Поздним вечером в воскресенье неизвестный киберпреступник или группа лиц взломали тысячи систем дистанционного управления холодильным оборудованием в сотнях французских продуктовых магазинов, вызвав повышение температуры, порчу продуктов и возгорания. Это является частью продолжающейся тенденции атак на физические системы, способные нанести реальный ущерб.
В августе атака программы-вымогателя нарушила работу систем управления зданиями в канадской больнице, затронув контроль доступа к дверям, централизованный мониторинг систем отопления, вентиляции и кондиционирования воздуха, а также выдачу пропусков для персонала.
А три года назад кибератаки обрушились на казино Лас-Вегаса, вызвав отключение игровых автоматов, невозможность выдачи наличных через платежные киоски и банкоматы, а также блокировку гостей в номерах из-за неработающих электронных ключей.
Не все цифровые вторжения остаются в киберпространстве, и злоумышленникам не обязательно шифровать файлы и красть данные, чтобы вызвать хаос. Атаки на физические системы часто приводят к более серьезным последствиям и усиливают давление на руководство с целью получения выкупа.
«Был случай, когда клиент отказывался платить, и тогда злоумышленник сказал: „Держи мое пиво, повеселитесь, заходя в свои офисы“, и заблокировал всех», — рассказал Тим Бизли, старший консультант по реагированию на инциденты в Semperis, изданию The Register.
Бизли не назвал клиента и не предоставил компрометирующей информации, но сообщил, что реагирование на инцидент включало взлом дверей полицией в дополнение к восстановлению его командой скомпрометированных данных.
«Полиции пришлось взламывать двери и буквально проникать в здание, разбивая окна, чтобы клиент наконец смог вернуться», — сказал он. На вопрос, заплатил ли клиент выкуп, Бизли воскликнул: «О, черт возьми, нет!»
В отчете, опубликованном ранее в этом месяце лабораторией Armis компании ServiceNow, содержится все больше свидетельств того, что злоумышленники, использующие программы-вымогатели, применяют физические последствия в качестве рычага давления при своих вторжениях. «Современные системы автоматизации зданий (BAS) действуют на стыке миров ИТ и ОТ, создавая беспрецедентную уязвимость», — говорится в отчете.
Программы-вымогатели с физическими последствиями
Системы автоматизации зданий (BAS) — это критически важные системы, которые управляют и контролируют системы отопления, вентиляции и кондиционирования воздуха (HVAC), освещение, энергопотребление и водопотребление объектов. Они также контролируют считыватели пропусков, дверные замки, камеры наблюдения, панели управления пожарной сигнализацией и другое оборудование физической безопасности.
Таким образом, BAS представляют собой очень привлекательные цели для операторов программ-вымогателей, ищущих способы оказать высокое давление на организации с целью получения многомиллионных выкупов. Эти системы также привлекают государственные структуры и хактивистов, стремящихся обеспечить максимальное психологическое и физическое воздействие во время деструктивных кибератак.
Armis Labs обнаружила, что 73% организаций имеют BAS, которые использовались в атаках программ-вымогателей, и такой же процент имеет известные уязвимости, которые были использованы как минимум в одной из их систем автоматизации зданий. Кроме того, 91% BAS обмениваются данными по небезопасным протоколам, что открывает еще большую поверхность атаки для киберзлоумышленников, желающих причинить физический вред.
«Главное, что мы видим при любой атаке на системы управления зданиями или физические системы: это отличное место для укрытия злоумышленника», — сказал Майкл Фримен, старший директор по исследованию угроз в ServiceNow, изданию The Register. «Им легче скомпрометировать, и им легче там скрываться».
BAS и операционные технологии (OT) в целом имеют меньше средств контроля безопасности, чем ИТ-системы. Большинство из них требуют непрерывной работы, что затрудняет их исправление или даже сканирование на предмет уязвимостей и неправильных конфигураций, поскольку это может привести к сбоям.
«В одном конкретном случае, против очень крупного финансового учреждения, злоумышленники действовали скрытно, атакуя их системы BMS, а затем переходя в ИТ-среду», — сказал Фримен.
Злоумышленники регулярно обнаруживались и вытеснялись из ИТ-систем финансового учреждения, поэтому они создавали бэкдоры в BMS, чтобы обеспечить постоянный доступ как к сетям OT, так и к ИТ.
«Мы также видим, что злоумышленники используют ИИ для изучения систем автоматизации зданий, особенно тех, которые используют малоизвестные операционные системы, такие как VxWorks, старые системы типа Unix», — сказал Фримен.
ИИ вступил в игру
Как неоднократно сообщали нам эксперты по безопасности в предыдущих интервью, безопасность через неясность мертва. ИИ не только облегчает злоумышленникам поиск ошибок — некоторые из них очень малоизвестны и существуют десятилетиями — но и означает, что преступникам больше не нужно быть экспертами в области OT, чтобы проводить деструктивные кибератаки на критически важные сети и объекты. Вместо этого они могут использовать ИИ для изучения всех малоизвестных протоколов и проприетарного оборудования и программного обеспечения, которые исторически делали промышленные системы управления «черными ящиками».
«Легче понять, каковы элементы управления», — сказал Фримен, приводя в пример атакующего, пытающегося вывести из строя самолет или совершить подобную катастрофическую кибератаку.
Исторически даже продвинутые, поддерживаемые государством хакерские группы «действовали тихо, потому что вы не знаете, что произойдет при изменении определенных настроек», — объяснил Фримен. «Теперь вы можете использовать ИИ, чтобы сказать: „Если я скомпрометирую систему взвешивания и балансировки для авиакомпаний, все, что мне нужно сделать сейчас, это переместить это число сюда, и я скажу системе загрузить тяжелые грузы на правую сторону самолета вместо равномерного распределения“».
