Хакер із ШІ-агентами викрав дані 628 тисяч українців: як це сталося
Хакер під псевдонімом CyberXero отримав понад 628 тисяч записів, пов'язаних з українцями. Викрадення даних підтвердили у чотирьох українських організаціях, серед них «Укренерго» та ДТЕК. Для автоматизації атак зловмисник використовував Claude Code від Anthropic із 51 спеціалізованим ШІ-агентом. Про це йдеться у звіті компанії з кібербезпеки SOCRadar.
Які компанії опинилися під атакою хакера CyberXero
- Кібератака на енергетику мала чітко визначені цілі. Хакер прицільно вивчав сім українських підприємств енергетичного та комунального секторів.
- Тільки у двох енергетичних компаніях він склав перелік із 95 субдоменів: пошта, VPN, системи диспетчерського керування мережею та платформи даних.
- Проте успішний злам усіх семи цілей дослідники не підтвердили. Викрадення даних вдалося довести у чотирьох організаціях: «Укренерго», ДТЕК і харківських енергетичних компаніях.
- Про попередні атаки на українську інфраструктуру ми розповідали в матеріалі про кібервійну росії проти України.
Підписуйтеся на наші соцмережі
Хто такий CyberXero
За даними SOCRadar, кампанію організував російськомовний кіберзлочинець. До такого висновку дослідники дійшли, зокрема, через мову, якою спілкувався зловмисник.
Операція мала два напрями. Перший працював глобально і майже без участі людини: хакер атакував сайти на WordPress і платформи електронної комерції, щоб дістатися до систем і платіжних даних.
Другий напрям був заточений під українські енергетичні та комунальні підприємства. Тут уже йшлося про глибоку розвідку конкретних цілей і ручне використання вразливостей.
Як хакеру CyberXero допоміг ШІ
- ШІ-автоматизація в кампанії працювала на двох рівнях.
- На першому був Claude Code від Anthropic із 51 агентом. Кожен виконував свою частину роботи: одні шукали цілі для атак, інші аналізували піддомени, ще інші підбирали способи зламати системи та виносили дані.
- На другому рівні інструмент PentAGI для автоматизованого тестування безпеки працював у зв'язці з платформою Cobalt Strike.
- Така система за допомогою штучного інтелекту створювала шкідливі програми й допомагала проводити атаки.
- Саме таких сценаріїв зараз побоюються розробники: OpenAI та Anthropic уже готуються до масштабної кризи через ШІ.
Подальша доля даних поки невідома. SOCRadar не знайшла доказів, що їх уже продали чи виклали в мережу.
Дослідники припускають інший сценарій: доступ до українських енергетичних компаній могли готувати на продаж іншим зловмисникам. Тож ця кібератака на енергетику може мати продовження вже з іншими виконавцями.
Українські компанії останнім часом регулярно стикаються з подібними загрозами. На початку жовтня кібератака на АТБ супроводжувалася вимогою викупу та погрозами оприлюднити дані клієнтів.