Вечером 1 ноября украинское приложение «Воздушная тревога» («Повітряна тривога») за семь минут разослало пользователям ложные предупреждения о радиации, химической атаке и уличных боях в Киеве. Примерно через три часа приложение МЧС России сообщило россиянам о «запуске ядерных боеголовок по всем регионам».
Связь между двумя атаками не установлена. Но обе показали одно и то же: вспомогательный канал оповещения тоже может посеять панику, особенно когда его данные автоматически расходятся по другим сервисам.
Коротко
- С 22:47 до 22:54 по Киеву через «Воздушную тревогу» прошло 122 ложных записи о тревогах. Они попали на карты, в сторонние сервисы и даже на часть громкоговорителей во Львовской области.
- Около 02:45 по Москве приложение МЧС России и региональные каналы министерства разослали фейк о ядерном ударе. МЧС подтвердило кибератаку на приложение.
- Обе стороны называют приложения вспомогательными: сирены и государственные системы оповещения, по их словам, работали штатно.
- Ответственность за украинский взлом взяла российская группировка Hitcore. Кто атаковал МЧС, официально не названо.
Что произошло в Украине
«Воздушную тревогу» в 2022 году за один день сделала компания Ajax Systems при поддержке Минцифры. По данным AIN.ua, приложение скачали 46 млн раз, а ежедневная аудитория превышала 6,7 млн человек. Ajax отвечает за серверную часть и софт для операторов, компания Stfalcon — за мобильное приложение. Приложение не принадлежит государству, но работает с данными госорганов.
Хронология инцидента:
- 1 ноября, 22:47–22:54 по Киеву. По подсчёту сервиса alerts.in.ua, который приводит today.ua, появилось 122 ложных записи: 103 воздушные тревоги, по пять — о радиации, химической угрозе и уличных боях, четыре — об артобстрелах.
- В те же минуты. Пришло сообщение на русском языке о «ядерной тревоге» по всей Украине и «Орешнике», который уже летит. Его текст приводит Kyiv Post.
- 1 ноября, 23:02. Воздушные силы ВСУ заявили, что приложение, вероятно, подверглось «враждебному вмешательству», а радиационной угрозы нет, пишет «Украинская правда».
- 1 ноября, около 23:30. Департамент гражданской защиты Львовской ОВА сообщил, что часть громкоговорителей в области воспроизвела сигнал «Радиационная опасность» (Zaxid.net).
- 2 ноября, около 02:10. Команда приложения начала постепенно возвращать его в работу (NV).
- 2 ноября, днём. Пресс-служба приложения сообщила Суспильному, что push-уведомления работают нормально. Показ воздушных целей на карте пока отключён.
Сразу после атаки команда отключила push-уведомления и приостановила сервис. Push-уведомление — это сообщение, которое приложение присылает на экран телефона, даже когда оно закрыто. Минцифры опубликовало инструкцию, как узнавать о тревогах без приложения.
Что произошло в России
Около 02:45 по московскому времени (01:45 по Киеву) пользователи приложения МЧС России получили сообщение о «запуске ядерных боеголовок на носителях P1-SUN». Как отмечает The Insider, P1-SUN — реальное название, но это украинский дрон-перехватчик компании SkyFall, а не ракета.
В рассылке также советовали запастись едой на три недели и укрыться в подвалах. Похожие сообщения появились в региональных каналах МЧС и РСЧС в мессенджере Max — от Петербурга и Подмосковья до Башкортостана.
МЧС подтвердило «массированную кибератаку» на приложение и назвало его вспомогательным каналом информирования. По словам министерства, сирены, громкоговорители, SMS, теле- и радиооповещение работали в штатном режиме. Отдельно взлом каналов в Max ведомство не подтверждало, отмечает «Новая газета».
Кто стоит за атаками
За украинский взлом ответственность взяла российская группировка Hitcore. По данным AIN.ua, она утверждает, что получила доступ к системе через вредоносный файл, который скачал администратор приложения. Это заявление самих хакеров: ни разработчики, ни госорганы его пока не подтвердили. Stfalcon сообщает о расследовании.
Ajax Systems в ответе AIN.ua заявила, что атака касалась только «Воздушной тревоги», а охранные системы и другие продукты компании работают штатно. Основатель компании AmonSul Сергей Харюк считает атаку примитивной и демонстративной: по его оценке, цель была во вмешательстве в работу сервиса, а не в краже данных.
Кто атаковал приложение МЧС, официально не назван. AIN.ua без ссылки на источник пишет, что той же ночью украинские волонтёры «повторили похожую атаку» на российской системе. Других подтверждений этому мы не нашли.
Как фейк из приложения дошёл до сирен
Самая важная техническая деталь украинской истории — не сам взлом, а то, как далеко разошлись ложные данные. «Воздушная тревога» — не просто приложение, а источник данных для других сервисов.
