«Шатдаун»: зв’язок від «Київстар» досі відновлюють. Що кажуть фахівці?

Спочатку – фіксований інтернет, а потім і решту сервісів. Компанія «Київстар» продовжує відновлювати свою роботу. В Службі безпеки України кажуть, що цифровій інфраструктурі оператора було завдано критичних уражень, тому відновлення всіх послуг із дотриманням необхідних протоколів безпеки вимагає часу. А відповідальність на себе взяло російське псевдохакерське угруповання. Понад добу мільйони користувачів національного телеком-оператора «Київстар» без зв’язку. Станом на червень 2023 року компанія мала 24,1 мільйона абонентів мобільного зв’язку та понад 1,1 мільйона абонентів фіксованого інтернету.

З чого все почалося?

Ранок 12 грудня для абонентів «Київстару» розпочався з неможливості ані зателефонувати, ані надіслати повідомлення. Сайт, застосунок, послуги мобільного та домашнього зв’язку не працювали. Спочатку в компанії повідомили про «технічний збій, у результаті якого можуть бути недоступні послуги зв’язку та доступу в інтернет у частини абонентської бази».

Та згодом виявилося, що частина абонентів може бути набагато більшою, аж до всієї клієнтської бази. У соцмережах українці писали про відсутність зв’язку та домашнього інтернету в багатьох регіонах України. Відтак у компанії повідомили, що стали мішенню хакерської атаки, котра спричинила технічний збій. Під атаку кіберзловмисників потрапило так зване «ядро мережі» (з англ. core network – це «серце» стільникових операторів, котре відповідає за обробку та маршрутизацію даних між користувачами). Аби зменшити масштаб можливої шкоди, сервіси компанії були відключені. Таким чином телефонія та домашній інтернет відправилися у вимушений «шатдаун».

Кого і в чому підозрюють?

У компанії повідомили, що звернулися до правоохоронців та спеціальних державних служб. Згодом Служба безпеки України повідомила про відкриття кримінального провадження за вісьмома статтями Кримінального кодексу. І одразу ж заявили, що за хакерською атакою можуть стояти спецслужби РФ. Слідство розпочали за підозрою у:

• ст. 361 (несанкціоноване втручання в роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж);
• ст. 361-1 (створення з метою протиправного використання, розповсюдження або збуту шкідливих програмних чи технічних засобів, а також їх розповсюдження або збут);
• ст. 110 (посягання на територіальну цілісність і недоторканність України);
• ст. 111 (державна зрада);
• ст. 113 (диверсія);
• ст. 437 (планування, підготовка, розв'язування та ведення агресивної війни);
• ст. 438 (порушення законів та звичаїв війни);
• ст. 255 (створення, керівництво злочинною спільнотою або злочинною організацією, а також участь у ній).

Вже за добу стало відомо, що відповідальність за атаку на себе взяло псевдохакерське, як його назвали в СБУ, угруповання. У телеграм-каналі «Солнцепек» з’явилося повідомлення про «повну відповідальність за кібератаку на «Київстар». Там йдеться про начебто знищення 10 тисяч комп’ютерів, 4 тисяч серверів, всі системи хмарного зберігання даних та резервного копіювання. Вони також пригрозили майбутніми атаками компаній, що допомагають Збройним силам України. Також у повідомленні натякнули, що їм допомагали співробітники «Київстару».

Що каже «Київстар»?

У компанії у відповідь на ці заяви розповіли, що абонентська інформація та персональні дані – у безпеці. А системи, котрі зберігають цю інформацію, не постраждали. Також у компанії спростували знищення «комп'ютерів і серверів», назвавши цю інформацію фейком. Про те, що начебто стався витік даних, писали й анонімні користувачі соцмереж, зокрема у мережі Х (донедавна – Twitter). Однак без підтверджень. Не підтверджували цього і в правоохоронних органах.

Про це угруповання раніше писало українське IT-медіа dev.ua. Тоді журналісти розповідали про можливий зв’язок між «Солнцепеком» та Головним розвідувальним управлінням Генштабу Збройних сил РФ. Служба безпеки України 13 грудня також заявила, що є хакерським підрозділом ГРУ, «яке таким чином публічно легалізує результати своєї злочинної діяльності».

