Коротко. Если хостинг сообщил, что ваш сервер затронут, считайте, что всё с его диска скопировано. Сначала спасите деньги: платёжные системы и криптокошельки. Потом смените все пароли и ключи, которые лежали на сервере, а старые отзовите. Проверьте журналы входов. Если утекли данные ваших клиентов, сообщите в Роскомнадзор.

Что случилось у FirstVDS

17 октября 2026 года злоумышленники получили доступ к части инфраструктуры хостинга FirstVDS через уязвимость в VMmanager 6. Это система, через которую хостинг управляет виртуальными серверами клиентов. Её делает ISPsystem из группы «Астра».

Что пишет сам FirstVDS:

  • На части серверов хостинга запустили программу для кражи данных. Она подключала диски клиентских серверов только для чтения и копировала с них пароли, ключи SSH и API, токены, файлы настроек, историю команд, криптокошельки и файлы пользователей.
  • Программа ничего не меняла и не запускалась внутри серверов клиентов. Поэтому на самих серверах следов нет, и они работали как обычно.
  • Владельцам затронутых серверов хостинг отправил уведомление в личный кабинет и на почту. Кто его не получил, у тех следов атаки на узлах не нашли.
  • Панель управления серверами для клиентов закрыта, пока разработчик не устранит уязвимость полностью. 20 октября FirstVDS написал, что «скорее всего, надолго».

По данным vc.ru и РБК, об атаке через ту же систему сообщили и другие хостинги: ForestNet Cloud, MHost, HSH Network и YaColo. ForestNet пишет, что заражение могло идти с 11 по 16 октября, а основная атака пришлась на ночь с 16 на 17 октября.

Если у вас обычный виртуальный хостинг для сайта, а не свой сервер, такая атака тоже возможна: там на одном сервере живут сайты многих клиентов. Порядок действий ниже подходит для обоих случаев.

Что сделать сразу

Порядок действий при взломе хостинга: деньги, пароли и ключи, отзыв старых ключей, проверка входов, персональные данные клиентов

1. Деньги

Первым делом закройте то, через что можно вывести деньги:

  • Криптокошельки. Если ключи от кошелька лежали на сервере, переведите средства на новый кошелёк, созданный на другом, чистом устройстве.
  • Платёжные системы. Смените ключи API ЮKassa, CloudPayments и других платёжных сервисов, которые подключены к сайту. Старые ключи удалите в их личном кабинете.
  • Банк. Если на сервере были доступы к интернет-банку для бизнеса, смените их и предупредите банк.

2. Пароли и ключи с сервера

Смените всё, что хранилось на сервере или в настройках сайта:

  • пароль root и других пользователей сервера;
  • ключи SSH;
  • пароли баз данных (обычно лежат в файле настроек сайта, например wp-config.php у WordPress);
  • пароли админки сайта и панели управления;
  • почтовые ящики;
  • токены облачных сервисов, CI/CD, GitHub и GitLab;
  • токены ботов Telegram, если боты работали на этом сервере.

3. Отзовите старые ключи

Новый пароль не отменяет старый ключ API. Зайдите в каждую облачную консоль, GitHub или платёжную систему, найдите список ключей и токенов и удалите старые. Только тогда украденный ключ перестанет работать.

4. Проверьте входы

Посмотрите журналы входов на сервере и в сервисах, ключи от которых были на нём. Ищите входы с незнакомых адресов после даты атаки. Если кто-то успел войти до смены паролей, проверьте на сервере:

  • файл ~/.ssh/authorized_keys: нет ли чужих ключей;
  • список пользователей: не появились ли новые;
  • задания cron и службы systemd: не добавилось ли незнакомых.

На обычном хостинге без доступа к серверу проверьте в панели журнал входов в личный кабинет и список FTP-пользователей. Если нашли чужое, сразу пишите в поддержку.

5. Персональные данные клиентов

Если на сервере были данные ваших клиентов (заявки с сайта, базы покупателей), это утечка персональных данных. Закон обязывает сообщить о ней в Роскомнадзор: в течение 24 часов о самом инциденте и в течение 72 часов о результатах своей проверки. FirstVDS советует пострадавшим проконсультироваться с юристом.

Как подготовиться заранее

  • Не храните на сервере лишнего. Ключи от кошельков, банковские доступы и пароли от других сервисов там не нужны. Сайту достаточно доступа к своей базе.
  • Держите список доступов. Где какой пароль и ключ используется. Тогда при взломе вы смените всё за час, а не будете вспоминать неделю.
  • Делайте резервные копии на другом месте. Не у того же хостинга: копия на соседнем сервере может пропасть вместе с основным.
  • Включите вход по ключам SSH и двухфакторную защиту в личном кабинете хостинга, если она есть.
  • Читайте почту от хостинга. Уведомление о взломе приходит туда и в личный кабинет. Если почта на домене живёт у того же хостинга, укажите в аккаунте запасной адрес.

Наш опыт

Наш сайт hostatlas.ru статический: это готовые HTML-файлы без базы данных и без админки. Красть на хостинге почти нечего, а пароль от FTP хранится не на сервере, а в секретах GitHub, откуда сайт выкладывается сам. Если хостинг взломают, мы сменим один пароль и выложим сайт заново. Подробно — в статье как мы сами запустили сайт.

Читайте также

Источники

Частые вопросы

Сайт работает как обычно. Значит, меня не задело?

Нет. При взломе FirstVDS программа копировала данные с дисков серверов и ничего на них не меняла, поэтому серверы работали как обычно. Ориентируйтесь на уведомление от хостинга, а не на то, открывается ли сайт.

Что менять первым: пароль от хостинга или пароли на сервере?

Сначала то, через что можно украсть деньги: платёжные системы, криптокошельки, доступы к банку. Потом пароли и ключи с сервера: root, базы данных, панели сайта, почта, облачные сервисы. Пароль от личного кабинета хостинга тоже смените, если он где-то хранился на сервере.

Хватит ли просто придумать новые пароли?

Нет. Старые ключи и токены нужно отозвать: удалить в облачной консоли, на GitHub или в платёжной системе. Иначе по украденному ключу можно войти, даже если вы создали новый.

Нужно ли сообщать в Роскомнадзор?

Если с сервера могли утечь персональные данные ваших клиентов, по закону о персональных данных об этом нужно уведомить Роскомнадзор: в течение 24 часов о самом инциденте и в течение 72 часов о результатах проверки. FirstVDS советует пострадавшим проконсультироваться с юристом.