Почему сайт лежал три дня. Что случилось с Beget и при чём здесь мы

2026-11-10

С 1 по 4 ноября 2026 года сайт NFCrafter не открывался. Не «медленно работал» и не «показывал ошибку» — его просто не было. Вместе с ним не было ещё сотен тысяч сайтов: хостинг-провайдер Beget, где жил наш сервер, в ночь с 1 на 2 ноября уничтожили вирусом-вайпером.

Это не оправдание, а объяснение. Ниже — что именно произошло, почему обычные меры защиты не помогли, что стало с вашими данными и что мы изменили в работе, чтобы это не повторилось.

Что произошло: коротко

В ночь с 1 на 2 ноября неизвестные получили доступ к системам управления всей инфраструктурой Beget — не к отдельному серверу, а к управляющему слою, откуда можно добраться до всего. Дальше они запустили скрипты, которые стирали данные.

Beget обнаружил атаку достаточно быстро и отключил все серверы от сети, чтобы вирус не распространился дальше. Но к этому моменту данные уже были уничтожены — не зашифрованы, не украдены, а стёрты.

Утром 2 ноября провайдер разослал клиентам уведомление о форс-мажоре. Формулировка из официального сообщения:

«Настоящим ООО "Бегет" уведомляет клиентов о возникновении обстоятельств, которые обладают признаками непреодолимой силы (форс-мажора) в соответствии с пунктом 3 статьи 401 Гражданского кодекса РФ и положениями действующих договоров.»

Что именно уничтожили

По официальным сообщениям провайдера, погибли:

• вся облачная инфраструктура — виртуальные серверы (VPS), объектное хранилище S3, кластеры Kubernetes;
• настройки CDN и конфигурации IP-адресов;
• бинарные резервные копии VPS — полностью;
• файловые резервные копии — частично, примерно у половины клиентов.

Про бэкапы провайдер написал отдельно, и это самая неприятная часть:

«К сожалению, восстановить все данные невозможно. Мы долго искали решения, но по актуальной оценке файловые бэкапы VPS будут доступны только для половины пользователей.»

Почему «бэкапы у провайдера» не спасли

Главный вывод, который мы сделали, и которым стоит поделиться: резервные копии, которые вы не контролируете, — это не ваши резервные копии.

Логика, которая кажется очевидной: «я плачу за хостинг, у провайдера есть бэкапы, значит данные в безопасности». Проблема в том, что бэкапы лежали в той же инфраструктуре, что и основные данные, под тем же управлением. Одна точка входа в управляющий слой — и стирается всё сразу: серверы, база, копии.

Наш VPS попал в ту половину, которой бэкап не достался. Если бы у нас не было своего дампа базы, сделанного вручную неделей раньше, восстанавливать было бы нечего вообще.

Что осталось у нас

Хорошая часть истории. За несколько дней до аварии мы выгрузили дамп базы на свой компьютер:

Про последний пункт — честно: этих заявок нет ни у нас, ни у провайдера. Если вы писали нам в те дни и не получили ответа — напишите, пожалуйста, ещё раз. Мы ответим всем.

Почему адреса меток не изменились

Тут повезло по счастливой случайности архитектуры: на метках записан не адрес сервера, а адрес домена — `nfcrafter.ru/u/имя`. Домен не принадлежит хостингу, он наш. Мы поменяли, куда домен указывает, и все метки продолжили работать сами.

Перезаписывать метки не нужно. Это касается и визиток, которые вы уже кому-то отдали.

А данные не утекли?

Нет. И это важно проговорить отдельно.

Расследование провайдера не нашло следов того, что кто-то пытался скачать или изменить данные на скомпрометированных серверах. Атака была направлена исключительно на уничтожение. Зашифрованных файлов с требованием выкупа тоже не было.

То есть это авария доступности, а не утечка: данные перестали существовать, но никуда не «уехали». Ваши адреса, номера и содержимое визиток никому не передавались.

Для нас это не только вопрос спокойствия: по закону о персональных данных уведомление об утечке подаётся в Роскомнадзор в течение 24 часов, но подаётся оно именно при неправомерном доступе или копировании. Здесь оснований для такого уведомления нет. Уведомление об изменении сведений (потому что база переехала на другой сервер) мы подадим — это отдельная процедура и отдельный срок.

Что мы изменили

Авария показала три вещи, которые надо было делать иначе. Мы их исправили.

1. Свой провайдер вместо общего сервера. Раньше на одном VPS жили два проекта, и порт 443 приходилось делить через «нейтральный краевой узел» — общий контейнер, который не принадлежал ни одному из проектов. Теперь сервер полностью наш: один проект, один набор контейнеров, один Caddy. Меньше слоёв — понятнее, что происходит, и некому задеть чужую конфигурацию.

2. Бэкап раз в сутки, а не «когда вспомним». Провайдерский еженедельный бэкап — это потеря до семи дней данных. Теперь `pg_dump` запускается по расписанию каждую ночь, хранится 14 копий, а скрипт проверяет размер файла: если дамп подозрительно маленький, приходит предупреждение вместо тихого «всё ок».

3. Копия вне сервера. Это главное. Дамп, который лежит только на том же сервере, защищает от ошибки в коде, но не от потери сервера. Теперь свежую копию регулярно забираем к себе — туда, куда атака на хостинг не достанет.

Что делать вам, если у вас тоже VPS

Короткий чек-лист, который мы бы хотели получить сами неделей раньше:

1. Проверьте, где лежат бэкапы. Если ответ «у провайдера» — считайте, что их нет. Спросите в поддержку прямо: «бэкап хранится в той же инфраструктуре, что и мой сервер?»
2. Сделайте дамп и скачайте его себе. Прямо сегодня. Один раз. Это пять минут.
3. Проверьте, что дамп разворачивается. Бэкап, который ни разу не восстанавливали, — это не бэкап, а надежда. Мы свой проверили: развернули в чистую базу и сверили количество записей.
4. Держите код в Git в двух местах. У нас исходники уцелели только поэтому.
5. Домен держите отдельно от хостинга. Регистратор — не хостинг. Если домен и сервер у одного поставщика, авария забирает и то, и другое.
6. Не храните картинки только в файлах сервера. У нас они лежали в базе — поэтому приехали вместе с дампом. Файлы сервера у большинства пострадавших не восстановились.

Что с сайтом сейчас

Сайт работает на новом сервере, в российском дата-центре. Политика обработки персональных данных обновлена: провайдер и место размещения базы указаны, уведомление в Роскомнадзор об изменении сведений подаётся в установленный срок.

Если вы заметили что-то, что работает не так, как раньше — напишите на info@nfcrafter.ru или через форму обратной связи. Особенно если речь о визитке: мы сверили данные с дампом, но лучше проверить руками каждому.

Спасибо, что дождались.

*Источники: официальные сообщения ООО «Бегет» от 2 и 7 ноября 2026 года, публикации «Интерфакса» (02.11.2026), «Коммерсанта» (06.11.2026) и BleepingComputer (09.11.2026).*