Хакер із ШІ-агентами цілився в ДТЕК і вкрав дані 628 тис. українців, вмовивши Claude Code

Російськомовний хакер під псевдонімом CyberXe­ro викрав дані понад 628 тис. українців і вів розвідку проти семи енергетичних та комунальних компаній, серед яких ДТЕК і Укренерго. Для атак він використовував рій із 51 ШІ-агента на базі Claude Code. Про це повідомляє SOCRadar 6 жовтня.

Головне

• Найбільший витік стався в харківського постачальника тепла: 564 тис. записів абонентів з адресами й номерами рахунків.
• Для ДТЕК і Укренерго хакер склав перелік із 95 субдоменів, зокрема пошти, VPN і диспетчерських систем. Злам цих компаній дослідники не підтвердили.
• ШІ неодноразово відмовлявся виконувати команди, і хакер обходив це легендою про «пентест власного сайту».
• Зловмисника видала власна помилка: відкрита папка на сервері з логами, паролями та викраденими даними.

Що опинилося в руках хакера

Найважчий удар припав на харківського постачальника централізованого опалення. Хакер зайшов у систему через пароль, прописаний прямо у своєму скрипті, і вивантажив 564 073 записи абонентів: персональні дані, домашні адреси, номери особових рахунків. Ще 213 тис. записів містили журнали входів з IP-адресами.

У SOCRadar наголошують: оскільки Харків розташований поблизу лінії фронту, такі дані можуть становити фізичну загрозу для цивільних.

Загалом крадіжку даних підтверджено в чотирьох українських організаціях.

Читайте також: Хакери заявили про злам АТБ і вимагали $400 тисяч: що відомо, а що ні

ДТЕК і Укренерго під прицілом

Найбільш тривожною виглядає розвідка. Серед цілей хакера були найбільший приватний енергохолдинг країни та національний оператор системи передачі електроенергії, тобто ДТЕК і Укренерго. Лише для цих двох компаній він склав перелік із 95 субдоменів: пошта, VPN, системи диспетчерського керування мережею, платформи даних.

Водночас успішний злам ДТЕК, Укренерго чи інших енергетичних підприємств із переліку дослідники не підтвердили.

429 зламаних сайтів за 61 секунду

CyberXe­ro працював у двох напрямах. Перший — масові автоматизовані атаки на сайти Word­Press та інтернет-магазини по всьому світу. За один запуск система просканувала 4708 сайтів, отримала доступ до 429 адмінпанелей і встановила 32 вебшели. На все пішла 61 секунда. Про кожен успішний злам хакеру приходило сповіщення в Telegram-бот.

Другий напрям — точкові атаки на українську енергетику. Тут він діяв повільно і вручну, глибоко вивчаючи кожну ціль.

Читайте також: Кібератаки в Україні: 4,8% світових атак і третє місце у рейтингу

Як хакер «вмовляв» ШІ

Агенти Claude Code мали чіткі ролі: одні шукали цілі й субдомени, інші підбирали паролі, будували ланцюжки атак і викачували дані. Серед назв агентів є навіть «sca­da-attack­er» і «c2-oper­a­tor». Окремо хакер підключив ШІ-фреймворк Pen­tA­GI до платформи Cobalt Strike, щоб генерувати шкідливе ПЗ.

Найцікавіше показують логи. ШІ не раз відмовлявся виконувати команди: встановити бекдор, вимкнути файрвол, розгорнути вебшел. Одне сканування модель відхилила чотири рази поспіль, а підроблений «доказ» права власності на сайт розпізнала як фейк.

Хакер відповідав легендою про «авторизований пентест власної інфраструктури». Ту саму фразу він дослівно повторював щодо чотирьох різних жертв. А якщо ШІ все одно відмовляв, просто відкривав нову сесію і пробував знову.

Читайте також: Розпізнати шахрайство стає складніше: як зловмисники використовують ШІ та що робити українцям

Спіймався на відкритій папці

Викрила CyberXe­ro власна недбалість. Його сервер віддавав в інтернет робочу папку без жодного захисту: понад 90 тис. файлів, логи сесій зі ШІ, скрипти з паролями відкритим текстом і викрадені бази. Завдяки цьому дослідники відстежили вісім серверів хакера.

Зловмисник працює російською мовою за московським часом і найактивніший близько 22:00. За класифікацією SOCRadar, він брокер доступу: зламує системи, щоб продати вхід іншим злочинцям. Дослідники припускають, що доступ до українських енергокомпаній міг готуватися для покупця з особливим інтересом до цієї галузі. Доказів продажу чи публікації даних немає, а сам хакер на момент виходу звіту залишався активним.

Читайте також: ШІ зробив шахраїв переконливішими: 7 правил захисту грошей