Рецептуры табачных продуктов, включая доли и объёмы химических компонентов, лежали в сетевом ресурсе, доступном без ограничений для любого сотрудника компании. Открытая сетевая папка с конфиденциальными документами обнаружилась во время легального пентеста — и этот кейс хорошо напоминает российским ИТ-командам: утечка часто начинается не со сложного эксплойта, а с привычной общей шары в домене.
О находке рассказал пентестер и специалист по red team Dahvid Schloss, сообщает The Register. Он проверял инфраструктуру неназванной табачной компании и сначала использовал Metasploit для поиска уязвимостей. По его словам, антивирус Trend Micro не отреагировал даже на шумное сканирование сети. Это уже было тревожным сигналом: средства защиты либо не контролировали активность, либо их сигналы никто не разбирал.
Чтобы сделать отчёт полезнее для заказчика, Schloss переключился с технических уязвимостей на поиск данных, потеря которых была бы действительно болезненной для бизнеса. Для производителя продукции таким активом логично оказались рецептуры. Пентестер начал искать файловые ресурсы с анонимным или неаутентифицированным доступом, нашёл один из них и проверил его через Nmap.
На хосте были открыты порты 139 и 445 — стандартные признаки работы Windows SMB. Сам по себе SMB не проблема: он нужен тысячам корпоративных сетей. Проблема возникла в правах. Внутри ресурса хранились ИТ- и HR-документы, а доступ к нему, как утверждает Schloss, не был ограничен для сотрудников компании. Среди каталогов нашлась папка с названием confidential.
В ней лежали файлы, названные по шаблону «рецепт — продукт — подпродукт — дата». Открыв один из документов, специалист увидел описание состава конкретного табачного изделия: веса, объёмы и процентные доли ингредиентов. В верхней части файла красным было указано, что документ конфиденциальный, в нижней — что его нельзя распространять. Формальные пометки, однако, не заменяют контроль доступа: любой пользователь сети мог добраться до данных через обычный Проводник Windows.
Schloss скачал один файл, чтобы доказать возможность эксфильтрации, но руководитель потребовал удалить локальную копию из-за чувствительности содержимого. Решение понятно с точки зрения минимизации хранения чужих секретов, но оно лишило команду самого наглядного доказательства. Когда пентестер сообщил о находке службе безопасности заказчика, ему заявили, что рецепты ненастоящие, а сами файлы якобы не существовали.
Спор продолжался около года. В отчёте остался перечень найденных документов, но не их содержимое: копия была удалена. Позже Schloss снова проверил каталог и увидел, что файлов там уже нет — их удалили или перенесли. Это не доказывает происхождение каждого документа, но резко ослабляет версию о безобидной тестовой папке. Если данные действительно были фиктивными, компании всё равно пришлось бы объяснить, почему они лежали рядом с чувствительными кадровыми и ИТ-материалами в ресурсе без корректной сегментации.
Для ИТ-директора здесь нет экзотики. Открытая сетевая папка возникает из сочетания старых групп доступа, спешки при миграции файлов, временных исключений и отсутствия владельца данных. Аудиторы обычно проверяют, кто имеет права на ресурс, но гораздо реже задают второй вопрос: зачем этому человеку доступны именно эти каталоги. В результате права «для отдела» переживают реорганизации, увольнения и смену подрядчиков, а SMB становится удобным внутренним каналом утечки.
Практическая минимальная программа выглядит скучно, зато работает: инвентаризировать файловые шары, отключить гостевой и анонимный доступ, назначить владельцев папок, пересмотреть наследование разрешений и включить журналирование чтения и массового копирования для критичных каталогов. Отдельно полезно регулярно проверять, не появились ли на общих ресурсах файлы с маркерами вроде confidential, salary, passport, recipe или source code. Поиск таких артефактов не заменяет классификацию данных, но быстро находит места, где политика безопасности существует только в красной надписи внизу документа.
Главный вопрос в подобных инцидентах не в том, сумеет ли внешний злоумышленник подобрать сложную цепочку атак. Если он получит учётную запись сотрудника через фишинг, скомпрометированный VPN или заражённый ноутбук, открытая сетевая папка сама превратит один скомпрометированный аккаунт в доступ к коммерческим секретам. И отрицание находки пентестера не исправляет риск: оно лишь сокращает время, которое остаётся у компании до следующей, уже не учебной проверки.
