Содержание
Фейковые тревоги в Украине: как хакеры взломали систему оповещения и что это значит
Вечером 1 ноября пользователи украинского приложения “Воздушная тревога” стали получать пугающие и неправдоподобные сообщения. Информация о радиационной и химической опасности, уличных боях и применении российского оружия “Орешник” мгновенно вызвала шквал вопросов и тревоги. Разработчики приложения подтвердили факт кибератаки, но не раскрыли детали проникновения злоумышленников.
С целью проанализировать произошедшее, издание The Page обратилось к независимым экспертам по кибербезопасности. Специалисты предложили различные версии случившегося: от ситуативного использования полученного доступа до тщательно спланированной информационной атаки. Они также попытались выяснить, какие именно уязвимости системы оповещения были задействованы хакерами и какие выводы можно сделать из этого инцидента.
Как за семь минут Украина получила 122 фальшивые тревоги
Первые ложные сообщения начали поступать около 22:47 1 ноября. Среди них были предупреждения о радиационной и химической опасности, артиллерийских обстрелах, уличных боях и ракетных ударах. Примечательно, что часть сообщений была написана на русском языке, содержала политические призывы и ссылки на сторонний Telegram-канал.
Украинские Воздушные силы оперативно опровергли информацию о радиационной угрозе, заявив о возможном вмешательстве в работу приложения. Представитель Воздушных сил Юрий Игнат подчеркнул, что инцидент не затронул военные системы и работу противовоздушной обороны.
Масштабы атаки удалось оценить команде независимой карты alerts.in.ua. По их данным, всего за семь минут, с 22:47 по 22:54, было зафиксировано 122 ложных тревоги: 103 из них касались воздушной опасности, по пять — радиационной и химической угрозы, а также уличных боев, и еще четыре — артиллерийских обстрелов.
Сразу после прекращения ложных сигналов, в 22:54, сайт alerts.in.ua подвергся DDoS-атаке. Пока неизвестно, были ли эти события частью одной операции.
Команды Ajax Systems и Stfalcon, ответственные за разработку и поддержку “Воздушной тревоги”, временно приостановили работу приложения, отключив push-уведомления. Пресс-служба приложения сообщила, что основные функции были восстановлены в течение двух часов благодаря совместным усилиям с государственными службами. При этом карта перемещения воздушных целей еще находилась в процессе восстановления.
Разработчики заверили пользователей, что приложение не собирает персональные данные или информацию о геолокации, а также опровергли слухи о взломе телефонов и учетных записей. Однако, главные технические детали — каким образом злоумышленники получили доступ, какие полномочия им были предоставлены и какой именно компонент системы был скомпрометирован — остались без ответа.
Что могли взломать хакеры и почему их сообщения выглядели так примитивно?
Чтобы разобраться в механизмах проникновения и оценить характер атаки, издание The Page запросило мнения экспертов по кибербезопасности. Примитивность сообщений, содержащих политические лозунги и ссылки на Telegram-канал, породила вопросы: была ли это случайная находка уязвимости или же за ней стоит заранее подготовленная операция?
Джордж Папарига, CEO BugStream: По мнению эксперта, информационная составляющая атаки выглядела спешно подготовленной, в то время как поиск уязвимости мог быть целенаправленным. “Я бы не спешил называть это масштабной, заранее спланированной операцией. Хотя очевидно, что злоумышленники пытались использовать полученный доступ не только для распространения фейковых тревог, но и для информационного воздействия”, — отметил Папарига. Он предположил, что хакеры могли получить доступ лишь к отдельному компоненту, отвечающему за формирование или отправку сообщений, что не требует контроля над всей системой.
Денис Цвайг, президент Национальной ассоциации кибербезопасности Украины: Эксперт предложил более конкретную версию, предполагая, что были взломаны не само приложение, а система, откуда рассылаются тревоги. “Фейки пошли не только на телефоны: они появились на карте, в сторонних сервисах через API и даже звучали тем же знакомым голосом, то есть прошли через штатный механизм оповещения. Это больше похоже на доступ к пульту, чем к одной рассылке”, — пояснил Цвайг. Он считает, что компрометация учетной записи одного из сотрудников, имеющего права публикации, через зараженный компьютер или украденную сессию — наиболее вероятный сценарий. Цвайг также предположил, что примитивность сообщений могла быть намеренной, чтобы продемонстрировать контроль над системой.
Стас Козосвист, Avmira Research: Эксперт призвал рассматривать инцидент в контексте общих киберугроз для украинских цифровых сервисов. Он подчеркнул, что для систем массового оповещения критически важно гарантировать не только доступность, но и достоверность информации. “Если люди получают фальшивые сигналы через привычное официальное приложение, это может снизить их доверие к последующим предупреждениям”, — отметил Козосвист, акцентируя внимание на необходимости внедрения принципов Zero Trust, многоуровневой аутентификации и криптографического контроля целостности данных.
Эксперты сходятся во мнении, что для точного определения характера атаки и ее масштабов необходимо провести тщательное техническое расследование.
