Кибервойна

Без права на бэкап Когда каждую кибератаку называют беспрецедентной и крупномасштабной, эти слова теряют силу. Но атака на одного из крупнейших российских облачных провайдеров Beget по своим последствиям действительно сильно выделяется на общем фоне. «В ночь с 1 на 2 ноября 2026 года на нашу инфраструктуру была совершена кибератака с получением доступа к управляющему контуру всей архитектуры и последующим запуском обнуляющих скриптов». В результаты были полностью потеряны резервные копии виртуальных серверов клиентов. Есть возможность восстановления из файловых бэкапов, но только после восстановление инфраструктуры самого провайдера. Для восстановления нужно вручную проверить 1000 серверов. Команда Beget работает в круглосуточном режиме, часть сервисов восстановлена, по российским доменам есть договорённость, что они не будут разделегированы, если подступает срок. Но пока ресурсы клиентов провайдера лежат. Всего на серверах Beget размещалось 450 тыс. сайтов — по одной оценке, из них более 330 тыс. в российских доменных зонах. Это несёт финансовый ущерб клиентам, но также может ещё больше увеличить издержки провайдера. Вчера Beget официально уведомил клиентов о наступлении форс-мажора. Но это не совсем так работает: согласно Гражданскому кодексу (на который ссылается провайдер), неисполнение обязательств в связи с обстоятельствами непреодолимой силы необходимо доказывать, а не просто заявлять, то есть этот вопрос может решаться в суде. А суды, как показывает Алексей Лукацкий, не склонны считать кибератаки форс-мажором. Ответственность за кибератаку ещё никто не взял, а Beget виновных не называл. Но подозрения падают на украинскую группировку BO Team: в ночь с 1 на 2 ноября она опубликовала два поста с намёком на новый взлом. Кроме того, у неё есть немалый опыт деструктивных атак против российской цифровой инфраструктуры, прежде всего интернет-провайдеров. Если к атаке на Beget тоже причастна BO Team, то совокупный ущерб (который, впрочем, сложно будет оценить) может сильно превзойти её прошлый рекорд с «Орион телекомом».

Владимир Зеленский в интервью американскому каналу PBS официально заявил, что Украина взломала российскую систему оповещения (приложение МЧС) в ответ на взлом украинской системы (приложение «Повітряна тривога»). Впрочем, уточняющие вопросы журналисты задавать не стали, поэтому можно трактовать и как «взломали с нашей стороны», и как «это были украинские власти». Тем временем украинские хакеры, связанные со взломом приложения МЧС, выпустили отчёт с разбором собственных действий (в нём, между прочим, подготовка отсчитывается ещё с конца октября). Это своеобразный оммаж ярко горевшей группировке DATASUCKERS, которая после каждого своего взлома выкладывала такой же райтап с описанием атаки. В том числе после взлома украинской сети магазинов «АТБ-Маркет».

Нарушители цифрового суверенитета Обновил список отчётов о хакерских группировках, атакующих Россию. Что нового: — добавил 68 отчётов, в основном за период с апреля по октябрь от российских компаний, но также ряд более давних и не только от российских (например, первые отчёты про Cloud Atlas/Inception); одну ссылку (на APT31) удалил, заменив тремя отчётами; итого сейчас в таблице примерно 320 отчётов; — в таблице теперь 76 группировок (APT и другие политически мотивированные акторы) против 67 полгода назад; при этом я объединил TA428 и TaskMasters (у Positive Technologies, первой обнаружившей TaskMasters, это одна и та же группа), а также IAmTheKing/Obstinate Mogwai и NGC6061 (потому что их объединил «Солар»); — добавил несколько отчётов со звёздочкой, которая обозначает ошибочную атрибуцию; такое решение я принимал в тех случаях, когда последующие отчёты указывали на другую группировку; например, фишинг под видом Россотрудничества рассылала не Kasablanka group, а кое-кто поближе; Топ-5 группировок по количеству отчётов: PhantomCore/Head Mare (24), Cloud Atlas (20), Core Werewolf/Awaken Likho/PseudoGamaredon (19), GOFFEE/Paper Werewolf (17), Sticky Werewolf/PhaseShifters (15). Все из них относятся исследователями к проукраинским — хотя напротив Cloud Atlas у меня пока стоит прочерк. Количество отчётов не обязательно отражает текущую активность, но в случае PhantomCore, видимо, отражает, поскольку в этом году группировка привлекала наибольшее внимание ИБ-сообщества и часто встречалась в инцидентах. Буду благодарен за правки, дополнения и другую обратную связь.

⚡️ В России ликвидирована инфраструктура хакерской группировки «Вася Грек». 🔤Сотрудники МВД совместно с «Лабораторией Касперского» установили всех участников группы, специализировавшейся на фишинговых атаках на российские и иностранные компании. 🔤Возбуждены уголовные дела по статьям о краже, создании вредоносного ПО и незаконном образовании юридического лица, а предполагаемый организатор помещён под домашний арест. Подробнее — в материале SecPost 😍 — ❗️Реестр кибератак на российские организации

No text

No text

Цифровой суверенитет в военных условиях Самое интересное в новом президентском указе «О временных мерах по обеспечению поддержки функционирования на территории Российской Федерации информационных ресурсов» — это то, что он предусматривает процедуру использования зарубежных дата-центров для обработки российских данных. То есть буквально допускает временную отмену цифрового суверенитета, чтобы обеспечить функционирование информационных ресурсов в условиях ударов дронов по дата-центрам (см. пункт 3): «Временное использование вычислительных мощностей, расположенных за пределами территории Российской Федерации, для обеспечения поддержки функционирования на территории Российской Федерации информационных ресурсов в связи с недружественными действиями некоторых иностранных государств допускается на основании решения подкомиссии, согласованного с Федеральной службой безопасности Российской Федерации». Указ, очевидно, стоит рассматривать как российский ответ на октябрьские удары Украины по российским дата-центрам. Которые стали ответом на начатую в сентябре российскую кампанию ударов по украинским дата-центрам. Объявленный Минобороны России «цифровой детокс» привёл к тому, что России пришлось пересматривать своё отношение к цифровому суверенитету. По крайней мере временно.

