Русскоязычная хакерская группа CyberXero похитила у четырех украинских организаций более 628 тысяч записей с данными украинцев. Самая крупная утечка — у поставщика централизованного отопления в Харькове: адреса абонентов и номера их лицевых счетов. Такие базы чаще всего становятся сырьем для мошеннических звонков «из теплосети» или «из горгаза», поэтому важно знать, что именно утекло и как себя вести.
Расследование 6 октября опубликовала компания по кибербезопасности SOCRadar. 12 октября о нем подробно написали украинские DOU и dev.ua.
Коротко
- Подтверждена кража данных у 4 украинских организаций, еще 7 энергетических и коммунальных компаний хакеры разведывали.
- Только у харьковской теплосети — 564 073 записи абонентов с адресами и номерами лицевых счетов.
- Признаков продажи или публикации базы исследователи пока не нашли.
Что произошло
По данным SOCRadar, CyberXero работает как брокер начального доступа: группа взламывает системы и, по всей видимости, готовит доступ к ним для перепродажи другим злоумышленникам. Активность отслеживается как минимум с июля 2026 года, и кампания, по оценке исследователей, продолжается.
Раскрыть операцию удалось почти случайно: на одном из серверов хакеров оказалась открытая папка с рабочими файлами, журналами сессий и данными жертв. По ней исследователи восстановили восемь связанных узлов инфраструктуры.
Какие данные утекли
| Что известно | Детали |
|---|---|
| Всего записей украинцев | более 628 000 из четырех организаций |
| Харьковская теплоснабжающая компания | 564 073 записи абонентов: персональные данные, домашние адреса, номера лицевых счетов |
| Журналы входа той же компании | 213 340 записей с датами и IP-адресами |
| Разведка без подтвержденного взлома | 7 энергетических и коммунальных компаний |
Названия пострадавших организаций SOCRadar не раскрывает. Среди тех, кого разведывали, исследователи упоминают национального оператора энергосистемы и крупнейший частный энергохолдинг страны. Некоторые украинские издания связывают их с «Укрэнерго» и ДТЭК, но официальных подтверждений от компаний пока нет.
При чем здесь искусственный интеллект
История получила широкий резонанс из-за инструментов. По данным SOCRadar, группа использовала Claude Code от Anthropic с набором из 51 специализированного ИИ-агента для поиска целей и разведки, а также отдельную систему PentAGI. При этом модель, как отмечают исследователи, несколько раз отказалась выполнять вредоносные задачи — например, устанавливать бэкдор.
Кроме Украины, подтвержденные взломы есть в Польше, Китае и Нидерландах — всего в отчете упомянуто более 40 организаций по миру.
Кого это касается
- абонентов централизованного отопления в Харькове — их данные утекли с наибольшей вероятностью;
- клиентов коммунальных и энергетических компаний, которые пользуются личными кабинетами на сайтах;
- всех, кому звонят или пишут «по поводу долга за коммуналку» с незнакомых номеров.
SOCRadar отдельно предупреждает: сочетание имени и домашнего адреса из харьковской базы создает риски для конкретных людей, а не только для их кошельков.
Что делать: пошагово
- Не диктуйте данные карты и коды из SMS, даже если звонящий называет ваш адрес и номер лицевого счета. Теперь эти сведения могут быть у мошенников.
- Если сообщают о долге, отключении или перерасчете — положите трубку и перезвоните по номеру с официальной квитанции или сайта поставщика.
- Оплачивайте коммунальные услуги только через привычные каналы: банк, официальный кабинет, кассу. Не переходите по ссылкам из SMS и мессенджеров.
- Если вы пользовались личным кабинетом на сайте коммунальной компании — смените пароль, особенно если он такой же, как в почте или банке. Как защитить аккаунты от взлома, мы рассказывали на примере Instagram.
- Будьте внимательны к «голосовым» и видеозвонкам якобы от знакомых: о подделках с помощью ИИ — в материале о дипфейках.
Куда обращаться
О мошенничестве сообщайте в киберполицию через сайт cyberpolice.gov.ua или по номеру 102. Если с карты списали деньги, сразу звоните в банк по номеру на обратной стороне карты и блокируйте ее. Организациям, которые подозревают взлом, следует обращаться в правительственную команду реагирования CERT-UA.
Что дальше
Пострадавшие компании и украинские киберведомства публично утечку пока не комментировали. Если базу выставят на продажу или опубликуют, риск адресных мошеннических звонков вырастет — поэтому осторожность с «коммунальными» звонками стоит сохранять и в ближайшие месяцы.
Фото: серверные стойки в дата-центре, иллюстративное фото. BalticServers.com, CC BY-SA 3.0, commons.wikimedia.org.