Неочікуваний витік: як хакери РФ випадково розкрили масштаби кібершпигунства в Україні та НАТО

Історія почалася з таємничої кібератаки, що тривала з вересня 2024 року до березня 2026 року. Невідомі зловмисники непомітно проникали в поштові скриньки українських чиновників та правоохоронців, збираючи чутливу інформацію. Серед постраждалих були високопосадовці Спеціалізованої антикорупційної прокуратури (САП) та керівництво Агентства з розшуку та менеджменту активів (АРМА), зокрема тодішня очільниця Ярослава Максименко, а також співробітники Центру підготовки прокурорів у Києві, включаючи заступника директора Олега Дуцу. Атака торкнулася 44 працівників Центру.

Проте, несподіваний поворот подій змінив хід розслідування. Хакери, пов'язані з Росією, припустилися "серйозної оперативної помилки", залишивши викрадені дані у відкритому доступі на сервері. Ця необачність дозволила аналітичній групі Ctrl-Alt-Intel, що складається з британських та американських фахівців, виявити журнали атак та тисячі викрадених електронних листів. Відкриття стало неоціненним доказом масштабів шпигунської кампанії.

Завдяки цій випадковості, дослідники встановили, що було скомпрометовано щонайменше 284 облікові записи електронної пошти. Більшість жертв знаходилися в Україні, але атака також поширилася на інші країни. Серед них виявилися державні та оборонні структури Румунії, Греції, Болгарії та Сербії, де постраждали поштові скриньки військових та урядовців.

У Румунії постраждали 67 облікових записів електронної пошти, включно з кількома, які належали авіабазам НАТО. У Греції під ударом опинилися 27 поштових скриньок Генерального штабу національної оборони, зокрема оборонні аташе в Індії та Боснії. Болгарія повідомила про злам чотирьох поштових скриньок чиновників у Пловдівській області. У Сербії російські шпигуни зламували дані науковців та військових чиновників.

Дослідники кіберзагроз Ctrl-Alt-Intel приписали цю кампанію угрупованню «Fancy Bear», яке пов'язують з російською військовою розвідкою. Серед інших успішних атак було зламано електронну скриньку Центральної міської лікарні в Покровську. Українська команда реагування на кіберінциденти CERT-UA вже розслідує окремі епізоди, а фахівці вважають, що метою кібератаки було отримання компрометуючих матеріалів або випередження українських слідчих у викритті російських агентів.

Ця кібератака є частиною ширшої кампанії, відомої як Operation GhostMail, під час якої угруповання APT28 атакувало Державне агентство водних ресурсів України. Хакери використовували вразливість у поштовій системі Zimbra, що дозволяло їм впроваджувати шкідливий JavaScript-код без підозрілих вкладень. Кампанія стартувала у січні 2026 року з розсилки листів, замаскованих під запити щодо стажування, використовуючи зламаний акаунт студента Національної академії внутрішніх справ. Ці події підкреслюють постійну загрозу, яку становлять кібератаки, та необхідність постійного оновлення систем безпеки.

Крім кібератак, у світі також відбуваються інформаційні кампанії. У Естонії, згідно з інформацією, яку пише Politico, група анонімних російськомовних акаунтів у соцмережах публікувала повідомлення, що закликають до захоплення міста Нарва та навколишнього регіону, називаючи його "російською землею". Ця кампанія, спрямована на дестабілізацію, нагадує інформаційні операції, що передували вторгненню Росії до Криму в 2014 році. Місто Нарва, що знаходиться на кордоні з Росією, має понад 98% російськомовного населення, з яких більше третини мають російські паспорти.

Випадок з російськими ботами навколо Нарви демонструє, як навіть невеликі інформаційні операції з кількома десятками підписників раптово потрапляють у заголовки світових ЗМІ, створюючи цілком реальні наслідки. Спочатку естонський антипропагандистський вебсайт Protastop помітив, як російськомовні акаунти у TikTok та "Вконтакте" поширювали меми та повідомлення Telegram-каналу, що пропагували ідею захоплення регіону ополченням, деталізуючи навіть розпорядок дня "штурму Нарви". Лише через тиждень журналісти з'ясували, що джерела цих публікацій були лише "погано проведеною інформаційною операцією", яка не мала зв'язку з російським урядом, а була дітищем ультранаціоналістичного руху "Інша Росія Е. В. Лімонова".

Ці події є частиною ширшої картини кіберзагроз, що виходять від російських хакерів. Наприклад, раніше "Апостроф" повідомляв про те, що Росія надала Ірану хакерську підтримку та супутникові зображення з 11 країн Близького Сходу. Також, за даними фахівців, російські хакери продемонстрували рекордну активність у кіберпросторі минулого року, досягнувши історичного максимуму. У лютому 2026 року вони атакували підрядника Національного банку України. Це свідчить про постійну еволюцію кіберзагроз та використання різних методів для досягнення політичних і військових цілей.

У коментарі 24 Каналу в АРМА підтвердили факт кібератаки на електронні поштові скриньки українських правоохоронців, однак деталі поки не розголошують.

Кір Джайлз, науковий співробітник лондонського аналітичного центру Chatham House, припустив, що хакери зосереджували свою увагу на українських правоохоронних органах для того, щоб "випередити слідчих, які працюють над викриттям московських шпигунів, або для того, щоб зібрати потенційно незручну інформацію про високопосадовців у Києві".

Інцидент з випадковим витоком даних є яскравим нагадуванням про приховані загрози, що постійно існують у кіберпросторі. Він підкреслює критичну важливість пильності та інвестицій у кібербезпеку, оскільки навіть найменші помилки можуть розкрити масштабні міжнародні операції. Майбутнє вимагає від нас більшої стійкості та співпраці для захисту від невидимих ворогів.