Вал кибератак на космические системы
Проанализировав сотни каналов в Telegram, форумы киберпреступников и другие открытые источники, в 2025 году специалисты выявили 407 киберопераций против космического сектора, что составляет более одной атаки в день.
Эта закономерность не была случайной. Киберактивность резко возрастала одновременно с геополитическими кризисами, особенно заметно всплёскиваясь во время напряжённости между Украиной и США, индо-пакистанского кризиса и израильско-иранской войны.
Из 407 выявленных операций 183 различных космических объекта в 46 странах были определены как цели, многие из которых подвергались нападениям неоднократно. Наиболее часто объектами нападений были Elbit Systems, Rafael, Antonov, NASA, Ukrkosmos и Israel Aerospace Industries. Среди других выявленных целей — SpaceX, Airbus, Leonardo, Eutelsat, Gilat, ESA, GMV и др.
Из 407 выявленных кибератак 61% представляли собой распределённые атаки типа «отказ в обслуживании» (DDoS), 13% — атаки с использованием программ-вымогателей, 5% — утечки данных, 4% — несанкционированные утечки данных, 4% — продажу данных, 3% — несанкционированный доступ, и 1% — продажу несанкционированного доступа, вредоносное ПО, кражу учётных данных, взлом веб-сайтов или использование уязвимостей.
Периметр угрозы расширяется. Злоумышленники всё чаще нацеливаются на организации, которые сами не являются космическими компаниями, но зависят от космических систем или занимают какое-то место в цепочке поставок космической отрасли. Например, атака на компанию GuraLP привела к несанкционированному доступу к ГНСС-приёмникам, что повлияло на сейсмический мониторинг в Италии. Аналогичная атака произошла и на онлайн-инструмент для проведения конференций Dooble Digital Solutions, который использовался космической компанией и, вероятно, повлиял на её деятельность.
В отличие от предыдущих лет, кибератаки на космические системы все более ощутимы в плане оперативных последствий. В Южной Африке атака с использованием программ-вымогателей на национальную метеорологическую службу нарушила её способность подключать ИТ-инфраструктуру к метеостанциям примерно на месяц. Даже после частичного восстановления работы организация продолжала функционировать с ограниченной мощностью, вынуждая предоставлять конечным пользователям экстраполированные данные и изображения с более низким разрешением. Многие пользователи, в том числе в сельскохозяйственном секторе, по сообщениям, не знали о сбое, несмотря на его влияние на качество предоставляемых им услуг. Инцидент также имел финансовые последствия для самой метеорологической службы. Аналогичным образом, кибератака, затронувшая системы спутниковой связи двух иранских судоходных компаний, вывела из строя модемы спутниковой связи на всех их судах и позволила злоумышленникам получить доступ к данным компании, включая учётные данные спутниковой связи каждого судна.
Кибератаки на космическую экосистему — это уже не просто отключение веб-сайтов. Они начинают вмешиваться в работу реальных сервисов, обеспечение непрерывности операций и системы, от которых зависят целые секторы экономики.
Данные неполны и по другой причине: многие инциденты так и не раскрываются. Исследователи могут выявлять враждебные намерения, наступательные возможности, академические демонстрации или заявления со стороны злоумышленников, но при этом не могут связать их с подтвержденной операцией. Доступ к первоисточникам неравномерен, а отслеживать одних и тех же злоумышленников постоянно в течение длительного времени сложно, особенно когда киберпреступные форумы и каналы в Telegram регулярно закрываются, вынуждая злоумышленников действовать в замкнутых пространствах.
Публичная отчётность добавляет ещё один уровень искажения. Компании, занимающиеся кибербезопасностью, могут сообщать только о том, что видят их датчики, а большинство этих датчиков расположены на наземных ИТ-системах, а не на спутниках. В конечном итоге, публикуемая информация формируется коммерческими стимулами, предпочтениями клиентов и геополитическими соображениями, а также рыночным спросом. При малом количестве специализированных продуктов в области киберразведки в космосе и фрагментированном глобальном рынке разведывательной информации о киберугрозах (CTI) публичная прозрачность остаётся ограниченной.
В сфере киберугроз в космическом секторе также много информационного шума. Злоумышленники часто преувеличивают или фабрикуют заявления, в то время как жертвы хранят молчание, оставляя исследователям задачу определить реальность, имея мало доказательств. Тем не менее, даже ложные заявления имеют значение, поскольку они свидетельствуют о заинтересованности в атаках на космический сектор.
Космическая индустрия долгое время полагалась на обеспечение безопасности за счёт сокрытия информации. Информация строго контролировалась, программное обеспечение было запатентованным, оборудование — узкоспециализированным, а системы были сложны для доступа и понимания посторонними лицами.
Эта модель исчезает. Коммерциализация, широкое использование готовых коммерческих компонентов и большие данные сделали космические системы более доступными и понятными.
В результате возникает своего рода небезопасность, обусловленная прозрачностью. Предполагается, что злоумышленники способны получить необходимую техническую информацию для изучения, выбора целей и потенциального взлома космических систем. Однако защитники по-прежнему действуют, располагая ограниченными данными о киберугрозах, специфичных для космической отрасли, слабыми механизмами обмена информацией и практически полным отсутствием информации о том, что происходит на борту спутников и внутри сообществ злоумышленников.
Реалистичного пути к возвращению в безвестность нет. Единственный жизнеспособный ответ — сделать прозрачность выгодной для защитников, перейдя к безопасности через прозрачность: разработка специализированной разведывательной информации об угрозах в космической отрасли, развертывание бортовых средств обнаружения и более систематический обмен информацией в рамках всего сектора. Если злоумышленники всё лучше понимают, как работают космические системы, защитникам необходимо стать столь же эффективными в понимании того, как эти системы становятся целью атак.
Подписывайтесь на журнал «Вестник ГЛОНАСС» и навигационный Макс-канал
По материалам открытых источников