На острие атаки
Интернетизация туристического бизнеса вывела игроков на новый уровень конкурентной борьбы. Если раньше для этого подключали административный ресурс, то теперь достаточно хакерской атаки. За последние годы подобным атакам подверглись многие туроператоры
В последний день лета
. Банк совместно с провайдером Assist предоставлял авиакомпании сервис по эквайрингу – обработке интернет-платежей по пластиковым картам, а также обслуживание платежей. Недовольство перевозчика вызвала хакерская атака, из-за которой в самый разгар летних отпусков – с 15 по 22 июля – пострадала система онлайн-продажи билетов. В результате пассажиры просто не могли произвести оплату. Дело в том, что серверы Assist подверглись нападению: DDoS-атака велась прицельно на «Аэрофлот». По оценкам самой авиакомпании, из-за этого инцидента она понесла убытки в размере 194,22 млн руб., и теперь эту сумму перевозчик хочет взыскать с ВТБ-24. Более того, «Аэрофлот» сменил партнера по интернет-эквайрингу, им стал Альфа-банк. Авиаперевозки – одна из двух основных частей туристического рынка. И другие его участники – туроператоры, турагентства, системы бронирования – тоже становятся жертвами хакерских атак. С этой проблемой рынок туруслуг сталкивается в последние два-три года. К примеру, в результате парализации работы сайта одного из крупнейших массовых туропераротов – «Пегас Туристик» – компания заявила о потерях в миллионы долларов.
Двигатели прогресса
Когда-то основным инструментом «общения» туроператора с агентством был факс, затем его заменила электронная почта. Сейчас агентства имеют возможность бронировать операторский продукт в режиме онлайн: многие гиганты индустрии, специализирующиеся на стандартных пакетных турах, уже вовсю завязаны на онлайн-отношения с контрагентами. «На массовых направлениях бронирование турпродукта агентствами происходит прежде всего онлайн, то есть бронирование по Турции, Египту и Греции идет через сайт туроператора, где у агентств есть свои личные кабинеты», – рассказывает вице-президент информационной службы «Банко» Дмитрий Даниленко. По словам директора по электронной коммерции TUI Russia & CIS Антона Терехова, большинство транзакций в этой компании также происходит онлайн. По данным заместителя гендиректора по развитию туроператора «Роза ветров» Константина Селиванова, за последние пять лет онлайн-продажи выросли в пять раз, а по внутреннему туризму они составили около 30% общих продаж. Уже есть турагентства, которые 100% стандартных туров бронируют в онлайне. Однако даже если агентства бронируют продукт не в онлайн-режиме, сайт туроператора является для них основным источником информации. «Сейчас существует огромное количество спецпредложений, и отследить их все – титанический труд, – рассуждает коммерческий директор турбюро «Ренессанс» Елена Протопопова. – К примеру, email-рассылки от туроператоров по спецпредложениям от отелей уже воспринимаются агентствами как спам. Это огромный объем – сотни писем в день, и по ним очень сложно что-то отслеживать. Поэтому, естественно, агентства пользуются информацией туроператора на сайте, где для них выложена более подробная информация, которую не видит прямой клиент. Если сайт не работает, то агентства отрезаны от туроператора».
Поиском спецпредложений могут заниматься и сами туристы, яркий тому пример – фирма «ЧипТрип». Еще в 2004 г. агентство выросло из сообщества LiveJournal. Компания открыла новый – блоговый – канал, создав, по выражению Дмитрия Даниленко, «имидж доверительности» за счет распространения через блогеров и используя идею, что «свой не может быть плохим». Раскрутившись таким образом, «ЧипТрип», впрочем, стал вполне традиционным турагентством, предлагающим недорогой продукт, как «Магазин горящих путевок», «Горячие туры» и пр. Кроме того, по словам Елены Протопоповой, практически каждый туроператор сейчас имеет систему подбора и расчета тура на своем сайте, тогда как три-четыре года назад на нем вывешивались лишь ценовые информационные таблицы. Более того, не так давно в Россию пришел и западный тренд – онлайн-продажи туруслуг напрямую туристу. Впрочем, по оценкам участников рынка, доля такого рода онлайн-продаж у нас в стране не превышает 10%, в то время как в Европе этот показатель составляет 45%, а в Северной Америке – 60%. Тем не менее туроператоры уже понимают, что речь идет о тенденции.
