12 грудня 2023 року у роботі найбільшого в Україні оператора зв'язку «Київстар» стався масштабний збій. По всій країні в абонентів «Київстар» зник мобільний зв'язок та інтернет, при цьому користувачі не могли і приєднатися до мереж інших операторів у рамках внутрішньоукраїнського роумінгу. Також припинили роботу сайт та застосунок «Київстару». Зв'язок зник у 24 мільйонів абонентів. Збої виникли у всього обладнання, яке використовувало зв'язок «Київстар», що призвело до серйозних інфраструктурних проблем по всій Україні.
Президент компанії «Київстар» Олександр Комаров заявив: «Це найбільша у світі хакерська атака на телеком-інфраструктуру». Атака сталася на тлі російського вторгнення в Україну. Відповідальність за атаку взяло на себе російське хакерське угруповання «Солнцепёк».
Передісторія
Загрози для безпеки критичної інфраструктури України
Невдовзі до повномасштабного російського вторгнення критична інфраструктура України зазнала масштабних кібератак в січні та лютому 2022 року. Тоді низка експертів називали ці атаки провісниками швидкої російської військової агресії проти України. Однак у перші тижні російського вторгнення Україні вдалося зберегти стабільну роботу банків, операторів зв'язку та систем енергетики, що здивувало багатьох спостерігачів. Наприкінці 2022 року через російські ракетні удари по українській енергосистемі в українському суспільстві виникли побоювання щодо роботи критичної інфраструктури, проте питання кібербезпеки відійшли на другий план. При цьому в Україні відзначався високий рівень диджиталізації різних сфер життя.
Після початку російського вторгнення та на тлі проблем з електроенергією українські мобільні оператори запровадили систему внутрішньонаціонального мобільного роумінгу, щоб у разі недоступності послуг одного оператора абонент міг скористатися послугами іншого.
Восени 2023 року президент компанії «Київстар» Олександр Комаров розповідав про підготовку компанії до нових можливих обстрілів та блекаутів. Однак незабаром його компанія зазнала найбільшої хакерської атаки. Вже після атаки Комаров у грудні 2023 року говорив, що з початку російського вторгнення «Київстар» відбив понад 500 атак хакерів.
Стан «Київстару» У 2023 році «Київстар» налічував 23 мільйони абонентів мобільного зв'язку, що становило більше половини населення країни, тоді як у другого найбільшого оператора зв'язку Vodafone Україна налічувалося близько 15 млн абонентів. Також «Київстар» мав понад один мільйон абонентів фіксованого інтернету.
Протягом 2023 року в українському суспільстві ходили чутки про швидку націоналізацію компанії «Київстар» . Зокрема це пов'язувалося з потенційним арештом частки російського олігарха Михайла Фрідмана в компанії «Київстар», який потрапив під санкції України.
До осені 2023 року компанія «Київстар» на 100 % належала холдингу Veon. Своєю чергою 48 % акцій компанії Veon належить компанії LetterOne, 38 % володів Михайло Фрідман. Однак у компанії «Київстар» заявляли, що її материнська компанія має «тисячі власників», і жоден з них не має вирішального впливу на роботу і Veon, і «Київстару». Також ЗМІ зазначали, що у листопаді 2023 року до складу Ради директорів компанії увійшов американський політик Майк Помпео, що розцінювалося як спроба компанії відмежуватися від своїх зв'язків із російськими власниками.
Хід подій
Атака 12 грудня 2023 року о 5:26 ранку фахівці «Київстар» виявили нетипову поведінку в їхній комп'ютерній мережі.
О 6:30 співробітники «Київстар» зрозуміли, що компанія зазнає потужної хакерської атаки. При цьому метою атаки була core network — ядро мережі, що відповідає за обробку та маршрутизацію трафіку між користувачами та сервісами.
О 8:04 «Київстар» публічно повідомив про технічний збій у своїй роботі та попередив про можливі обмеження послуг для своїх абонентів. Водночас у внутрішніх чатах співробітників компанії поширилися повідомлення про атаку на core network та бази даних компанії. В той самий час деякі анонімні телеграм-канали почали поширювати фейкову інформацію про обшуки в офісах «Київстар».
Протягом кількох наступних годин став очевидним масштаб проблеми. По всій Україні абоненти компанії «Київстар» залишилися без мобільного зв'язку та домашнього інтернету. Абонентам перестали приходити сповіщення про повітряну тривогу. Припинив роботу й офіційний сайт компанії та її мобільний додаток. Виникли проблеми у роботі всіх систем, пов'язаних із цим оператором. Так, у низці міст довелося вручну відключати вуличне освітлення. Перестала працювати частина банкоматів та платіжних терміналів українських банків. Про значні проблеми повідомили в Ощадбанку, Приватбанку та Райффайзен Банку. Інші банки зазнали менше труднощів. Однак monobank заявив, що зазнав масованої DDoS-атаки протягом 12 грудня, проте банк «зберіг ситуацію під контролем». З проблемами зіткнулися і інтернет-магазини, і Нова пошта, і різні сервіси на кшталт Tabletki.ua, Uklon або Glovo. Також в уряді України повідомили про збої у роботі деяких охоронних систем та гарячих ліній.
Ближче до полудня «Київстар» офіційно визнав, що зазнав великої хакерської атаки. У ЗМІ з'явилися повідомлення, що відновлення мережі може тривати щонайменше тиждень.
Хакерам вдалося не лише вивести з ладу головний пункт управління мережею «Київстар», а й «знести» конфігурацію на транзитних базових станціях.
