Однажды подрядчику сети магазинов Marks & Spencer прислали фишинговое письмо. В итоге бизнес ретейлера стоял полтора месяца. Проблема в том, что при нынешних подходах к защите такой инцидент — почти неизбежность. Рассказываем о смене парадигмы и о защите бизнеса через управление идентичностью.
- 1. Введение
- 2. Ретейл — цель номер один
- 3. Чему учат реальные инциденты
- 4. Айсберг за витриной (речь, конечно, не о салате)
- 5. Периметра больше нет: ставка на идентичность
- 6. Платформенный подход: от учётной записи до устройства
- 7. Выводы
Введение
Один украденный пароль сегодня способен остановить всю работу розничной торговли: встают кассы, ложится сайт, срывается логистика.
Ретейл стал главной мишенью киберпреступников, а классическая защита периметра здесь больше не работает. Новая линия обороны проходит через цифровую личность — пользователя, сотрудника, сервиса и устройства.
Поговорим о том, почему так происходит и как выстроить защиту, не жертвуя скоростью бизнеса и удобством покупателя.
Ретейл — цель номер один
На ретейл приходится около 25 % всех утечек данных в России и 33 % в мире: больше, чем на любую другую отрасль. За этими цифрами стоит отлаженная экономика атак. На теневых площадках сейчас продаются не просто базы данных, а готовый доступ к инфраструктуре. Более половины объявлений — это уже скомпрометированные учётные записи, по сути готовые ключи от бизнеса.
Если смотреть на картину в целом, то уязвимость отрасли складывается из трёх факторов.
- Первый — человеческий: огромный штат, высокая текучка и сезонные пики вроде «чёрной пятницы» или новогодних распродаж, когда временный персонал нанимают сотнями, а перегруженные ИТ-отделы не успевают вовремя отзывать доступы уволенных.
- Второй — технологический: устаревшее ПО и отсутствие многофакторной аутентификации на критически значимых системах. Отметим: 42 % инцидентов начинаются с уязвимостей в программном обеспечении, то есть компании, по сути, сами оставляют двери открытыми.
- Третий — экосистемный: десятки внешних подрядчиков, каждый из которых может стать входом для атаки через цепочку поставок.
В ретейле злоумышленников интересуют две вещи: персональные данные покупателей и сама инфраструктура, которую можно зашифровать ради выкупа. В частности, 71 % атак с использованием вредоносных программ заканчиваются шифрованием данных, а 58 % пострадавших в итоге платят выкуп: в среднем около 1 млн долларов.
Чему учат реальные инциденты
В сущности, ни один из громких взломов последних лет не потребовал от злоумышленников сверхсложных техник. Хватало одного слабого звена — пароля, непропатченной системы или невключённой второй проверки.
Самый «дорогой» пример — Marks & Spencer. Атака началась с фишингового письма сотруднику ИТ-подрядчика (TCS), а закончилась 46 днями паралича: остановились онлайн-продажи и логистика, чистая прибыль упала на 55 %, прямые расходы превысили 135 млн фунтов стерлингов, а упущенные продажи достигли 324 млн фунтов. Совокупный ущерб превысил полмиллиарда в долларовом эквиваленте. Вдобавок утекли данные клиентов.
В случае The North Face взлома в классическом смысле не было. Злоумышленники воспользовались методом перебора пар логинов и паролей, которые клиенты повторно используют на разных ресурсах (credential stuffing). В их руках оказались личные кабинеты, адреса доставки и истории покупок, а вместе с ними возможность от имени магазина выманивать у покупателей СМС-коды.
Если пробить свой личный адрес электронной почты в любом сервисе проверки утечек, видно, что львиная доля данных утекла именно через ретейл и логистические компании. Речь о миллионах записей. Так, у «Буквоеда» и «Читай-города» точкой входа стала устаревшая версия «1С-Битрикс» с критической уязвимостью. Утекли 10 млн почтовых адресов, 5 млн логинов и 4 млн телефонов покупателей.
Киберугроза способна ударить и по физической инфраструктуре. Во французских супермаркетах злоумышленники через уязвимость в контроллерах получили доступ к промышленным холодильникам, изменили температурный режим и сделали скоропортящиеся товары непригодными к употреблению.
