Русскоязычная хакерская группа CyberXero похитила у четырех украинских организаций более 628 тысяч записей с данными украинцев. Самая крупная утечка — у поставщика централизованного отопления в Харькове: адреса абонентов и номера их лицевых счетов. Такие базы чаще всего становятся сырьем для мошеннических звонков «из теплосети» или «из горгаза», поэтому важно знать, что именно утекло и как себя вести.

Расследование 6 октября опубликовала компания по кибербезопасности SOCRadar. 12 октября о нем подробно написали украинские DOU и dev.ua.

Коротко

• Подтверждена кража данных у 4 украинских организаций, еще 7 энергетических и коммунальных компаний хакеры разведывали.
• Только у харьковской теплосети — 564 073 записи абонентов с адресами и номерами лицевых счетов.
• Признаков продажи или публикации базы исследователи пока не нашли.

Что произошло

По данным SOCRadar, CyberXero работает как брокер начального доступа: группа взламывает системы и, по всей видимости, готовит доступ к ним для перепродажи другим злоумышленникам. Активность отслеживается как минимум с июля 2026 года, и кампания, по оценке исследователей, продолжается.

Раскрыть операцию удалось почти случайно: на одном из серверов хакеров оказалась открытая папка с рабочими файлами, журналами сессий и данными жертв. По ней исследователи восстановили восемь связанных узлов инфраструктуры.

Какие данные утекли

Названия пострадавших организаций SOCRadar не раскрывает. Среди тех, кого разведывали, исследователи упоминают национального оператора энергосистемы и крупнейший частный энергохолдинг страны. Некоторые украинские издания связывают их с «Укрэнерго» и ДТЭК, но официальных подтверждений от компаний пока нет.

При чем здесь искусственный интеллект

История получила широкий резонанс из-за инструментов. По данным SOCRadar, группа использовала Claude Code от Anthropic с набором из 51 специализированного ИИ-агента для поиска целей и разведки, а также отдельную систему PentAGI. При этом модель, как отмечают исследователи, несколько раз отказалась выполнять вредоносные задачи — например, устанавливать бэкдор.

Кроме Украины, подтвержденные взломы есть в Польше, Китае и Нидерландах — всего в отчете упомянуто более 40 организаций по миру.

Кого это касается

• абонентов централизованного отопления в Харькове — их данные утекли с наибольшей вероятностью;
• клиентов коммунальных и энергетических компаний, которые пользуются личными кабинетами на сайтах;
• всех, кому звонят или пишут «по поводу долга за коммуналку» с незнакомых номеров.

SOCRadar отдельно предупреждает: сочетание имени и домашнего адреса из харьковской базы создает риски для конкретных людей, а не только для их кошельков.

Что делать: пошагово

1. Не диктуйте данные карты и коды из SMS, даже если звонящий называет ваш адрес и номер лицевого счета. Теперь эти сведения могут быть у мошенников.
2. Если сообщают о долге, отключении или перерасчете — положите трубку и перезвоните по номеру с официальной квитанции или сайта поставщика.
3. Оплачивайте коммунальные услуги только через привычные каналы: банк, официальный кабинет, кассу. Не переходите по ссылкам из SMS и мессенджеров.
4. Если вы пользовались личным кабинетом на сайте коммунальной компании — смените пароль, особенно если он такой же, как в почте или банке. Как защитить аккаунты от взлома, мы рассказывали на примере Instagram.
5. Будьте внимательны к «голосовым» и видеозвонкам якобы от знакомых: о подделках с помощью ИИ — в материале о дипфейках.

Куда обращаться

О мошенничестве сообщайте в киберполицию через сайт cyberpolice.gov.ua или по номеру 102. Если с карты списали деньги, сразу звоните в банк по номеру на обратной стороне карты и блокируйте ее. Организациям, которые подозревают взлом, следует обращаться в правительственную команду реагирования CERT-UA.

