Компания INOVA Tech подтверждает, что зафиксированный инцидент действительно затронул публичный сайт inova.kz, который является официальным информационным ресурсом компании, администрирование которого осуществлялось привлеченным подрядчиком в рамках модели аутсорсинга, принятой в компании для непрофильных сервисов.
INOVA Tech подтверждает полную безопасность своей инфраструктуры после инцидента на сайте inova.kz.
Компанией проведено оперативное расследование попытки несанкционированного доступа к публичному сайту компании и полностью локализировала инцидент.
Анализ показал, что инцидент стал возможен вследствие критических нарушений в процессах администрирования со стороны внешнего подрядчика. Конфигурационные файлы с административными учетными данными были оставлены в открытом доступе — это классическая уязвимость, которая давно превратилась из исключения в тревожный тренд в отрасли.
Злоумышленники использовали эту халатность для получения доступа к CMS-панели сайта и не более того.
Критически важно:
- Клиентские данные не затронуты (сайт их вообще не обрабатывает);
- Информационные системы не скомпрометированы;
- Операционная деятельность компании не нарушена;
- Ущерб клиентам и партнёрам равен Нулю.
Компания INOVA Tech не ограничилась ответственностью подрядчика и провела собственное экспертное расследование, а также предоставила подрядчику детальные рекомендации по устранению уязвимостей и приведению в соответствие с современными стандартами безопасности.
В данный момент рассматривается переход сайта к провайдеру с доказанной компетентностью в области secure development и непрерывного мониторинга.
Отдельно отмечаем, что первые сообщения о возможном инциденте появились в мессенджерах и социальных сетях профессионального сообщества ИБ-специалистов, но к сожалению, мы не были уведомлены коллегами напрямую.
Мы благодарны специалистам информационной безопасности, которые поделились информацией об инциденте в профессиональных сообществах. В нашей отрасли открытый диалог об уязвимостях — это не критика, а инструмент коллективной защиты. INOVA Tech полностью разделяет эту философию.
Инцидент демонстрирует не слабость нашей безопасности, а важность постоянного совершенствования стандартов во всей цепочке поставок IT-услуг. Мы усилим требования к выбору подрядчиков и ужесточим контроль над процессами разработки и администрирования.
Безопасность наших клиентов — это не PR-фраза, это наша основная компетенция и фундамент доверия.