Хроника бомбардированных
Впервые с мощными хакерскими нападениями турбизнес столкнулся в 2008 г., и первый удар пришелся на «инновационный» «ЧипТрип»: атаке подверглись сообщество cheaptrip, сайт cheaptrip.ru, личные блоги сотрудников, личные почтовые ящики и icq владелицы агентства Ирины Мамай, а также сообщества cheaptrip_spb и cheaptrip_ua. В том же году жертвами хакеров стал сайт туроператора «ИнтАэр». Дальше тенденция только набирала силу. В 2009 г. в сезон отпусков с той же проблемой столкнулись «Корал тревел» и «Санрайз тур», затем пострадали «Меридиан-экспресс» и «Пегас Туристик». Последней фирме, являющейся одним из крупнейших операторов на массовом выездном направлении, досталось особенно сильно. В результате DDoS-атаки за пять минут было зарегистрировано 1 млн 250 000 обращений на сайт туроператора, сайт не работал более двух недель, а фирма заявила об убытках в несколько миллионов долларов. В 2010 г. практически одновременно хакеры напали на сайты нескольких крупных туроператоров, развивающих онлайн-продажи туров непосредственно клиентам («Нева», «Капитал Тур», VKO Travel, «Мострэвел», «Ривьера»), а также на сайт «Отзыв.ру». Несколько раз в этом году с хакерами пришлось столкнуться и оператору «Роза ветров». Как рассказал «Ко» Константин Селиванов, в интернет-проекты компании вирусы попадают периодически, и наиболее активно подобные атаки проходили в феврале и мае этого года. «На решение проблем уходило от нескольких часов до недели. Столько потребовалось, чтобы Google и «Яндекс» удалили наш сайт из списка потенциально опасных. С проблемами справлялись как силами своих специалистов, так и с помощью наших партнеров – разработчиков сайта», – говорит эксперт. По его словам, мощная DDoS-атака имела место в мае, однако пока оценить размер убытков достаточно сложно. «Снижение продаж, конечно, было, но мы минимизировали проблемы. У нас несколько сайтов, и система онлайн-бронирования существует отдельно, поэтому падение одного сайта не привело к полному коллапсу», – поясняет Константин Селиванов.
Мишенью для хакеров становились не только туроператоры, но и агентства, а также системы бронирования, например Spoline, а также туристические порталы – АТОР, tourdom.ru. По словам аналитика ИК «Финам» Татьяны Меньковой, последствия для пострадавшей стороны зависят от большого количества факторов: мощности и продолжительности атаки, сроков устранения ее последствий, масштаба бизнеса, доли продаж, приходящейся на онлайн-сервисы, и т.д. «При определенных условиях последствия могут ограничиваться лишь репутационными рисками, а в другой ситуации приведут к ощутимым финансовым потерям», – говорит она. Однако важно то, что все эти события могут свидетельствовать о неких новых правилах незаконной конкурентной борьбы на рынке. Впрочем, в каких-то случаях игроки сегмента теоретически могут иметь дело просто с хулиганскими выходками, местью обиженных на туроператора или агентство клиентов и пр. Иногда похитители просят выкуп. Например, после взлома портала «Поедем.ру» туда пришло письмо с предложением выкупить сайт за 8000 руб. Однако, по словам экспертов, в общей массе вряд ли все эти участившиеся атаки – дело рук недовольных пользователей и мелких мошенников. «DDoS-атаки, к сожалению, часто случаются во всех индустриях, не только в туризме. В принципе реализация такого рода атак стоит определенных денег, и просто так, для баловства, вряд ли кто-то будет этим заниматься. Урон, который может понести компания из-за простоя сайта в пик сезона, очень велик. Это и прямые потери продаж, и вред для бренда. Падения сайтов крупных российских туроператоров наблюдались в этом году неоднократно, а вот поймать за руку заказчика атаки, к сожалению, достаточно тяжело. Думаю, все понимают, что это тупиковый путь конкуренции, и я уверен, ситуация со временем исправится», – рассуждает Антон Терехов. По словам Дмитрия Даниленко, «если раньше использовались административные и прочие «наезды» со стороны конкурентов, то сейчас, наверное, дешевле пойти таким путем». По оценкам Татьяны Меньковой, блокировка стандартного сайта на один день может обойтись заказчику в среднем в $100 – 200. Но эксперт отмечает, что при более длительном заказе стоимость услуг по организации DDoS-атаки обычно оценивается выше суточной, что связано с дополнительными усилиями хакеров-исполнителей на организацию бот-сетей. «Как правило, стоимость кибератаки сроком на неделю может превышать $1000 – 1200», – говорит эксперт.