Что дальше

Пострадавшие компании и украинские киберведомства публично утечку пока не комментировали. Если базу выставят на продажу или опубликуют, риск адресных мошеннических звонков вырастет — поэтому осторожность с «коммунальными» звонками стоит сохранять и в ближайшие месяцы.

Фото: серверные стойки в дата-центре, иллюстративное фото. BalticServers.com, CC BY-SA 3.0, commons.wikimedia.org.

Сообщение Утечка данных 628 тысяч украинцев: что известно о хакерах CyberXero и что делать абонентам коммунальных служб появились сначала на Главпост.

Как работает схема атаки

Злоумышленники создают фальшивую страницу входа в Microsoft. С помощью сокращателей ссылок, таких как Bitly, они делают ссылку на нее безопасной на вид. После этого они отправляют письма, подделанные под знакомые уведомления: «Новое сообщение», «Документ в Teams», «Голосовая почта», «Защищенное сообщение» и другие.

Когда такое письмо попадает в почтовую систему, она автоматически меняет все ссылки, чтобы проверить их на безопасность. Но вместо блокировки угрозы система лишь маскирует ее. Ссылка становится более надежной, и пользователи переходят на фальшивую страницу входа, где вводят свои данные, передавая их хакерам.

Cloudflare объясняет, что именно доверие к «защищенным» письмам делает атаки особенно опасными. Пользователи не замечают обмана, так как письма приходят не от незнакомцев, а от их коллег, чьи адреса были взломаны для рассылки фишинга.

Как защититься

Эксперты рекомендуют обязательно включать двухфакторную аутентификацию для учетных записей Microsoft 365, чтобы обеспечить защиту даже в случае утечки логина и пароля. Также важно быть внимательными к любым письмам, даже если они кажутся надежными. Если письмо просит перейти по ссылке, скачать документ или ввести личные данные, лучше удостовериться в подлинности запроса.

По данным Cloudflare, в 2024 году четверть всех мошенничеств начиналась с фишинга через электронную почту, 11% из которых привели к финансовым потерям. Зафиксировано более 1,1 млн случаев кражи личных данных через фишинговые атаки.

Сообщение Хакеры крадут логины Microsoft 365 через фишинговые письма: как это работает появились сначала на Главпост.

Об угрозе для Чехии сообщает Главпост, ссылаясь на In Korr.

«Главная цель хакеров заключается в том, чтобы посеять среди чехов сомнения и раздор. Москва недовольна тем, что Чехия продолжает поддерживать Украину. Поэтому чехам стараются внушать неправильность этих действий. Хоть Чехия и блокировала множество кибератак, они все еще периодически происходят», — рассказал Куделка.

К этому политик добавил, что EC включил в список санкций российскую информационную платформу «Голос Европы» и двух российских предпринимателей, ведущих деятельность в Чехии. Глава МИД Чехии Ян Липовский подчеркнул, что российский удар по гипермаркету в Харькове является свидетельством того, как президент РФ Владимир Путин стремится к миру. Липовский намерен на следующей встрече HATO в Праге добиться поддержки коллег для остановки российского империализма.

Напомним, как мы информировали в прошлом, КАКИЕ НОВЫЕ ФИШКИ ДЛЯ КОМПЬЮТЕРОВ АНОНСИРОВАЛИ В MICROSOFT.

Сообщение Для чего КНР и РФ атакуют кибербезопасность Чехии появились сначала на Главпост.

Сведения предоставляет Главпост, ссылаясь на «Ого!».

«С 19 января ситуация очень напряженная, атаки фактически не прекращаются. Как мне кажется, «Монобанк» стал одной из самых атакованных ИТ-целей в Украине. Общая нагрузка последней атаки составляла более 580 миллионов запросов на сервис. Это действительно внушительное количество, настоящий космос. К счастью, нашу систему защиты злоумышленники преодолеть не смогли», — рассказал Гороховский.

