Взлом Tez Tour: как уязвимость сервиса загрузки файлов обернулась потерей резервных копий

15 сентября 2026 года на главной странице сайта туроператора Tez Tour в доменных зонах .com и .by появилось сообщение о взломе: хакерская группировка, называющая себя DataSuckers, заявила, что скомпрометировала инфраструктуру компании и уничтожила более 395 миллионов записей. Сам по себе факт очередной атаки на крупный сервис вряд ли удивителен, но этот случай интересен другим — нападавшие публично раскрыли всю цепочку атаки, от уязвимости в сервисе загрузки файлов до удаления резервных копий, лежавших на тех же серверах, что и рабочие данные. Получился редкий разбор инцидента почти по шагам — учебный пример того, к чему приводит инфраструктура, построенная без учёта базовых требований киберустойчивости.

Что именно произошло

По данным DataSuckers, доступ к инфраструктуре Tez Tour они получили примерно за две недели до публичного объявления атаки и всё это время постепенно расширяли привилегии, оставаясь незамеченными. Хакеры утверждают, что скачали и затем уничтожили 45,4 млн записей бронирования, 21,5 млн заказов туров, 52 млн бронирований отелей и 252 млн финансовых транзакций — суммарно более 395 млн записей, — а также похитили паспортные данные, сведения о банковских картах, телефоны и адреса клиентов. Tez Tour официально подтвердил факт кибератаки и то, что сайты в зонах .com и .by были недоступны, но с масштабом, описанным злоумышленниками, не согласился: по заявлению компании, признаков утечки данных туристов и партнёров не обнаружено.

Как хакеры получили доступ

Наиболее показательная часть истории — описанный самими DataSuckers вектор атаки. Точкой входа стал сервис загрузки файлов на сайте компании: из-за недостаточной проверки загружаемого содержимого атакующие смогли отправить на сервер файл с PHP-кодом и добиться выполнения команд внутри изолированного Docker-контейнера. Формально контейнер был отделён от основной инфраструктуры, но имел сетевой доступ к внутренним ресурсам компании. Используя эту лазейку, хакеры нашли учётные данные от SVN-репозиториев, исходный код и конфигурационные файлы с паролями от баз данных, а затем добились выполнения произвольного кода в продакшен-среде через панель управления Tomcat Manager — классическая цепочка эскалации привилегий от периферийного веб-сервиса до ядра инфраструктуры.

Почему резервные копии не спасли

Отдельная и, пожалуй, самая поучительная деталь инцидента — судьба резервных копий. По утверждению атакующих, бэкапы данных хранились на тех же серверах, что и рабочие базы, поэтому после получения широких прав в сети хакеры смогли удалить не только исходные данные, но и их резервные версии. Именно это обстоятельство, а не факт первоначального взлома, превращает подобные инциденты из рядовой утечки в инфраструктурную катастрофу: без изолированных бэкапов восстановление систем растягивается на недели, а часть данных может быть потеряна безвозвратно — независимо от того, платит жертва вымогателям или нет.

Мотив атакующих и судьба данных

По собственному заявлению, DataSuckers действуют около полугода и уже успели взломать несколько других крупных ресурсов, а основной мотив — финансовая выгода. Похищенные персональные данные, по их словам, предлагались для продажи через так называемого «пробив-бота» — telegram-сервис, который за плату выдаёт сведения о конкретном человеке по обрывочным данным вроде номера телефона или части паспорта. Это встраивает эпизод с Tez Tour в более широкий тренд 2026 года: похищенные базы всё чаще используются не для одноразовой перепродажи целиком, а как постоянное «топливо» для сервисов точечного поиска информации о людях и последующего мошенничества или шантажа.

Что это значит на практике

Даже если реальный масштаб утечки окажется скромнее заявленных 395 млн записей — а расхождение между версией атакующих и официальной позицией компании типично для подобных инцидентов, — сама цепочка атаки универсальна и мало зависит от конкретной жертвы: слабая проверка загружаемых файлов, устаревшее программное обеспечение с известными уязвимостями, избыточные сетевые права у формально изолированных сервисов и резервные копии без физического или логического разделения с рабочей инфраструктурой. Для любой компании, хранящей персональные и платёжные данные клиентов — а туроператоры собирают крайне чувствительный набор из паспортов, оплат и маршрутов поездок, — это не экзотика, а базовый чек-лист: валидация содержимого при загрузке, сегментация сети, регулярная ротация учётных данных в репозиториях кода и бэкапы, недоступные из той же инфраструктуры, которую они должны защищать.