Hospedagem russa Beget perde nuvem em ataque sem autoria

O registro tinha este caso como 'claimed/unverified', sem ator, país nem setor, com data 2026-11-04. A data é a da matéria do The Record, não a do ataque, que ocorreu na madrugada de 1 para 2 de novembro de

2026. Não é alegação de criminoso: é incidente confirmado pela própria vítima. Corrigimos para confirmed/real, país RU, setor hospedagem e nuvem. Não existe ator, e por isso 'claimed_records' e 'verified_records' ficam nulos: o dano é destruição e indisponibilidade, não vazamento.

O que a vítima admite: pelo relato da Beget (reproduzido por Vedomosti, 3DNews, Habr, Meduza e The Record; não conseguimos abrir os canais oficiais da empresa), houve acesso ao plano de controle de toda a arquitetura e execução de scripts de zeragem. Foram perdidos todos os dados de VPS, S3 e Kubernetes e as imagens binárias de backup dos VPS. As configurações de CDN e IP também sumiram. Sobreviveram as cópias em nível de arquivo. A empresa não divulga o vetor, o ator nem detalhes técnicos, com o argumento de proteger a investigação e a retomada segura dos sistemas.

O que está corroborado por fora: a queda foi visível e independente da comunicação da Beget. Serviços de terceiros que dependem dela caíram, entre eles o site informativo do Chestny Znak, o app de carsharing BelkaCar e o portal da administração de Naryan-Mar. Segundo o Kommersant, citado por Hacker e CNews, o RIPEstat mostrou um pico de quase 1 milhão de anúncios de rota em uma hora, contra máximo de 20 mil nos 90 dias anteriores. A fonte desse número é anônima, do mercado de telecom, e não pudemos conferi-lo no RIPEstat. Isso sustenta que a falha foi real e ampla, mas não diz nada sobre o vetor.

O que ninguém demonstrou: autoria e método. Nenhum grupo reivindicou o ataque; o vc.ru registra isso e a Beget diz não saber quem foi. A imprensa ucraniana e o The Record contextualizam com ataques recentes a alvos russos (FirstVDS em outubro, drones sobre datacenters da Yandex, Rosstat), mas são contextos, não evidência ligando esses eventos à Beget. Não encontramos manifestação de regulador ou de órgão de segurança sobre este caso: nada de Roskomnadzor ou do NKTsKI específico para a Beget. Uma menção ao NKTsKI numa matéria do Rambler se refere a outro incidente (o app do MChS), e não a este.

Contradições e pontos frágeis. Primeiro, o horário de início varia entre 02:46, 03:50 e 04:50, conforme o veículo e o que se considera 'início' (queixa de usuário, rota BGP ou comunicado da Beget). Segundo, a Beget disse 'sem tentativas de baixar ou alterar dados' e ao mesmo tempo mandou trocar todas as credenciais: as duas posições só são coerentes se a empresa não tem certeza. A afirmação não tem verificação independente. Terceiro, a Beget invocou força maior (art. 401 do Código Civil); críticos, entre eles analistas ouvidos pela imprensa russa, dizem que um ataque a um provedor não é, por si só, força maior, porque segurança é responsabilidade dele. É disputa jurídica e comercial, não fato técnico, mas mostra quem se beneficia da narrativa: a classificação limita a exposição contratual da empresa. Quarto, o The Record fala em 'centenas de sites' afetados, enquanto a Beget hospeda mais de 330 mil e outros veículos falam em 'milhares'. Ninguém publicou o número real de clientes afetados.

Angulo de controle falho: a perda simultânea de dados e de backups binários, preservando só cópias em nível de arquivo, aponta para falta de separação entre o plano de backup e o plano de gestão (hipótese nossa, a partir da descrição da Beget). Especialistas ouvidos pelo ComNews, via CNews, observam que é comum manter na mesma plataforma servidores, DNS, e-mail e backup. Se a Beget publicar um post-mortem, esse é o ponto a verificar. Uma análise de usuário no Habr, de caráter opinativo, sugere que ataques assim têm motivação 'pragmática', como extorsão ou exfiltração; é opinião sem evidência e não a tratamos como fato.

Sobre os números sobre porte: 334.562 sites ativos em outubro de 2026 vêm de um censo de hospedagens citado pela Meduza (via VC); 540,7 mil domínios RU (14,7%) vêm de dados do statonline.ru citados pelo Kommersant e pelo Important Stories. Medem o tamanho da Beget, não o dano. O 'quase 100%' de sites recuperáveis vem da própria empresa e ainda depende da checagem manual de mais de 1.000 servidores.

Clientes de VPS, armazenamento S3 e Kubernetes da Beget perderam os dados nesses serviços e, sem backup independente, não os têm de volta. As cópias em arquivo dos VPS permitem recuperar parte do conteúdo, mas as máquinas não voltam como estavam, e as configurações de CDN e IP foram perdidas. Clientes de hospedagem compartilhada tiveram dias de indisponibilidade de sites, e-mail e painel; a Beget estima recuperar quase todos os sites, mas a verificação de mais de 1.000 servidores continua. Serviços de terceiros que dependem da Beget também caíram, como BelkaCar e o site informativo do Chestny Znak. A empresa suspendeu cobranças durante o incidente e notificou força maior. Não há confirmação de vazamento de dados pessoais, e a Beget afirma não ter indícios de exfiltração.