Jak nie prowadzić firmy hostingowej – studium przypadku

dodał 9 marca 2016 o 23:00 w kategorii Wpadki  z tagami: • • •
Jak nie prowadzić firmy hostingowej – studium przypadku

Mieliśmy już o tym nie pisać, bo wiele napisano, ale po dzisiejszym występie szefa firmy Adweb, którego klienci od 2 tygodni nie mają dostępu do swoich danych nie wytrzymaliśmy i jednak napiszemy, bo nie można tego tak zostawić.

W naszej kilkunastoletniej karierze w branży widzieliśmy wiele firm prowadzonych bez większego przywiązania do zasad bezpieczeństwa, spotykaliśmy się z różnymi praktykami i obserwowaliśmy skutki wielu awarii, jednak to, co zaprezentowała serwerownia 2be.pl oraz jej właściciel przerosło wszystko.

Katastrofa

Jeśli nie znacie historii, to na początek krótkie wprowadzenie (dłuższą wersję znajdziecie na HostingNews). Firma 2be, część Grupy Adweb, prowadziła między innymi działalność hostingową oraz rejestratora domen. Firma nie była mała – obsługiwała ok. 1,5 tysiąca kont hostingowych i 10 tysięcy kont domenowych. Od początku lutego firma miała problemy – okresowo np. przestawał działać serwer poczty. 9 lutego na profilu jej szefa pojawił się poniższy wpis:

HAJSSS

HAJJS PLSSSSSSSSS

Ktoś najwyraźniej podjechał, bo serwery znowu ruszyły, jednak mimo rekrutacji na stanowisko administratora 27 lutego padły i leżą do tej pory. Firma przywróciła po 10 dniach usługę poczty (która raz działa a raz nie), lecz zakomunikowała, że stron WWW nie odzyska nowszych niż z czerwca 2015… Sama katastrofa dla klientów wydawała się nam już całkiem poważna, jednak dopiero wypowiedzi szefa firmy pokazały, co działo się za kulisami. Wypowiedzi te są tak kuriozalne, że będziemy je komentować po kawałku.

Administratora nie było od grudnia

Firmowy administrator odszedł w grudniu 2015. Tak opisuje to CEO Grupy Adweb Bartek Juszczyk, prowadzący także szkolenia z dziedziny PR kryzysowego:

To była bardzo dziwna sytuacja. Chłopak od jakiegoś czasu chciał pracować zdalnie jako administrator, a także chciał znaczącą podwyżkę. Już zarabiał 5 cyfrową sumę, ale jego oczekiwania płacowe, były nieadekwatne to stawek rynkowych i naszych możliwości finansowych. Warto dodać też, że dział przezeń zarządzany z 13 osób zmniejszył się w ostatnim czasie do 3 osób. Dodatkowo nie mogłem się zgodzić, by pracował zdalnie. Potrzebowałem go tutaj na miejscu, także do innych zajęć, nie tylko do prac administracyjnych, ale także do części projektów, które robiliśmy jako grupa.  Po prostu się nie dogadaliśmy. Kolega od razu poszedł na L4 i właściwie kontakt z nim się urwał, mimo wielu próśb o takowy.

Administrator zarabiający 5-cyfrową sumę? Niesamowite! A do tego zespół zmniejszył się z 13 do 3 osób a on chciał podwyżkę zamiast zastąpić te 10 osób? Faktycznie, bardzo dziwna sytuacja. Firma rekrutację nowego administratora zaczęła w dniu awarii 26 lutego. Wcześniej korzystała z usług administratorów zdalnych (przypomnijmy, były administrator nie dostał zgody na zdalną pracę). Przez 2 miesiące infrastrukturą zarządzali zdalni administratorzy, a jak widać po zamieszczonym powyżej apelu niezbyt sobie z tym radzili.

Po wszystkim, dostałem właśnie informacje, że nasz były admin, zostawił po sobie duży bałagan na serwerach. Nie zabezpieczył tego i w ciągu tygodnia przyszło tyle SPAMu, że się serwery zatkały.

