млн рублей против 3,92 млн рублей годом ранее.

Одновременно усилилось и снижение цен со стороны поставщиков: с 14,7% в 2024 году до 18,4% в 2025 году.

Наиболее ёмким сегментом рынка VPN остаются закупки по 44-ФЗ. В 2025 году в этом сегменте было проведено 4,3 тыс. процедур на сумму 19,87 млрд рублей. Для сравнения, годом ранее объём закупок по 44-ФЗ составлял 29,18 млрд рублей при 4,1 тыс. процедур. Основным фактором снижения в денежном выражении стало падение средней стоимости контракта почти на треть — с 7,1 млн до 4,62 млн рублей.

Закупки по 223-ФЗ, напротив, продемонстрировали умеренный рост, в том числе в денежном выражении. В 2025 году их объём достиг 3,28 млрд рублей против 2,48 млрд рублей годом ранее, а количество сделок увеличилось с 468 до 532. При этом уровень снижения цены за год вырос с 15,4% до 18,5%, что, по оценке аналитиков, указывает на усиление конкуренции, прежде всего в крупных контрактах.

В коммерческом сегменте в 2025 году было зафиксировано около 1,0 тыс. закупок VPN на сумму 791 млн рублей, тогда как годом ранее — 758 сделок на 965 млн рублей. В малых закупках количество процедур выросло с 3,4 тыс. до 4,5 тыс., а совокупный объём — с 345 млн до 482 млн рублей. При этом средняя стоимость сделки практически не изменилась и составила около 100 тыс. рублей.

Снижение совокупного объёма рынка VPN на фоне роста количества закупок аналитики во многом связывают с эффектом отложенного спроса. Значительная часть крупных заказчиков ранее закрыла потребности в VPN-инфраструктуре, заключив контракты сразу на несколько лет, что снизило потребность в новых крупных закупках в 2025 году.

Дополнительным фактором стало перераспределение части закупок на специализированные электронные площадки, из-за чего снизился «видимый» объём рынка в открытых сегментах 44-ФЗ и 223-ФЗ. Одновременно заказчики всё чаще прибегают к малым и упрощённым процедурам, поскольку такой формат быстрее и удобнее при типовых задачах и ограниченных бюджетах.

Ситуацию на рынке прокомментировал Юрий Драченин, заместитель руководителя продуктовой группы «Контур.Эгида» и Staffcop («СКБ Контур»):

«В сегменте присутствует большое количество производителей, включая новых и нишевых игроков, которые активно выходят к заказчикам с альтернативными решениями. В результате крупные организации, уже внедрившие комплексные и дорогостоящие VPN-платформы, сокращают объёмы новых закупок, тогда как спрос смещается в сторону малого и среднего бизнеса. Это усиливает ценовую конкуренцию и приводит к снижению средней стоимости контрактов при росте количества процедур», — отметил он.

RSS: Новости на портале Anti-Malware.ru