❗️ Владельцы ЦОДов должны зарезервировать 10% площадей и мощностей, чтобы при необходимости использовать их для поддержки функционирования информационных ресурсов. Это следует из указа, подписанного президентом Владимиром Путиным. Документ устанавливает временные меры по обеспечению поддержки функционирования таких ресурсов на территории России. Правительству поручено сформировать соответствующую подкомиссию. 📰 Max | Telegram | Рассылка | Приложение для iOS | Android

Обновление информации по инциденту и восстановлению работы сервисов Beget В ночь на 2 ноября 2026 года наша инфраструктура подверглась массированной кибератаке, в результате которой была нарушена работа ряда сервисов. Официальное уведомление об обстоятельствах непреодолимой силы Настоящим ООО «Бегет» уведомляет клиентов о возникновении обстоятельств, которые обладают признаками непреодолимой силы (форс-мажора) в соответствии с пунктом 3 статьи 401 Гражданского кодекса РФ и положениями действующих договоров. Масштабная атака на инфраструктуру компании и вызванные ею последствия временно препятствуют надлежащему исполнению части наших обязательств по предоставлению услуг. Настоящее сообщение является официальным уведомлением о возникновении указанных обстоятельств и их влиянии на исполнение договорных обязательств. Текущий статус восстановления На данный момент нам уже удалось восстановить работу выделенных серверов без нашего администрирования. Что происходит сейчас: - NS-серверы. Восстановление их работы — наш главный приоритет. Ориентировочный срок — ближайшие 4–5 часов. - Почтовая система. Параллельно ведём работы по восстановлению её работоспособности. - Резервные копии. На данный момент нам доступны файловые резервные копии подавляющего большинства ресурсов виртуального хостинга и облачной инфраструктуры. Мы продолжаем работу по восстановлению данных, однако из-за значительных объёмов этот процесс потребует длительного времени. Наши специалисты непрерывно работают над восстановлением инфраструктуры и делают всё возможное, чтобы как можно скорее вернуть сервисы к полноценной работе. При этом мы продолжаем оценивать масштаб последствий атаки, поэтому пока не можем назвать точные сроки полного восстановления всех сервисов. Мы понимаем, насколько критична доступность наших услуг для ваших проектов, и прикладываем все усилия для скорейшего восстановления работы. Будем информировать вас по мере поступления новых подтверждённых данных. Спасибо за терпение, понимание и поддержку.

«Ядерная тревога» и «угроза движухи» Ночью в Украине и России произошли два симметричных взлома систем оповещения, затронувшие миллионы людей. Поздно вечером в воскресенье в популярном украинском мобильном приложении «Повітряна тривога» (Воздушная тревога) появились предупреждения о радиационной опасности, химической угрозе и угрозе уличных боёв. Затем пришло сообщение о якобы предстоящей ядерной тревоге и ударе «Орешника». Это сообщение сопровождалось ссылкой на новый телеграм-канал под названием Hitcore. В нём был опубликован призыв к СБУ освобождать себя, а также контакты для тех, кто хочет «жить и работать для Правды и спасения украинского народа». Украинские власти заявили, что, по имеющейся информации, приложение было взломано, и распространили инструкции, как получать предупреждения альтернативным способом. Ложные предупреждения приходили также пользователям приложения EasyPay, но это не обязательно означает, что оно было взломано. Возможно, предупреждения формировались на основе данных от «Воздушной тревоги». Другие приложения для предупреждения граждан, например «Київ цифровий», работали в нормальном режиме. Спустя несколько часов ложные предупреждения обрушились и на россиян. Если на Украине было взломано приложение от частной компании, Ajax Systems (которая пока не прокомментировала ситуацию), то в России каналом распространения стали государственные ресурсы, а именно МЧС. Предупреждения под заголовком «УГРОЗА ДВИЖУХИ» про «ЯДЕРНЫЕ БОЕГОЛОВКИ НА НОСИТЕЛЯХ P1-SUN» появились в приложении МЧС, а также в официальных канах МЧС и РСЧС (единая государственная система предупреждения и ликвидации чрезвычайных ситуаций) в мессенджере MAX, причём иногда по 2-3 раза. Кроме того, они разошлись и дальше, поскольку некоторые информационные ресурсы вроде официальных каналов в Telegram или MAX или агрегаторов региональных новостей автоматически транслируют предупреждения МЧС/РСЧС. МЧС среди ночи объяснило рассылку тем, что его приложение «подверглось массированной кибератаке». Одновременно в министерстве, естественно, преуменьшили значимость взлома, потому что приложение — это всего лишь вспомогательный сервис, а остальные способы оповещения не были затронуты: «Система оповещения населения Российской Федерации функционирует в штатном режиме. Взлом мобильного приложения не оказал и не может оказывать влияния на работу системы оповещения населения». В целом массовая рассылка ложных сообщений через взломанные мобильные приложения не такая уж редкость, примеры встречались в палестино-израильском конфликте и продолжающейся войне США и Израиля с Ираном. Но этот случай необычен тем, что в короткий временной промежуток произошли два настолько похожих взлома. Атака на украинское приложение была сравнительно более подготовленной и помимо запугивания была направлена на распространение информации для потенциальной вербовки украинцев. Атака на приложение или систему МЧС выглядит как ответ, причём в содержательном плане спонтанный и менее подготовленный.