Сеть магазинов одежды 12 STOREEZ пострадала из-за внешнего контура 1С, на котором не была включена двухфакторная аутентификация. Данные и резервные копии оказались зашифрованы, за их восстановление потребовали 20 млн рублей. Компания платить отказалась, но столкнулась с тяжёлыми сбоями: встали кассы, лёг сайт, в магазинах выстроились очереди. Генеральный директор Иван Хохлов открыто рассказал об инциденте, чтобы другие ретейлеры учились на чужих ошибках.
Айсберг за витриной (речь, конечно, не о салате)
Сегодня каждый ретейлер хочет быть «магазином в кармане», и даже офлайн-сети развивают мощные цифровые витрины.
За этим фасадом скрывается огромный айсберг сервисов: обработка заказов, продажи, логистика, трекинг курьеров. И этот айсберг подвижен — постоянные акции, сезонные распродажи, подключение десятков и сотен внешних сервисов и подрядчиков.
У среднего ретейлера сотни интеграций, многие из которых давно забыты и не обновляются. Достаточно одного сервиса, залитого в прод в спешке под акцию, чтобы он стал точкой входа для цепной атаки на всю инфраструктуру. Внутри сервисов часто прописаны статичные ключи и секреты. В редком случае они находятся в хранилище (Vault), но ротируются только при каких-то нештатных ситуациях, а единой точки доверия нет.
Ещё одна зона риска — линейный персонал. Курьеры, кассиры, кладовщики и логисты работают с личных смартфонов, навязать им корпоративный механизм управления мобильными устройствами (MDM) невозможно. При этом почти каждый второй ставит бесплатный VPN из App Store или Google Play, не задумываясь о том, что это готовый внедрённый посредник (Man-in-the-Middle).
В общем, нужно менять подход к защите.
Периметра больше нет: ставка на идентичность
Российский рынок ИБ исторически вырос из сетевой безопасности: компании закупают продукты классов NGFW, WAF, SIEM и научились сегментировать периметр. Для ретейла этого недостаточно.
В ретейле невозможно возвести железобетонную стену, потому что сервисы обязаны непрерывно взаимодействовать с внешним миром. При этом сетевые средства плохо понимают концепцию сущности, т. е. субъекта, которого нужно идентифицировать, проверить и авторизовать.
Отсюда смена парадигмы: принцип Zero Trust («никому не доверяй, всегда проверяй») и платформа Identity Security. Её фундамент — продукты класса «управление доступом» (Access Management), отвечающие за аутентификацию и авторизацию. Они встречают любого пользователя — подрядчика, сотрудника или сервис — на первой линии обороны и служат осью, на которую нанизаны все сервисы компании.
Уже сейчас такую защиту можно выстроить постепенно в рамках одного проекта: от подключения базового второго фактора для критически важных сервисов и приложений до движения к практическому применению подходов Zero Trust.
Уровень 1. Сервисный IAM: доверие между микросервисами и просто сервисами
Сотни сервисов ретейлера постоянно обмениваются данными, и каждый из них — потенциальная точка компрометации. Хранилища секретов (решения класса Secret Management) эту проблему не решают. Они, конечно, обеспечивают хранение и пассивную ротацию секретов, но не являются динамическими точками доверия.
Этот разрыв закрывает класс продуктов «управление идентификацией и доступом» (IAM), который обеспечивает межсервисную аутентификацию и авторизацию. Он становится единой точкой доверия для всех микросервисов: использует ключи, сертификаты и секреты из хранилища (Vault) для взаимной верификации сервисов, а вместо статичных ключей выдаёт короткоживущие динамические токены.
Полномочия сервиса рассчитываются централизованно и передаются в самом токене, а не зашиваются в конфигурацию. Если отдельный сервис скомпрометирован, его права можно отозвать мгновенно, не затрагивая остальную инфраструктуру. Одновременно система передаёт детальные события в SIEM-систему и центр мониторинга ИБ (SOC), позволяя быстро заметить аномалию и отреагировать на инцидент.
Для ретейла это означает, что ошибка в одном наспех запущенном промосервисе больше не превращается в цепную реакцию по всей сети.
Уровень 2. CIAM: безопасный вход без потери конверсии
Дилемму «безопасно или удобно» в клиентских кабинетах снимают системы класса «управление идентификацией и доступом потребителей» (Customer Identity and Access Management, CIAM). Готовое решение обходится бизнесу выгоднее самописной логики на фронте и при этом делает вход проще, а не сложнее.
