В Україні існує документ, який виходить двічі на рік і, хоча його не чекають з нетерпінням, його варто уважно прочитати. Це аналітичний звіт CERT-UA — Національної команди реагування на кіберінциденти при Державній службі спеціального зв’язку та захисту інформації. Останній випуск за друге півріччя 2025 року написаний сухою, точною мовою, подібною до інструкцій до побутової техніки. Але якщо перевести його на зрозумілу мову, то виходить досить тривожна історія про те, як країна щодня живе під цифровим обстрілом, і чому навіть зменшення кількості атак не є приводом для розслаблення.
Головна новина звіту звучить майже оптимістично: вперше з початку повномасштабного вторгнення кількість кіберінцидентів за півріччя зменшилась. Було 3 018 — стало 2 909, що становить зменшення на чотири відсотки. Жодного критичного інциденту не зафіксовано, а інцидентів високого рівня стало п’ять замість шести. Здавалося б, можна святкувати.
Проте CERT-UA пояснює, що зменшення кількості інцидентів не означає зменшення загрози. Противник не став добрішим і не пішов у відпустку — він змінив тактику, яка стала значно неприємнішою.
У першому півріччі 2025 року хакерські угруповання використовували модель «Steal & Go» — вкради й тікай. Зловмисники швидко викрадали дані й зникали, не залишаючи слідів. У другому півріччі ця модель змінилася: хакери більше не тікають, а залишаються в системі. CERT-UA зафіксував зміщення акценту з одноразового викрадення інформації на отримання стійкого несанкціонованого доступу.
Окремий розділ звіту присвячений поверненню зловмисників до раніше скомпрометованих систем. Це відбувається не тому, що вони забули щось вкрасти, а щоб перевірити, чи усунули організації причини зламу. Часто виявляється, що проблеми залишилися, і хакери знову входять через ті ж самі вразливості.
Чотири основні мішені залишаються незмінними: урядові організації (38% усіх інцидентів), місцеві органи влади (23%), сектор безпеки та оборони (6%) та енергетичний сектор (4%). Цікаво, що, незважаючи на збільшення розсилок шкідливого програмного забезпечення, кількість реальних заражень зменшилась. Люди поступово вчаться не клікати на все, що блимає.
Звіт також фіксує появу нових кластерів кіберзагроз. У другому півріччі з’явилися кілька нових угруповань, які використовують zero-click атаки, де жертві навіть не потрібно нічого натискати. Наприклад, угруповання UAC-0233 та UAC-0250 експлуатували вразливості поштових серверів, що дозволяли виконувати шкідливий код без взаємодії з користувачем.
Кібервимагачі також повернулися, атакуючи органи місцевого самоврядування за допомогою програм-вимагачів. Угруповання UAC-0238 використовувало вразливості RDP, які залишаються відкритими в багатьох українських держустановах. Інше угруповання, UAC-0243, використовувало варіацію LockBit 3.0 для атак через вразливі сервери Microsoft SharePoint.
Однією з найпоширеніших технік стало використання вразливості WinRAR, яка дозволяє створювати шкідливі файли при розпакуванні архівів. Ця вразливість була виявлена в серпні, і вже з вересня почалися масові розсилки з експлойтами.
Соціальна інженерія також еволюціонувала: російські хакери тепер дзвонять жертвам з українських номерів, встановлюють довіру, а потім надсилають шкідливі файли. Це якісний стрибок у методах атаки.
Ще один тривожний тренд — використання скомпрометованих українських пристроїв як проміжних вузлів для атак. Хакери використовують вразливі роутери для підключення до критичної інфраструктури.
Звіт CERT-UA фіксує реальність, в якій Україна живе вже четвертий рік. Кіберпростір залишається театром воєнних дій, де щодня відбуваються тисячі зіткнень. Позитивом є зменшення кількості інцидентів, але негатив переважає: противник стає розумнішим і винахідливішим. І поки вразливості залишаються, кількість інцидентів може зростати.