Также он выразил большую благодарность ИТ-команде банка, которая помогает защищать систему.

«На нас работают высококвалифицированные специалисты, они знают, что и как нужно делать. Благодаря их знаниям «Монобанк» смог избежать серьезных проблем. Пока у нас есть такие сотрудники, система будет находиться в безопасности. Большое им спасибо за работу», — сказал Гороховский.

Ранее мы информировали, В УКРАИНЕ ПАДАЕТ ЧИСЛЕННОСТЬ ПЕНСИОНЕРОВ: ПОСЛЕДНИЕ ДАННЫЕ.

Сообщение «Монобанк» подвергается масштабной атаке DDoS: Гороховский раскрыл детали появились сначала на Главпост.

Сведения передает Главпост, ссылаясь на Госспецсвязь.

«Хакеры, маскируясь под ВСУ или ЦАХАЛ, рассылают сообщения, которые содержат файлы-архивы с лживыми названиями. К примеру, это может быть «опрос пленника», «команды кодирования» и многое другое. Но при открытии подобных файлов система поражается вредоносными программами типа REMCOSRAT и REVERSESSH», — предупредили в Правительственной компании реагирования на компьютерные чрезвычайные события Украины (CERT-UA).

Также эксперты отмечают, что несмотря на использование публично доступного инструментария, такая деятельность хакеров несет большие риски. В частности, это кража секретных данных и взлом серверов.

«Идет регулярная борьба со злоумышленниками, но обнаружить их активность не всегда просто. Военных призвали незамедлительно сообщать о подозрительной активности в сети», — сказано в уведомлении.

В прошлом мы писали, В ХЕРСОНСКОЙ ОБЛАСТИ МОГУТ МОБИЛИЗОВАТЬ ПОДРОСТКОВ: НОВЫЙ ПЛАН АГРЕССОРА.

Сообщение Маскируясь под ЦАХАЛ и ВСУ, рассылали вирусы: хакеры наносят новые удары появились сначала на Главпост.

Сведения передает Главпост, ссылаясь на Today.

«Новая почта за 22 года работы открыла множество филиалов и расширила спектр предоставляемых услуг. На период 9 января 2024 году компания управляет 11400 отделениями и 15500 почтоматами по всей стране. Также украинский оператор постепенно завоевывает рынок Европы, распространяясь все дальше. К почтовым услугам добавились и многие другие, поэтому необходим ребрендинг», — заявили в пресс-службе Новой почте.

Будет изменено название и введены некоторые поправки в принципы работы.

«Кроме доставки посылок Новая почта предоставляет услуги по фулфилменту, фрахтовым перевозкам и т. д. Мы все активнее переходим в цифру, пользуясь услугами IT. Nova Digital поможет укрепить безопасность и построить надежную защиту от кибератак и хакеров», — сказано в уведомлении.

Как мы передавали ранее, РФ ВНЕЗАПНО ВЗЯЛА ПАУЗУ В УДАРАХ ДРОНАМИ: ГУМЕНЮК РАСКРЫЛА, ЧЕМ ОБОСНОВАНА ПАУЗА.

Сообщение Компания «Новая почта» прекращает существование: украинцев предупредили о важных переменах появились сначала на Главпост.

О проблемах в «Киевстар» сообщает Главпост, ссылаясь на «Голос Америки».

«Основные сервисы, такие как мобильный интернет, SMS-сообщения и голосовая почта должны полностью заработать до конца текущей недели. Относительно остального, тут все немного сложнее. Для устранения всех неполадок могут потребоваться недели. Наши эксперты работают над тем, чтобы все заработало как можно скорее», — заявил Комаров.

Стоит отметить, что 13 декабря в СБУ сообщили о хакерской атаке на сервера «Киевстар». Повреждения оказались критическими, поэтому на восстановление необходимо большое количество времени. Ответственность за атаку взяла на себя организация под названием «Солнцепек». Дополнительные детали происшествия устанавливают сотрудники СБУ.