Абонентам «Київстар» виявився недоступний національний роумінг, хоча рекомендація абонентам «Київстар» скористатися такою можливістю з'явилася на державному сервісі «Дія». За словами Мінцифри України, роумінг не працював через те, що «мережа Київстару не може передати інформацію про своїх абонентів мережам інших операторів». Однак у Держспецзв'язку України заявили, що для запобігання перевантаженню інших операторів зв'язку на запит СБУ було тимчасово заблоковано національний роумінг для абонентів «Київстар».
Інші українські оператори зв'язку, Vodafone та lifecell, продовжували працювати, хоча й повідомили про збільшення навантаження на їхню інфраструктуру через наплив абонентів. Так, у lifecell повідомили, що попит на eSIM збільшився удесятеро.
Відновлення
12 грудня 2023 року до 20:00 «Київстар» почав відновлювати доступ абонентів до послуг фіксованого зв'язку.
13 грудня 2023 року «Київстар» почав поступово відновлювати мобільний зв'язок. З 18.00 почалося включення голосових дзвінків з мобільного зв'язку в окремих регіонах України, SMS та мобільний інтернет залишалися недоступними. Водночас МВС України попередило про активізацію шахраїв, які використовували фішингові посилання з фальшивими повідомленнями нібито від «Київстар» про терміни відновлення зв'язку та компенсацій абонентам.
14 грудня 2023 року «Київстар» увімкнув голосовий зв'язок та відновив роботу домашнього інтернету на 93 %.
15 грудня 2023 року «Київстар» увімкнув мобільний інтернет по всій підконтрольній Україні території, включаючи стандарт 4G.
21 грудня 2023 в «Київстарі» заявили, що повністю відновили всі базові сервіси, які постраждали через хакерську атаку. Раніше у компанії запевнили, що, попри збій в роботі, який стався після хакерської атаки 12-го грудня, абонентська інформація та персональні дані перебувають у безпеці. Після відновлення від хакерської атаки в компанії вирішили скасувати планову плату за тариф для всіх своїх користувачів.
Наслідки Президент компанії «Київстар» Олександр Комаров заявив, що компанія зазнала дуже потужної хакерської атаки на віртуальну інфраструктуру. За його словами, ІТ-інфраструктура компанії була «частково зруйнована». При цьому компанія «Київстар» заявила, що персональні дані абонентів не скомпрометовані: «Це війна. Вона відбувається не тільки на полі бою, а й у віртуальному просторі, в кіберпросторі. На жаль, ми уражені внаслідок цієї війни. Це було проникнення в інфраструктуру та її руйнування». За його словами, «це найбільша хакерська атака на телеком-інфраструктуру у світі. Вдалих атак такого масштабу не було. І, будьмо відверті, не так багато країн, на які напала Росія». При цьому він зазначав, що терміни відновлення роботи сервісів неясні.
До ліквідації наслідків атаки були залучені компанії Microsoft, Cisco, Ericsson.
За словами офіційних осіб ЗСУ, збій у роботі «Київстар» не вплинув на дії українських військовослужбовців на лінії фронту. У ГУР МО України заявили, що основною метою атаки був удар по цивільному населенню України, а не військовим.
Заступник глави Нацбанку України Олексій Шабан заявив, що українські банки мають створити резервні канали зв'язку для своєї інфраструктури через збої частини POS-терміналів після хакерської атаки на «Київстар». Він також зазначив, що Нацбанк «протягом 2022—2023 років постійно фіксував кібератаки різного рівня складності на об'єкти інформаційної інфраструктури банків та небанківських фінустанов» та закликав фінансові установи до посилення їхньої кібербезпеки.
Розслідування У розслідуванні того, що сталося, брали участь співробітники СБУ та Держспецзв'язку України.
СБУ відкрила кримінальну справу за фактом атаки на «Київстар» за вісьмома статтями Кримінального кодексу України : ст. 361 (несанкціоноване втручання у роботу інформаційних (автоматизованих), електронних комунікаційних, інформаційно-комунікаційних систем, електронних комунікаційних мереж); ст. 361-1 (створення з метою протиправного використання, розповсюдження чи збуту шкідливих програмних чи технічних засобів, а також їх розповсюдження чи збут); ст. 110 (посягання на територіальну цілісність та недоторканність України); ст. 111 (державна зрада); ст. 113 (диверсія); ст. 437 (планування, підготовка, розв'язування та ведення агресивної війни); ст. 438 (порушення законів та звичаїв війни); ст. 255 (створення, керівництво злочинною спільнотою або злочинною організацією, а також участь у ній).
13 грудня 2023 року гендиректор «Київстар» Олександр Комаров заявив, що хакери зламали комп'ютерний захист компанії за допомогою скомпрометованого облікового запису одного зі співробітників «Київстар». Він зазначив, що у будь-якій організації можуть бути люди, які «наводять російські ракети або віддають свої паролі, тому що добре працюють соціальні інженери».
Організатори 12 грудня 2023 року СБУ висунула версію, що за тим, що сталося, стоять спецслужби Росії.
12 грудня 2023 року російське хакерське угруповування Killnet заявило, що стоїть за атакою на «Київстар». Однак жодних доказів угруповання не надало.
13 грудня 2023 року відповідальність за атаку взяло на себе російське хакерське угруповання «Солнцепёк». На своєму телеграм-каналі вони заявили, що знищили «10 тисяч комп'ютерів, понад 4 тисячі серверів, всі системи хмарного зберігання даних і резервного копіювання». Вони заявили, що атакували «Київстар», оскільки компанія «забезпечує зв'язок Збройних Сил України, а також державні органи та силові структури України». Вони також пригрозили іншим українським компаніям, які допомагають українській армії. Того ж дня СБУ заявила: «Відповідальність за атаку вже взяло на себе одне з російських псевдохакерських угруповань. Вона є хакерським підрозділом головного управління Генштабу Збройних Сил Росії», уточнивши що мають на увазі саме «Солнцепёк».