«Базовым минимумом» здесь становятся ключи доступа (passkeys) на базе стандартов FIDO2 и WebAuthn: сотрудник входит по биометрии своего устройства (Face ID, Touch ID или Android Biometrics) без паролей и СМС, а значит, атакующему нечего перебирать и нечего перехватывать. Второй слой — комплаенс клиентских устройств. Лёгкий набор инструментов разработчика (SDK) от IAM-системы в мобильном приложении снимает цифровой «слепок» смартфона, не запрашивая лишних разрешений. Поскольку люди меняют телефоны раз в два-три года, система знает привычный профиль клиента и просит дополнительную проверку только при аномалии.
Третий слой защищает уже установленную сессию. Криптографическая ключевая пара хранится на защищённом чипе устройства (TPM или Secure Enclave), и SDK подписывает ею каждый запрос. В рамках взаимодействия мобильного приложения или ЛК на сайте с сервисами ретейлера ту же задачу решает стандарт OpenID Connect DPoP (Demonstrating Proof-of-Possession).
Привязка сессии к ключу на устройстве практически полностью исключает возможность использования украденной долгоживущей сессии клиента через бесплатные VPN и атаки Man-in-the-Middle. В итоге персональные данные покупателей защищены, а клиентский путь до покупки становится короче.
Уровень 3. Сотрудники и подрядчики: Unified SSO для BYOD
Для персонала, работающего с личных ПК и смартфонов, действует та же логика: доверие выдаётся не устройству целиком, а проверенной цифровой личности в конкретный момент. Вместо тотального MDM, на который курьер никогда не согласится, на устройство ставится лёгкое корпоративное приложение-аутентификатор, а доступ к корпоративным ресурсам открывается только после проверки устройства на соответствие политикам.
Поверх этого работает Unified SSO — единая точка входа с начала рабочего дня, которая избавляет сотрудника от десятков паролей и, в отличие от традиционных Kerberos и NTLM, обеспечивает кросс-платформенный и кросс-доменный доступ, не зависящий от доступа к корпоративной инфраструктуре.
Механизм E-Passport после самостоятельной верификации личности сотрудника автоматически выпускает на устройство доверенный сертификат. Он значительно усиливает защиту данных, передаваемых между аутентификатором и сервером, от перехвата и служит для входа в почту, CRM-систему и корпоративный VPN. Наконец, контроль присутствия блокирует сессию, если сотрудник отошёл от кассы или терминала.
Для ретейла Unified SSO крайне важен: линейный персонал логинится в системы сотни раз за смену. Переиспользование криптографических ключей защищает сессию, а при бездействии она автоматически разрывается. В результате безопасность перестаёт тормозить работу кассы и склада, а уволенный или временный сотрудник не уносит с собой действующий доступ.
Платформенный подход: от учётной записи до устройства
В основе безопасности любой компании лежат учётная запись и её права: когда человек выходит на работу, он должен получать строго регламентированный объём прав. Поэтому отдельные механизмы имеет смысл связывать в единую платформу Identity Security, где каждый компонент отвечает за свой участок. В линейке Avanpost продукт класса IDM берёт на себя управление жизненным циклом учётных записей и прав доступа; для ретейла с его текучкой и сезонным наймом это прежде всего своевременные выдача и отзыв доступов.
Мультидоменную аутентификацию, федерацию и SSO, в том числе в геораспределённых кластерах, обеспечивает FAM (Federated Access Manager). Коробочное решение MFA+ позволяет быстро закрыть двухфакторной аутентификацией внешние контуры вроде 1С. А опция Device Control собирает телеметрию с устройств сотрудников и на её основе применяет адаптивные политики доступа, давая контроль над BYOD без тотального MDM.
Выводы
Разобранные инциденты объединяет одно: атака начиналась с идентичности — украденного пароля, учётной записи подрядчика, сессии без второго фактора. Поэтому и защиту логично начинать с неё.
Сейчас Avanpost видит колоссальный рост спроса на корпоративный IAM с поддержкой функций межсервисной аутентификации и авторизации, а также на защиту рабочих мест с BYOD-устройствами. Рынок движется именно в эту сторону. Современные корпоративные решения класса Access Management не закроют все проблемы ретейла в одиночку, но это обязательный фундамент, опора для применения современных технологий защиты идентичности.
Статья подготовлена при участии директора по развитию Avanpost Светланы Лихомановой.