Ранее мы информировали, КИМ ПОДПИСАЛ ДОКУМЕНТ ОБ ОТЛОВЕ УКЛОНИСТОВ: ИЗВЕСТНО, ЧТО ЖДЕТ НИКОЛАЕВСКУЮ ОБЛАСТЬ.

Сообщение В «Киевстар» рассказали, сколько уйдет времени на полное восстановление после атаки хакеров появились сначала на Главпост.

О проблемах в «Киевстар» сообщает Главпост, ссылаясь на «Новости N».

Согласно словам руководителя «Киевстар», хакеры вошли в систему через учетную запись одного из сотрудников компании. Они взломали защиту, после чего нанесли удар по самому серверу.

«Был скомпрометирован учетный пул, нарушена учетная запись одного из работников. Враг проник во внутреннюю инфраструктуру компании. Это привело к масштабному сбою, устранение которого до сих пор продолжается. По данному делу продолжаются расследования. Когда мы получим более детальную информацию, то используем ее для усовершенствования системы безопасности. Подобное более не должно повториться», — рассказал Комаров.

Отмечается, что в компании рассчитывали устранить все неполадки до конца 13 декабря. Однако на утро 14 декабря связь все еще не работает полноценно.

В прошлом мы передавали, ПУТИН ИМЕЕТ НОВЫЙ ПЛАН — БАЙДЕН ПРЕДУПРЕДИЛ О РИСКАХ ДЛЯ УКРАИНЫ.

Сообщение В «Киевстар» рассказали, как хакерам удалось взломать систему компании появились сначала на Главпост.

О преступности в Украине сообщает Главпост, ссылаясь на Facebook «Киевстар».

«Мошенники активно используют ситуацию с проблемами связи. Злоумышленники могут связываться с клиентами «Киевстар» и давать им различные ложные данные. Уважительная просьба, проверяйте информацию, используйте только проверенные источники. Все новости относительно сроков возобновления работы и компенсациях будут поступать только на официальные страницы компании», — предупредили в «Киевстар».

Оператор призвал пользователей не распространять свои номера мобильных телефонов и не давать незнакомцам личные данные.

«Мошенники могут воспользоваться этой информацией против вас. К примеру, взломать ваши аккаунты или банковские счета», — заявили в «Киевстар».

В прошлом мы передавали, ШТРАФЫ ЗА НАРУШЕНИЕ КОМЕНДАНТСКОГО ЧАСА: ИЗВЕСТНО, КОГО ОНИ НЕ КАСАЮТСЯ.

Сообщение В «Киевстар» предупредили о мошенниках: известно, какой схемы нужно остерегаться появились сначала на Главпост.

Сведения предоставляет Главпост, ссылаясь на Facebook «Киевстар».

B компании отметили, что частичное восстановление уже осуществлено. Работы по устранению проблемы продолжаются.

«Задействованы все доступные эксперты, работа идет полным ходом. Делаем все возможное, чтобы устранить неполадки как можно скорее. Ориентировочно, все должно заработать в обычном режиме в течение 13 декабря», — говорится в уведомлении.

В компании подчеркнули, что сервера могут возобновлять работу поступательно, регион за регионом.

«Все компании и обычные пользователи получат компенсацию за временное отсутствие связи», — заявили в «Киевстар».

Не уточняется, стоит ли ожидать очередных атак хакеров и какие дополнительные трудности они способны вызвать.

В прошлом мы передавали, В УКРАИНЕ ОТКРОЮТ ГРАНИЦЫ ДЛЯ МУЖЧИН: АСТРОЛОГ НАЗВАЛ ДАТУ СУДЬБОНОСНЫХ ПЕРЕМЕН В ВОЙНЕ.

Сообщение В «Киевстар» заявили о важных успехах: названы сроки восстановления связи появились сначала на Главпост.