Tak, przyczyną awarii serwerów pocztowych wymagającą fizycznej obecności administratora był spam. Przez lata spam nie zabijał serwerów, ale nagle po odejściu administratora filtry przestały działać i spam zatkał serwery pocztowe. Co za historia…

Firma na ratunek

Gdy zdalni administratorzy przestali sobie całkiem radzić, pojawiła się firma, która w 7 dni posprzątała bałagan.

To była firma mojego klienta. Ten klient zaproponował nam współprace. Mieli u nas wcześniej hosting i domeny. Powiedział mi, że jego firma zajmuje się takimi rzeczami jak administracja serwerami.  Na początku zażądali jak dla mnie, za wysokiej kwoty za dzień pracy. Uzgodniliśmy, że pierwszy dzień będzie po niższej cenie. Wystawili fakturę, zapłaciłem. Potem pracowali jeszcze 6 dni. W międzyczasie próbowałem negocjować z nimi niższą cenę, ale nie odpowiadali na moje maile i telefony. Potem spotkałem się z nimi w Warszawie, gdzie ponownie zażądali takiej ceny za dzień pracy, jaką proponowali na początku. Skonsultowałem się z moim prawnikiem i powiedziałem im, że wysłałem im wcześniej kontrofertę i jeśli się z nią nie zgadzają, to mogą skierować sprawę do sądu. Oni nam wystawili za to fakturę w dniu 21.02.2016 , z 1 dniowym dniem płatności na sumę, co do której się nie zgadzałem.

CEO Grupy Adweb sam opisuje jak odmówił wypłaty wynagrodzenia za większość przeprowadzonych prac ponieważ nie podobała mu się żądana kwota (którą znał wcześniej). Co tu komentować.

CEO

CEO

Polityka haseł

Tu zaczynamy prawdziwe perełki. Ktoś w nocy z 25 na 26 lutego wykasował zawartość serwerów głównych i zapasowych.

Włamanie nastąpiło z piątku na sobotę w nocy 25 na 26 luty. Zrobiła to osoba, która miała dostęp do roota i znała hasło. Z tego co wiem, tylko ja znałem hasło, nasz administrator, który odszedł w grudniu, poprzedni zdalny admin, i ta właśnie firma.

Powyższy akapit czytaliśmy kilka razy, za każdym razem trzymając się mocno krzesła. Tak. Hasło root znał TYLKO poprzedni administrator (który odszedł w grudniu i nie było z nim kontaktu), poprzedni zdalny administrator (z którego usług już zrezygnowano), właściciel i nowa firma. Pytamy JAK TAK MOŻNA. Do tego hasła do serwera z jedynymi kopiami bezpieczeństwa były identyczne.

Kopie bezpieczeństwa

Jakie kopie bezpieczeństwa? Czy można tak nazywać drugi serwer z tym samym hasłem dostępny tym samym kanałem? Atakujący najwyraźniej wiedział co robi ponieważ dyski nie zostały skasowane, ale nadpisane.  Podobno dane zostały wcześniej wyeksportowane do innej serwerowni przez atakującego – czyżby postanowił przekornie jednak zrobić kopie bezpieczeństwa?

Polityka haseł, odsłona druga

CEO Grupy Adweb zapytany, jak będzie wyglądała w przyszłości polityka haseł odpowiedział:

Tak na szybko, to na pewno hasła będzie znał tylko 1 admin. Więc zawsze będzie wiadomo, kto jest winny jeśli coś się stanie.

Wezwijcie ambulans.

Aktualizacja 2016-03-10 10:15

W serwisie Google+ pojawił się wpis zawierający dodatkowe informacje na temat powyższej historii. Nie wiemy skąd jego autor czerpie swoją wiedzę, zatem poniższe informacje trzeba traktować z lekkim dystansem (niemniej pasują do całości układanki). Z wpisu wynika że administrator pracował sam a wspomniane 13 osób było programistami i projektantami stron WWW. Próba negocjacji warunków pracy i płacy skończyła się brakiem porozumienia – stąd też podjął decyzję o odejściu. Faktura za 6 dni pracy zewnętrznej firmy wyniosła 44 000 PLN. Gdy CEO nie zapłacił, otrzymał propozycję – płatność albo rollback (wycofanie efektów naprawy). Wybrał rollback twierdząc, ze znajdzie kogoś kto wszystko naprawi.

Podobne wpisy