Кибератака на «Киевстар» (2023)

12 декабря 2023 года в работе крупнейшего в

Еще до начала полномасштабного

После начала российского вторжения и на фоне проблем с электроэнергией украинские мобильные операторы ввели систему внутринационального мобильного роуминга, чтобы в случае недоступности услуг одного оператора абонент мог воспользоваться услугами другого^[2].

Осенью 2023 года президент компании «Киевстар»

В течение 2023 года в украинском обществе ходили слухи о скорой национализации компании «Киевстар»^[11][12]. В частности, это связывалось с потенциальным арестом доли российского олигарха Михаила Фридмана в компании «Киевстар», попавшего под санкции Украины^[11][13].

К осени 2023 года компания «Киевстар» на 100 % принадлежала холдингу

Ближе к полудню «Киевстар» официально признала, что подверглась крупной хакерской атаке[11]^[14]. В СМИ появились сообщения, что восстановление сети может занять минимум неделю^[17].

Хакерам удалось не только вывести из строя главный пункт управления сетью «Киевстар», но и «снести» конфигурацию на транзитных базовых станциях^[17].

Абонентам «Киевстар» оказался недоступен национальный роуминг, хотя рекомендация абонентам «Киевстар» воспользоваться такой возможностью появилась на государственном сервисе «

Другие украинские операторы связи, Vodafone и lifecell, продолжали работать, хотя и сообщили о увеличении нагрузки на их инфраструктуру из-за наплыва абонентов^[11]. Так, в lifecell сообщили, что спрос на eSIM увеличился в десять раз^[11][20].

К 20:00 «Киевстар» начал восстанавливать доступ абонентов к услугам фиксированной связи^[21].

13 декабря 2023 года «Киевстар» начал постепенно восстанавливать мобильную связь

14 декабря 2023 года «Киевстар» включил голосовую связь и восстановил работу домашнего интернета на 93%[22].

15 декабря 2023 года «Киевстар» включил мобильный интернет по всей подконтрольной Украине территории, включая стандарт 4G^[23].

Полностью восстановил работу «Киевстар» к 20 декабря 2023 года^[24].

Президент компании Киевстар Александр Комаров заявил, что компания подверглась очень мощной хакерской атаке на виртуальную инфраструктуру^[14]. По его словам, IТ-инфраструктура компании была «частично разрушена»^[14]. При этом компания «Киевстар» заявила, что персональные данные абонентов не скомпрометированы^[2]. Он заявил: «Это — война. Она происходит не только на поле боя, но также и в виртуальном пространстве, в киберпространстве. К сожалению, мы поражены в результате этой войны. Это было проникновение в инфраструктуру и ее разрушение»^[25]. По его словам, «это самая большая хакерская атака на телеком-инфраструктуру в мире. Удачных атак такого масштаба не было. И, будем откровенны, не так много стран, на которые напала Россия»^[26]. При этом он отмечал, что «сроки возобновления работы сервисов неясны»^[27].

К ликвидации последствий атаки были привлечены компании Microsoft, Cisco, Ericsson^[26].

По словам официальных лиц

Компания-собственник Киевстара — Veon оценила ущерб от атаки в 100 млн долларов США^[29].

В расследовании случившегося принимали участие сотрудики

13 декабря 2023 года гендиректор «Киевстар» Александр Комаров заявил, что хакеры взломали компьютерную защиту компании с помощью скомпрометированой учетной записи одного из сотрудников «Киевстар»^[9]. Он отметил, что в любой организации могут быть люди, которые «условно наводят российские ракеты или отдают свои пароли, потому что хорошо работают социальные инженеры»^[9].

12 декабря 2023 года

12 декабря 2023 года российская хакерская группировка Killnet заявила, что стоит за атакой на «Киевстар»^[7]. Однако никаких доказательств группирвка не предоставила^[7].

13 декабря 2023 года отвественность за атаку взяла на себя российская хакерская группировка «Солнцепёк»^[7]. На своем телеграм-канале они заявили, что уничтожили «10 тысяч компьютеров, более 4 тысяч серверов, все системы облачного хранения данных и резервного копирования»^[7]. Они заявили что атаковали «Киевстар», так как компания «обеспечивает связь Вооруженных Сил Украины, а также государственные органы и силовые структуры Украины»^[7]. Они также пригрозили другим украинским компаниям, которое помогают украинской армии^[7]. В тот же день СБУ заявила: «Ответственность за атаку уже взяла на себя одна из российских псевдохакерских группировок. Она является хакерским подразделением главного управления Генштаба Вооруженных Сил России», уточнив что имеет ввиду именно «Солнцепёк»^[7].

В телеграм-канале «Солнцепёк» опубликовали четыре скриншота, которые должны были подтвердить их причастность к атаке на «Киевстар»^[31]. Бывший заместитель главы украинской Госспецсвязи Виктор Жора отмечал: «Если опубликованные скриншоты настоящие, то враг присутствовал в сети достаточно долго, хорошо изучил топологию и инфраструктуру сервисов»^[31]. Американский специалист по кибербезопасности Алекс Холден отмечал, что скриншоты были сделаны еще в ноябре 2023 года^[31]. Холден говорил, что согласно скриншотам хакеры получили доступ к системе Active Directory, которая позволяет «администраторам управлять доступом пользователей к разным ресурсам, устанавливать правила безопасности, предоставлять разрешения на использование различных программ и служб, интегрировать новые компьютеры в сеть»^[31]. Виктор Жора же отмечал, что согласно этим снимкам хакеры получили доступ к ключевым узлам инфраструктуры «Киевстар» — контроллеру домена и сервисам виртуализации^[31]. По словам Жоры, такой доступ невозможно получить быстро и деятельность хакеров требовала максимальной скрытности действий^[31]. При этом Холден отмечал, что на скриншотах не было данных, которые бы говорили о получении хакерами доступ к персональным данным абонентов «Киевстар»^[31].

В компании «Киевстар» отрицали заявления группировки «Солнцепёк» об уничтожении тысяч компьютеров, а продемонстрированные хакерами скриншоты в компании назвали «произвольно собранными технологическими данными»^[32].

С конца апреля 2022 года группировка «Солнцепёк» вела собственный телеграм-канал

Бывший директор «Киевстар» (в 2014—2018 годах) Петр Чернышов^[укр.] говорил, что состоялась очень масштабная и хорошо подготовленная атака^[28]. По его словам, хотя в «Киевстар» работала сильная команда айтишников и инженеров, однако компания оказалась не готовой к этой атаке^[28]. Он также отметил, что во время его руководства компанией «Киевстар» самой большой комьютерной угрозой оказался вирус Petya, однако «тогда „Киевстар“ выстоял, зато у конкурентов были очень большие проблемы»^[33].

Украинский эксперт по кибербезопасности Константин Корсун отнес атаку на «Киевстар» к классу

По оценке военной разведки Великобритании, кибератака на «Киевстар» стала «вероятно крупнейшей хакерской атакой на Украину с начала полномасшабной войны»^[34]. В разведке Великобритании отмечали, что непосредственный эффект от атаки длился не менее 48 часов^[35].

По словам главы департамента кибербезопасности