Через пять дней после атаки замер hegai.media показал: не открылись 61,4% проверенных сайтов в сетях российского хостинг-провайдера Beget. В сопоставимой группе на других хостингах недоступными оказались 12,9% сайтов.
Редакция выбрала из рейтинга Tranco по 1478 популярных доменов в зонах .ru, .su и .рф для каждой группы. Сайты проверяли по защищённому и обычному протоколам, а недоступные — ещё дважды с интервалами около 20 минут. Ещё 84 сайта в сетях Beget вместо своего содержимого показывали стандартную заглушку хостинга.
Основная проверка прошла с сервера в Германии. Дополнительный замер по 80 сайтов из каждой группы провели с двух узлов в Москве: для сайтов Beget результаты совпали в 77 случаях. Выборка охватывает популярные домены, которые на момент проверки указывали на сети провайдера, но не все размещённые у него сайты. Она также не разделяет виртуальный хостинг и облачные серверы. Доля недоступных сайтов в контрольной группе показывает, что часть ресурсов могла не работать независимо от атаки.
Читайте также
По официальной хронике Beget, к 5 ноября компания восстановила 60% виртуального хостинга и 40% выделенных серверов под своим администрированием. Однако 7 ноября большинство проверенных сайтов в сетях провайдера по-прежнему не открывалось.
Атака началась в ночь с 1 на 2 ноября 2026 года. Около 02:00 злоумышленники получили доступ к управляющим серверам, а в 02:30 запустили вредоносное ПО для удаления данных. В 02:55 компания отключила серверы от сети, чтобы остановить распространение атаки, а в 03:00 начала расследование и восстановление.
The Record со ссылкой на Beget сообщило, что в облачной инфраструктуре были удалены данные виртуальных серверов, хранилищ и сервиса управления контейнерами Kubernetes. Провайдер потерял бинарные резервные копии виртуальных серверов, но сохранил файловые копии, которые могли помочь вернуть часть информации. Для восстановления требовалось вручную проверить более тысячи серверов.
Выделенные серверы без администрирования со стороны Beget восстановили 2 ноября. Компания не обнаружила признаков скачивания или изменения клиентских данных, но рекомендовала сменить пароли, ключи доступа и другие учётные данные, которые могли храниться в затронутых системах.