Готовься к войне
Столкнувшиеся с проблемой хакерских атак туроператоры действовали примерно одинаково: рассылали актуальные предложения агентствам по электронной почте, а параллельно пытались устранить неполадки и усовершенствовать системы защиты своих сервисов. Однако если хакер предоставлял возможность откупиться – откупались, чтобы избежать длительных простоев в работе и денежных убытков. По словам Татьяны Меньковой, минимизировать риски и потери возможно в первую очередь за счет привлечения специалистов, а также наличия дублирующих систем, на которые можно «переложиться» в случае нападения. По мнению эксперта, время устранения проблемы зависит от мощности атаки и ресурсов, привлекаемых для ее ликвидации, а также первоначальной готовности к отражению. «Как правило, привлечение специалистов позволяет решить такие задачи в оперативные сроки – за 1–2 дня», – говорит она. Раньше туроператорам зачастую приходилось тратить на нивелирование этих проблем больше времени – от несколько недель, однако сейчас они серьезнее подходят к вопросу защиты своих серверов. «Заражение сайтов вирусами – явление распространенное, и не только на туристическом рынке. Теоретически за этим могут стоять и конкуренты, но мы не занимались поиском вредителей. Для нас было важнее как можно быстрее устранить последствия заражения и предупредить следующие: повысить безопасность работы, устранить потенциальные уязвимости, – рассказывает Константин Селиванов. – В результате атак сайт был недоступен для части пользователей, но мы информировали о наших ценах по электронной почте, активно использовали рассылку, в такие дни существенно увеличивалось количество звонков в офис». «Со своей стороны TUI использует различные современные средства защиты и мониторинга хакерской активности, так что мы защищены на уровне. Однако при наличии большого, в том числе финансового ресурса DDoS может достичь цели фактически при любом уровне защиты», – говорит Антон Терехов.
Урон, который может понести туроператор из-за простоя сайта в пик сезона, очень велик. Это и прямые потери продаж, и вред для бренда
Судебных прецедентов на этом рынке пока не было. По словам юриста практики разрешения споров и медиации «Пепеляев групп» Романа Серб-Сербина, российское законодательство не содержит норм, раскрывающих понятия «хакер», «хакерство» или «хакинг», а также «DDoS-атака», однако предусматривает возможность привлечения к уголовной ответственности за совершение компьютерных преступлений, в частности за распространение вредоносных программ. «Несмотря на отсутствие законодательно закрепленных понятий «хакер», «DDoS-атака» и т.д., они известны в юридической среде и встречаются в отечественной правоприменительной практике», – отмечает эксперт. Уголовный кодекс РФ предусматривает возможность привлечения лиц к ответственности за неправомерный доступ к компьютерной информации; создание, использование и распространение вредоносных программ для ЭВМ. В итоге хакер, осуществивший DDoS-атаку на сайт или просто распространяющий вредоносные программы в Интернете, может быть привлечен к уголовной ответственности и понести наказание в виде лишения свободы на срок до трех лет со штрафом в размере до 200 000 руб. В России отмечены случаи, когда хакеров судили. Так, Роман Серб-Сербин приводит пример одного из наиболее известных таких дел в отношении трех российских хакеров, вымогавших деньги у нескольких британских букмекерских интернет-фирм. Однако в любом случае расследование компьютерных преступлений отличается особой сложностью и занимает много времени, поэтому пока неизвестно о каких-либо вынесенных Фемидой решениях по подобным делам. Поэтому если и придется туристическому рынку когда-нибудь узнать, кто из игроков играет не по правилам, случится это не скоро.