Эти сервисы подключаются к нему через API. API — это программный интерфейс, через который одна система автоматически получает данные из другой.
Карты и сторонние сервисы
Ложные тревоги появились на карте alerts.in.ua, в сервисе «єТривога» и в финансовом приложении EasyPay. Гендиректор EasyPay Алексей Авраменко объяснил, что инцидент произошёл на стороне внешнего источника данных, а EasyPay получает их через штатную интеграцию (AIN.ua). По данным «Вести», alerts.in.ua убрала ложные записи в 00:03, а «єТривога» вернула автоматический приём данных в 00:15.
Громкоговорители во Львовской области
Ещё серьёзнее — физический эффект: часть громкоговорителей во Львовской области воспроизвела сигнал радиационной опасности. По данным издания «Твоє місто», речь в основном о небольших объектовых системах оповещения, которые берут сигналы прямо с официальной карты тревог.
Весь механизм одной строкой: один источник — много автоматических потребителей, и ошибка в источнике мгновенно становится ошибкой везде.
Чего мы пока не знаем
Публичного технического отчёта нет ни у украинской, ни у российской стороны. Версия о вредоносном файле — только заявление атакующих.
Утечку данных разработчики отрицают. По их словам, приложение не собирает, не хранит и не передаёт личные данные и геолокацию пользователей. Сообщения о взломе аккаунтов или телефонов пользователей они называют ложными. Сам переход по ссылке из фейкового уведомления ещё не значит, что телефон взломан, но вводить на открывшихся страницах пароли и коды или скачивать файлы нельзя.
Неизвестен и реальный масштаб паники: ни одна из сторон не назвала, сколько людей получили ложные сообщения. Данные о российском инциденте исходят от МЧС и СМИ, независимо проверить их сложно.
Открытый вопрос. Должны ли уличные громкоговорители и другие системы, способные напугать тысячи людей, срабатывать автоматически по данным стороннего приложения, без подтверждения человеком или вторым источником?
Откуда это взялось
Ложные тревоги в России были и раньше. В феврале 2023 года после взлома серверов радиостанций и телеканалов в нескольких регионах в эфир попали сообщения об угрозе ракетного удара, писала «Медуза». Тогда атаковали эфир, теперь — официальные приложения, которые доставляют сообщения прямо на телефон.
Похожий сдвиг заметен и за пределами войны. 2 ноября супермаркеты в Бельгии, Швеции, Ирландии, Люксембурге и Эстонии сообщили о новой волне вероятных кибератак: температура в холодильниках поднималась до 50 °C, сообщает NBC News.
Первая такая волна прошла во Франции 12 октября. Во всех этих историях цель — не украсть данные, а вызвать заметный эффект в реальном мире.
Что это значит для разработчиков и бизнеса
Детали взлома неизвестны, но несколько выводов можно сделать уже сейчас. Они касаются всех, кто строит сервисы оповещения или подключается к чужим данным.
- Вспомогательный канал — тоже критическая инфраструктура. Если приложением пользуются миллионы человек в момент опасности, его админ-доступы нужно защищать так же строго, как государственные системы, даже когда владелец — частная компания.
- Проверка правдоподобия на стороне потребителя. Сотня тревог за семь минут, включая уличные бои в Киеве, — явная аномалия. Сервисы, которые берут данные по API, могут ставить лимиты и задерживать редкие типы сигналов до подтверждения.
- Человек перед физическим действием. Запускать сирену или громкоговоритель по редкому сигналу вроде радиационной опасности лучше только после сверки со вторым источником или подтверждения оператором.
- Быстрый «рубильник». Украинская команда смогла быстро отключить push-уведомления, а Воздушные силы опровергли фейк примерно через 15 минут. Без готового способа остановить рассылку и заранее известного официального канала ложные сигналы шли бы дольше.
Пользователям в Украине стоит держать включёнными государственные экстренные оповещения на смартфоне. Они работают через Cell Broadcast — технологию, которая рассылает сообщение всем телефонам в зоне действия сотовых вышек и игнорирует беззвучный режим, напоминает «24 Канал». Сомнительную тревогу стоит сверять с каналами Воздушных сил и местной военной администрации.
Вывод
Ни одна из атак не отключила государственное оповещение: сирены и основные системы, по заявлениям обеих сторон, работали. Но за несколько минут ложные сигналы прошли по цепочке автоматических интеграций, которую, по нашей оценке, мало кто рассматривал как точку отказа.
Главный урок здесь не в конкретном пароле или файле. Данные о тревогах стали инфраструктурой, которой пользуются десятки сервисов и устройств. Защищать нужно не только источник, но и каждое место, где его сигнал без проверки превращается в действие.
Комментарии