Dans la nuit du 1er au 2 novembre, un acte de sabotage informatique d’une ampleur inédite a frappé Beget, l’un des principaux hébergeurs web en Russie. Un cybercriminel s’est introduit dans le système de gestion de l’entreprise pour y déployer un wiper, un logiciel malveillant conçu exclusivement pour détruire les données. Face à l’ampleur des dégâts subis par son infrastructure cloud, le prestataire est désormais contraint de reconstruire une grande partie de ses services à partir de zéro.
Une destruction ciblée sans aucune demande de rançon
Fondé en 2007, l’hébergeur Beget est un poids lourd du secteur numérique russe. Il gère plus de 540 000 noms de domaine en .ru, soit près de 15 % du marché national, et héberge les services de plus de 200 000 clients. L’attaque survenue au début du mois de novembre a directement ciblé les passerelles d’administration de l’entreprise avant de déclencher la suppression systématique des fichiers.
Contrairement aux rançongiciels traditionnels qui chiffrent les données pour exiger un paiement, le programme malveillant utilisé ici a écrasé l’ensemble des informations en les remplaçant par des suites de zéros. Selon les constatations techniques de Beget, aucune tentative d’extraction de données n’a été détectée. L’opération visait uniquement la destruction pure et simple de l’infrastructure, impactant les serveurs virtuels (VPS), le stockage S3 et les clusters Kubernetes.
Des sauvegardes effacées et des conséquences en chaîne
La gravité de l’incident s’explique par la méthode employée : l’attaquant a également ciblé le système de copies de sécurité. Les sauvegardes intégrales de l’ensemble des serveurs virtuels ont été intégralement détruites, et seule une fraction des sauvegardes de fichiers simples a pu être préservée. L’hébergeur estime qu’il ne sera en mesure de restituer les données qu’à environ la moitié des clients disposant d’un VPS.
Les répercussions touchent de multiples secteurs à travers le pays :
- Des milliers de boutiques en ligne, de médias indépendants et de plateformes éducatives ont été brutalement interrompus.
- Des services institutionnels ont été paralysés, dont le site de la mairie de Narian-Mar et Tchestny Znak, le système national de traçabilité des marchandises.
- La vulnérabilité des architectures centralisées a été mise à nu, rappelant le danger de conserver serveurs et sauvegardes chez un même prestataire.
Sur le plan géopolitique, cet incident survient alors que Beget et l’un de ses cofondateurs ont fait l’objet de sanctions par l’Union européenne plus tôt cette année, en raison de services fournis aux autorités d’occupation russes en Ukraine et à des entités liées au secteur de la défense.
Une reconstruction manuelle longue et complexe
Pour contenir la progression du malware, les ingénieurs ont dû couper la totalité du réseau. Si les serveurs dédiés gérés directement par les clients ont pu être réactivés dès le 2 novembre, la remise en service de l’hébergement mutualisé prend plus de temps. Quelques jours après l’attaque, environ 60 % de ces serveurs mutualisés étaient de nouveau opérationnels.
Pour le reste des équipements, l’entreprise doit inspecter manuellement environ un millier de serveurs physiques afin de s’assurer qu’aucune porte dérobée ou script malveillant n’y subsiste. Beget a invité l’ensemble de ses usagers à renouveler urgemment tous leurs identifiants et clés d’accès. Aucune revendication n’a été formulée à ce jour, et l’hébergeur refuse de détailler le vecteur d’infiltration initial en raison de l’enquête policière en cours.