Тепер компанія працює над відновленням доступу до мережі. Попередньо, 13 грудня планувалося відновити фіксований інтернет для домогосподарств, а також розпочати запуск мобільного зв’язку та інтернету. Але кажуть, що «складно казати наперед, бо дуже багато невизначеності і багато факторів, які ми знаходимо і які є перепонами, для того, що рухатися швидше».

Що з Vodafone та Lifecell, «Приватбанком» та «Ощадбанком»?

«Шатдаун» серйозно вплинув не лише на зв’язок приватного характеру, а й на бізнес. Зокрема, про можливі порушення у роботі мережі заявляли ще у двох операторів – Vodafone та Lifecell. Користувачі писали про труднощі з роботою додатку Vodafone, а в Lifecell попередили про можливі труднощі через великий трафік від абонентів.

Також про порушення у роботі заявляли у «Приватбанку» та «Ощадбанку». Через збій не працює частина банкоматів.

«Це не загрожує напряму лінії фронту. Це загрози нашого тилового забезпечення»

Водночас Збройні сили України не відчули труднощів. За словами керівника служби зв'язків з громадськістю командування Сухопутних військ ЗСУ, підполковника Володимира Фітьо, які він сказав в ефірі телемарафону, атака на «Київстар» не вплинула на дії українських військовослужбовців.

Андрій Крамаров, військовий експерт та офіцер резерву ЗСУ, вважає що у військових є обмеження щодо користування мобільними телефонами під час служби. Однак для тилу та забезпечення загроза існує.

«Це питання можна розглянути в двох площинах. Перше – це площина прямих ліній зіткнення. У ЗСУ є певна політика щодо обмеження використання мобільних телефонів з метою відсутності подальших проблем із виявленням позицій, наприклад. Ідеться про певну цифрову гігієну.

Але це все одно завдання шкоди нашій економіці, можливе завдання шкоди нашій логістиці, і перш за все військовій логістиці. Тому така атака найбільшого мобільного оператора несе для нас як економічні, так і військові загрози. Просто це не загрожує напряму лінії фронту. Це загрози нашого тилового забезпечення», – вважає Андрій Крамаров.

«Ця історія показала, що не треба недооцінювати ворога»

В інтерв’ю Радіо Свобода Віталій Якушев, директор компанії з кібербезпеки 10Guards, розповів що кейс «Київстару» – демонстрація того, що Росію не варто недооцінювати.

– Ця історія показала, що не треба недооцінювати ворога. Вони можуть щось зробити таке, що буде боляче нам і боляче бачити в багатьох сферах. Це і більше 20 мільйонів абонентів компанії, і бізнес-партнери, які зав'язані. Є банківські структури, банкомати, термінали, навіть деякі державні ресурси були зав'язані на сервіси від компанії. Тому треба розуміти, що термін стійкості треба вибудовувати розумно, не бігти по граблях, не через біль покращувати стійкість, а трошки наперед будувати цю стійкість.

Я розумію, що ми всі зробимо висновки, всіх будуть додатково резервні картки, сім-картки, будуть додаткові якісь моменти з домашніми провайдерами інтернету. Відповідно, я дуже сподіваюся, що бізнес і держава також винесе висновки, і буде в них резервні канали комунікації. Вони не будуть сподіватися на єдиного будь-якого провайдера. Я не буду казати, що ось «Київстар» найгірше, треба переходити на когось іншого, бо від цього не застрахований ніхто у світі, будь-яка жодна компанія у світі не застрахована від подібних кібератак.

– Один з головних висновків як для споживачів, як до користувачів, для українців, мати альтернативі сім-картки, альтернативу в них провайдерів вдома, коли ми говоримо про домашній інтернет? А що можуть українські стратегічно важливі компанії зробити?

