На кибербитве Standoff взломали прототип цифрового рубля из-за базовых ошибок конфигурации

На юбилейной десятой кибербитве Standoff, прошедшей 16–19 июня в московском «Кибердоме», одним из объектов для атак стал прототип цифрового рубля. Участникам удалось скомпрометировать систему, которую подвели типовые ошибки настройки: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа.

На десятой, юбилейной кибербитве Standoff — соревновании по кибербезопасности, прошедшем с 16 по 19 июня в московском «Кибердоме», — командам предложили атаковать прототип цифрового рубля. Об этом сообщил «Код Дурова» со ссылкой на «Совкомбанк Технологии».

В течение четырёх дней 23 команды из шести стран атаковали виртуальное государство с банками, энергетикой и заводами. Одним из главных объектов на полигоне стал цифровой рубль — третья форма национальной валюты, которую Банк России только начинает внедрять. Организаторы смоделировали архитектуру, приближенную к реальной: центральную платформу ЦБ, банки-посредники и обмен сообщениями по стандарту ISO 20022 поверх отечественного банковского ПО.

Участникам удалось взломать прототип цифрового рубля. Систему подвели базовые ошибки конфигурации: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа. По словам участников, чаще всего банковские системы удаётся скомпрометировать из-за паролей в конфигурационных файлах и логах, ключей на серверах и токенов в тестовых скриптах.

Павел Чернышев, начальник управления анализа защищённости «Совкомбанка» и представитель команды DreamTeam по банковскому направлению, отметил, что участникам дали возможность протестировать технологию, ещё не вышедшую в массовую эксплуатацию. «Главный вывод: гигиена секретов важнее дорогих средств защиты. Уберите пароли из конфигов, отзывайте старые ключи, не используйте слабые пароли — и закроете большую часть реальных векторов атак», — заявил капитан команды DreamTeam.

Всего на киберполигоне из семи отраслей участники реализовали 245 критических событий. Больше всего атак пришлось на телеком — 74 инцидента, а наиболее защищённым оказался сегмент ретейла, где зафиксировано лишь семь успешных атак. Победу в соревновании в восьмой раз одержала команда DreamTeam со специалистами «Совкомбанк Технологий», набрав 148 535 очков.