Фримен рассказал, что в прошлом видел, как злоумышленники проникали в OT-оборудование авиакомпаний. «Но они не знали, во что ввязываются, и поэтому оставили их в покое», — сказал он. «Это вызывает у меня беспокойство, потому что в прошлом я помогал вытеснять людей из таких систем».
Промышленные организации все чаще подвергаются атакам
Поставщик решений для безопасности OT, компания Dragos, отслеживает заявления групп программ-вымогателей в отношении промышленных организаций на сайтах утечек преступников, а также публично раскрытые вторжения, затрагивающие производственный и другие критически важные сектора. Важно отметить: заявления на сайтах утечек не всегда точны или даже правдивы, и само заявление не означает, что были затронуты операционные системы или системы управления.
Однако с 2022 года «число постоянно растет», — сообщила Лекси Муни, старший аналитик по угрозам в Dragos, изданию The Register.
Фирма по кибербезопасности зафиксировала 995 атак программ-вымогателей на промышленные организации в 2023 году, что на 49,5% больше, чем в 2022 году. Это число подскочило более чем на 87% в 2024 году.
Активные группы программ-вымогателей, нацеленные на промышленные организации, также выросли в 2024 году до 80 групп по сравнению с 50 годом ранее.
Dragos отследила 119 групп программ-вымогателей, затронувших более 3300 промышленных организаций в 2025 году, и количество инцидентов неуклонно росло каждый квартал в этом году: 1020 инцидентов в первом квартале 2026 года и 1140 инцидентов во втором квартале.
«Подавляющее большинство случаев являются оппортунистическими», — сказал нам Абдул Аламри, старший аналитик по угрозам в Dragos. «В некоторых случаях, когда мы наблюдали операционное воздействие, будь то на физические системы или на операционную деятельность OT, это просто природа оппортунизма со стороны этих групп программ-вымогателей».
Это частично связано со сложностью OT-систем, добавил он. «Группы программ-вымогателей хотят нарушить работу и оказать давление на жертв, чтобы они заплатили выкуп», — сказал Аламри. «Они не хотят тратить время и усилия на нацеливание на сложные системы».
Для финансово мотивированных преступников обычно быстрее и проще повлиять на операции через ИТ-системы — как это сделали вымогатели во время взлома Jaguar Land Rover в августе 2025 года, который остановил производство и парализовал бизнес-операции на несколько месяцев.
Подключенные к Интернету OT: следующий «легкий улов»
Другая сторона этой сложности заключается в том, что многие организации по-прежнему не имеют полного представления о своих OT-средах.
По оценкам Dragos, менее 10% OT-сетей по всему миру в настоящее время имеют достаточный сетевой мониторинг. Кроме того, в 30% инцидентов, на которые реагировала фирма по безопасности в 2025 году, расследования начинались не с оповещения об обнаружении, а с того, что кто-то заметил, что «что-то не так» в операциях.
Это отсутствие видимости в сочетании с угрозами со стороны ИИ вызывает беспокойство у Аламри. «Если сравнить риски, которые мы видели со стороны людей, с тем, с чем мы столкнемся в ближайшем будущем с ИИ-агентами, которые могут постоянно пытаться взломать эти системы, — это довольно мрачное будущее, если мы не предпримем правильных мер для защиты от них».
Поскольку организации становятся лучше в исправлении и защите ИТ-систем, злоумышленники, вероятно, обратят внимание на подключенные к Интернету OT-системы, где цифровые компрометации имеют реальные последствия, по словам Мэтта Хейдена, вице-президента по кибербезопасности и новым угрозам в General Dynamics Information Technology.
«Мы все ожидаем, что по мере того, как мы будем лучше справляться с устранением „легкого улова“ в ИТ, OT станет вектором, которому будет уделяться гораздо больше внимания и контроля», — сказал Хейден изданию The Register.
До прихода в GDIT Хейден занимал должность помощника секретаря по политике в области кибербезопасности, инфраструктуры, рисков и устойчивости в Министерстве внутренней безопасности США.
Соответствие требованиям против безопасности
«Существует большой акцент на подключении оборудования для целей соответствия требованиям — и для того, чтобы убедиться, что во имя соответствия мы не открываем бэкдоры для устройств, которые традиционно не должны были быть подключены для обеспечения их обслуживания», — сказал он, приводя в качестве примера холодильные установки, которые теперь подключены к Интернету для соблюдения нормативных требований.
Это было до взлома французских супермаркетов.
Системы мониторинга холодильных установок подключаются к Интернету, чтобы их владельцы и операторы могли доказать регулирующим органам, что установки поддерживают время работы и температуру в соответствии с нормами.
«Так что, если придет санитарный инспектор, они скажут: „Посмотрите, мой холодильник был при температуре 27 градусов последние 72 дня“, и у них будет галочка, и они получат пятерку. Но эта простая связь также является вектором, по которому эта конкретная холодильная установка может быть атакована с целью нарушения ее работы», — сказал Хейден.
Примерно через неделю после нашего интервью преступники сделали именно это.
«Недавно сообщенные случаи эксплуатации коммерческих холодильных установок представляют собой значительный пример устройств без цифровой ценности, без конфиденциальных данных или расширенного доступа к корпоративной сети, которые были скомпрометированы из-за подключения к Интернету с необновленной прошивкой», — сообщил нам Хейден в последующем электронном письме.
Он ожидает, что атрибуция будет «менее государственной, и более вероятной для тех, кто ищет возможности для выявления того, что можно сделать с необновленными системами».
«Последствия заключаются в деградации продовольственного снабжения в небольшом масштабе, но это важный пример того, что может произойти в большом масштабе очень быстро с более значимым эксплуатационным оборудованием», — сказал Хейден.®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
