Айтишник заложил в систему работодателя «код мести» на случай увольнения — за обрушение серверов он получил 4 года тюрьмы
Уволили программиста — он оставил бомбу в коде: что пошло не так
История Дэвиса Лу — не просто криминальный курьез. Это наглядный учебник по корпоративной безопасности, написанный кровью (вернее, деньгами и годами тюрьмы). Инженер из Хьюстона проработал в Eaton Corporation 12 лет. А потом его понизили в должности. И он решил отомстить.
Но давайте без морализаторства. Разберем, как именно он это сделал, почему сработало и что теперь делать компаниям. Спойлер: кнопки «нанять только хороших людей» недостаточно.
Тихая месть: одна строчка кода, которая положила сеть
Лу внедрил в корпоративную инфраструктуру две логические бомбы. Первая — бесконечный цикл Java-потока, который грузил процессоры серверов до отказа. Система падала. Вторая — функция IsDLEnabledinAD. Она сидела в коде и ждала триггера: отключения учетной записи самого Лу. Как только это случалось — блокировались все учетки в Active Directory. Тысячи сотрудников.
9 сентября 2019 года его уволили. Через минуту паралич IT-инфраструктуры. Люди не могли войти в почту, в CRM, в бухгалтерию. Ущерб — сотни тысяч долларов. Потом Лу приказали вернуть ноутбук. Он стер зашифрованные данные. А на компьютере нашли историю поиска: «как повысить привилегии», «скрытый режим процесса», «быстрое удаление файлов». Бинго.
Суть не в том, что Дэвис Лу — злодей. Суть в том, что любая компания с плохим аудитом кода — это бочка с порохом. Один обиженный админ способен парализовать бизнес на дни.
Как это работает (и почему это типично)
Лу не был хакером. Он был своим. Внутренняя угроза — самый опасный тип атаки, потому что злоумышленник знает, где лежат ключи. Он вписал вредоносный код в легитимные модули. Код прошел через код-ревью? Нет. Eaton не проверяла каждый коммит на логические бомбы. А зря.
- Триггер — событие увольнения (отключение аккаунта).
- Механизм — бесконечный цикл + блокировка AD.
- Последствия — полный простой бизнеса.
Сравните: раньше компания полагалась на лояльность сотрудников. Стало — приходится внедрять защиту от инсайдеров. Разница — в миллионах долларов убытка, если не принять меры.
Сравнительная таблица: защита до и после
| Этап | Традиционный подход (как у Eaton) | Современный подход |
|---|---|---|
| Прием на работу | Собеседование, проверка рекомендаций | Психологическое профилирование, соглашение о неразглашении |
| Доступ к коду | Широкие права для senior-разработчиков | Принцип минимальных привилегий, двухфакторка |
| Аудит изменений | Нет автоматической проверки на логические бомбы | Обязательное ревью каждого коммита с поиском аномалий |
| Процедура увольнения | Отключить учетку на прощание — и всё | Предварительная проверка кода, блокировка доступа за неделю, усиленный мониторинг в последние дни |
Пять уроков для любого IT-директора
Недавно я заметил: даже крупные корпорации экономят на безопасности, считая инсайдерские угрозы маловероятными. Зря. Вот что нужно сделать прямо завтра:
- Мониторинг кода — внедрите статический анализатор, который находит скрытые потоки и триггеры.
- Двойной контроль — ни одно изменение в критических модулях (AD, аутентификация) не должно проходить без подтверждения второго разработчика.
- Тест на увольнение — раз в квартал симулируйте отключение учетки ключевого сотрудника и смотрите, не падает ли сеть.
- Логирование и аудит — храните все действия инженеров с правами админа минимум год. Это поможет в суде.
- Человеческий фактор — велнес-программы и анонимные опросы об удовлетворенности. Часто обиду можно снять до того, как она превратится в код.
Личное: я видел случай, когда компания потеряла 8 часов работы из-за скрипта, который уволенный разработчик оставил в планировщике задач. Просто cron job, запускавшийся в полночь. Стоило 5000 долларов за экспертизу. Профилактика обошлась бы в 1000.
Резюме от автора
История Лу — не про злодея. Она про системную дыру: компании доверяют коду, но не проверяют его на предательство. Четыре года тюрьмы — это поздно. Лучше потратить неделю на ревизию прав и сегментацию сети. Сделайте это до того, как ваш «Дэвис Лу» нажмет красную кнопку.
