10 миллионов в трубу через дырявый почтовый сервер

Disclaimer: название компании и детали изменены, но ситуация реальная. Пишу не хайпа, ради, а потому что таких историй сейчас становится слишком много.

Я работал руководителем ИТ в региональной сети стоматологических клиник: больше двадцати точек, около 250 сотрудников, CRM, 1С, почта, серверы, персональные данные пациентов, регулярные закупки оборудования и расходников. ИТ-отдел — два с половиной человека. Отдельного ИБ-специалиста не было, всё, что связано с безопасностью, автоматически ложилось на меня.

Почта — Exchange 2019, торчащий наружу. VPN для руководства «неудобно», двухфакторки нет, IMAP/SMTP включены, из защиты спаморез и антивирус. Классическая история.

Пробовал разворачивать бесплатный postfix+dovecot+roundcube — после Exchange руководству не зашло.

Когда в октябре 2025 Exchange 2019 перестал поддерживаться, я пошел к генеральному. Обозначил, что обновления больше не выходят. И что старый Exchange будет безопасным строго до появления новых уязвимостей, закрыть которые мы уже не можем. Понятно, что Exchange SE покупать никто даже не собирался, потому что дорого, сложно купить в РФ, да и платить надо постоянно. Смотрели Яндекс и Mail корпоративные решения — по функциональности ок, но начальство сразу сказало: никаких облаков, всё должно лежать у нас. Общий аргумент был простой: «Мы не Сбер. Кому мы нужны? Работает — не трогай. Денег нет».

Я пытался объяснять, что вопрос не в том, «ломятся к нам или нет», а в том, что при следующей серьёзной уязвимости мы просто останемся без патча. Напоминал историю с ProxyLogon, когда Exchange массово ломали. Без толку.

В конце января случилась история, после которой разговоры закончились.

Поставщик написал, что не получил деньги. При этом платёж на почти 10 млн рублей у нас прошёл, банк его исполнил. Бухгалтерия подняла переписку: там было письмо о смене реквизитов, согласование, финдир дал подтверждение. Всё выглядело абсолютно нормально — письмо в том же треде, тот же стиль, никаких подозрительных доменов.

Когда начали разбираться глубже, выяснилось, что скомпрометированы несколько почтовых ящиков — финдир, бухгалтер и ещё несколько сотрудников. Один точно попался на фишинг: письмо пришло от реального партнёра, у которого до этого угнали почту. Антиспам ничего не заметил.

По остальным логика такая: входы снаружи, один IP, пароли подобрали или утекли где?то раньше. Двухфакторки не было, поэтому зайти в ящик — вопрос техники.

Дальше всё по классике, но очень аккуратно. Люди сидели внутри переписки, ждали нужный момент, подменили письмо с реквизитами, удаляли ответы в ящике финдира, чтобы не палиться. Это не была примитивная схема с «срочно оплатите по новому счёту». Это была нормальная рабочая переписка, просто внутри неё уже находился посторонний. Деньги ушли на счёт однодневки.

После инцидента мы ещё раз проговорили всё то, о чём я говорил до этого: отсутствие 2FA, устаревшая версия почты, доступ снаружи, отсутствие нормального контроля входов, отсутствие процедуры подтверждения смены реквизитов по альтернативным каналам. Антивирус в таких сценариях не спасает — если злоумышленник уже внутри почты, он работает от имени сотрудников.

Через несколько дней мне предложили написать по собственному. Формально — ответственность за инфраструктуру. По факту — руководству нужен был стрелочник. Компания потеряла больше 10 млн рублей. Экономия на почтовом решении, из?за которой отказались от миграции, составляла около 700 тысяч в год.

Я не пишу это, чтобы обвинить конкретных людей или сказать, что «все ничего не понимают». Это типичная история. В малом и среднем бизнесе решения по ИТ до сих пор принимаются по принципу «работает — не трогаем», а безопасность воспринимается как лишняя статья расходов.

Проблема в том, что атаки давно перестали быть «про крупные банки». Сейчас автоматом сканируют всех: у кого торчит наружу почта, где нет двухфакторки, где слабые пароли. И как только находится компания, у которой есть деньги и нет процессов — туда заходят и спокойно работают.

Если у вас почта без 2FA, старый Exchange без поддержки и согласование платежей идёт только по email, вы не защищены. Вам просто пока везёт.