Хакер із ШІ-агентами цілився в ДТЕК і вкрав дані 628 тис. українців, вмовивши Claude Code
Російськомовний хакер під псевдонімом CyberXero викрав дані понад 628 тис. українців і вів розвідку проти семи енергетичних та комунальних компаній, серед яких ДТЕК і Укренерго. Для атак він використовував рій із 51 ШІ-агента на базі Claude Code. Про це повідомляє SOCRadar 6 жовтня.
Хакер із ШІ-агентами цілився в ДТЕК і вкрав дані 628 тис. українців. Фото: Depositphotos
Головне
- Найбільший витік стався в харківського постачальника тепла: 564 тис. записів абонентів з адресами й номерами рахунків.
- Для ДТЕК і Укренерго хакер склав перелік із 95 субдоменів, зокрема пошти, VPN і диспетчерських систем. Злам цих компаній дослідники не підтвердили.
- ШІ неодноразово відмовлявся виконувати команди, і хакер обходив це легендою про «пентест власного сайту».
- Зловмисника видала власна помилка: відкрита папка на сервері з логами, паролями та викраденими даними.
Що опинилося в руках хакера
Найважчий удар припав на харківського постачальника централізованого опалення. Хакер зайшов у систему через пароль, прописаний прямо у своєму скрипті, і вивантажив 564 073 записи абонентів: персональні дані, домашні адреси, номери особових рахунків. Ще 213 тис. записів містили журнали входів з IP-адресами.
У SOCRadar наголошують: оскільки Харків розташований поблизу лінії фронту, такі дані можуть становити фізичну загрозу для цивільних.
Загалом крадіжку даних підтверджено в чотирьох українських організаціях.
Читайте також: Хакери заявили про злам АТБ і вимагали $400 тисяч: що відомо, а що ні
ДТЕК і Укренерго під прицілом
Найбільш тривожною виглядає розвідка. Серед цілей хакера були найбільший приватний енергохолдинг країни та національний оператор системи передачі електроенергії, тобто ДТЕК і Укренерго. Лише для цих двох компаній він склав перелік із 95 субдоменів: пошта, VPN, системи диспетчерського керування мережею, платформи даних.
Водночас успішний злам ДТЕК, Укренерго чи інших енергетичних підприємств із переліку дослідники не підтвердили.
429 зламаних сайтів за 61 секунду
CyberXero працював у двох напрямах. Перший — масові автоматизовані атаки на сайти WordPress та інтернет-магазини по всьому світу. За один запуск система просканувала 4708 сайтів, отримала доступ до 429 адмінпанелей і встановила 32 вебшели. На все пішла 61 секунда. Про кожен успішний злам хакеру приходило сповіщення в Telegram-бот.
Другий напрям — точкові атаки на українську енергетику. Тут він діяв повільно і вручну, глибоко вивчаючи кожну ціль.
Читайте також: Кібератаки в Україні: 4,8% світових атак і третє місце у рейтингу
Як хакер «вмовляв» ШІ
Агенти Claude Code мали чіткі ролі: одні шукали цілі й субдомени, інші підбирали паролі, будували ланцюжки атак і викачували дані. Серед назв агентів є навіть «scada-attacker» і «c2-operator». Окремо хакер підключив ШІ-фреймворк PentAGI до платформи Cobalt Strike, щоб генерувати шкідливе ПЗ.
Найцікавіше показують логи. ШІ не раз відмовлявся виконувати команди: встановити бекдор, вимкнути файрвол, розгорнути вебшел. Одне сканування модель відхилила чотири рази поспіль, а підроблений «доказ» права власності на сайт розпізнала як фейк.
Хакер відповідав легендою про «авторизований пентест власної інфраструктури». Ту саму фразу він дослівно повторював щодо чотирьох різних жертв. А якщо ШІ все одно відмовляв, просто відкривав нову сесію і пробував знову.
Читайте також: Розпізнати шахрайство стає складніше: як зловмисники використовують ШІ та що робити українцям
Спіймався на відкритій папці
Викрила CyberXero власна недбалість. Його сервер віддавав в інтернет робочу папку без жодного захисту: понад 90 тис. файлів, логи сесій зі ШІ, скрипти з паролями відкритим текстом і викрадені бази. Завдяки цьому дослідники відстежили вісім серверів хакера.
Зловмисник працює російською мовою за московським часом і найактивніший близько 22:00. За класифікацією SOCRadar, він брокер доступу: зламує системи, щоб продати вхід іншим злочинцям. Дослідники припускають, що доступ до українських енергокомпаній міг готуватися для покупця з особливим інтересом до цієї галузі. Доказів продажу чи публікації даних немає, а сам хакер на момент виходу звіту залишався активним.
Читайте також: ШІ зробив шахраїв переконливішими: 7 правил захисту грошей