– По-перше, компанії, такі, як «Київстар», – це є об'єкти критичної інфраструктури, повинні не просто готуватися, а вже зараз перевіряти знову ж свої плани резервування, плани відновлення, плани реагування на інциденти, тому що вони – також під цим мікроскопом нашого ворога і вони – як мішень. Таких компаній в нас тисячі в Україні. Є там дуже-дуже великі, такі, як «Київстар», такі, як енергетичні компанії, і компанії інші, які обслуговують велику кількість абонентів, логістичні та інші компанії.

Є не такі великі компанії, але також вони є об'єктом критичної інфраструктури. Також необхідно розуміти, що ви – під прицілом. І треба, по-перше, вбудовувати захист, а по-друге, вже готуватися до можливої кібератаки. Можливо, навіть вона вже є успішною, і тому треба включити таку трошки параною, «принцип нульової довіри», і шукати ворога всередині. Це також не буде заважати.

– СБУ розслідує цю атаку, і вони сказали, що, ймовірно, тут втручання російських спецслужб. Чи можна це розглядати як початок нового формату російських атак на Україну?

– Це не казав би, що це новий формат. Якщо казати про кібервійну і кібератаки, то у березні 2024 року були рівно 10 років, коли почали таку масштабну кібервійну проти України. Якщо пам'ятаєте, в 2014 році була зламана інфраструктура ЦВК, Центральної виборчої комісії, потім в 2015-2016 роках ламалася енергокомпанія і лишалися деякі абоненти, споживачі електроенергії, були без електроенергії.

Блекаути були щодо ракетних обстрілів через кібератаки в Україні. В 2017 році всі дуже гарно пам'ятають вірус Petya, який поклав дуже багато компаній: державних і приватних в Україні. Ця кібервійна, вона вже дуже давно, 10 років майже, і тому тут нічого нового немає. Просто не треба розслаблятися, не треба недооцінювати ворога, бути готовими на вчора і не дивитися статистику, що кібератак кількість зростає чи зменшується. Вони постійно будуть і треба поставити собі запитання не те, як вона станеться, а коли вона станеться кібератака, тому що постійно полюють і, на жаль, інколи успішно. В Україні, враховуючи досвід попередній, то можна очікувати ракетні удари чи «шахедами», коли зникає світло, потім «лягає» інтернет, мобільний зв'язок, це вже було.

– У найгіршому варіанті кібератак, які сфери потенційно під загрозою?

– Не хотілося б лякати, але те, що я згадував: об'єкти критичної інфраструктури – це якраз ті компанії, від яких залежить або працездатність великого бізнесу та державних компаній, або населення України. Це і енергетичні компанії – вони (хакери – ред.) вже робили і мають такий досвід, успішний, на жаль, і будуть продовжувати це робити. Це будуть і телеком-компанії, всі великі інтернет-провайдери.

І якщо ми згадаємо минулий рік, то дуже багато невеличких інтернет-провайдерів було також зламано, зупинена їхня і робота, і викрадені дані абонентів. Це й логістичні компанії, великі і не дуже. Це і аграрні компанії, які вже були ударом ракет і «шахедів», також кібератаки не виключені. Тому що кібератаки – вони дешевші, ніж ракетні атаки, і їх проводити навіть ефективніше.

Ракетами «Київстар» завалити було б дуже важко, а ось кібератакою стало можливим. І тому тут треба розуміти, що ось ці компанії, важливі для держави компанії – також, метрополітен, наприклад, – це компанії, які обслуговують населення під час війни. Наприклад, сигнали повітряної тривоги також через атаку на «Київстар» стали недоступні, тому треба готуватися, що такі подібні атаки на об'єкти, від яких залежить дуже багато чого в країні, будуть. Обов'язково будуть, але чи будуть вони успішними – це залежить вже від нас, як спеціалістів з кібербезпеки, так і працівників цих компаній.

Ну і не треба паніки, це головне. Це те, чого хочуть добитися наші вороги, щоб була паніка, щоб були стреси, бо під час паніки нами дуже легко управляти. І читати інформацію також варто з перевірених джерел, не читати неперевірені телеграм-канали, інтернет-сайти. Тому що там під час цих кібератак є ще інформаційна атака паралельна, яка розганяє «зраду», розганяє паніку для того, щоб знизити довіру до влади і підвищити градусний стресу в суспільстві.