Хакер під псевдонімом CyberXero отримав понад 628 тисяч записів, пов'язаних з українцями. Викрадення даних підтвердили у чотирьох українських організаціях, серед них «Укренерго» та ДТЕК. Для автоматизації атак зловмисник використовував Claude Code від Anthropic із 51 спеціалізованим ШІ-агентом. Про це йдеться у звіті компанії з кібербезпеки SOCRadar.Кібератака на енергетику мала чітко визначені цілі. Хакер прицільно вивчав сім українських підприємств енергетичного та комунального секторів. Тільки у двох енергетичних компаніях він склав перелік із 95 субдоменів: пошта, VPN, системи диспетчерського керування мережею та платформи даних. Проте успішний злам усіх семи цілей дослідники не підтвердили. Викрадення даних вдалося довести у чотирьох організаціях: «Укренерго», ДТЕК і харківських енергетичних компаніях. Про попередні атаки на українську інфраструктуру ми розповідали в матеріалі про кібервійну росії проти України.За даними SOCRadar, кампанію організував російськомовний кіберзлочинець. До такого висновку дослідники дійшли, зокрема, через мову, якою спілкувався зловмисник.
Операція мала два напрями. Перший працював глобально і майже без участі людини: хакер атакував сайти на WordPress і платформи електронної комерції, щоб дістатися до систем і платіжних даних.Другий напрям був заточений під українські енергетичні та комунальні підприємства. Тут уже йшлося про глибоку розвідку конкретних цілей і ручне використання вразливостей.ШІ-автоматизація в кампанії працювала на двох рівнях. На першому був Claude Code від Anthropic із 51 агентом. Кожен виконував свою частину роботи: одні шукали цілі для атак, інші аналізували піддомени, ще інші підбирали способи зламати системи та виносили дані. На другому рівні інструмент PentAGI для автоматизованого тестування безпеки працював у зв'язці з платформою Cobalt Strike. Така система за допомогою штучного інтелекту створювала шкідливі програми й допомагала проводити атаки. Саме таких сценаріїв зараз побоюються розробники: OpenAI та Anthropic уже готуються до масштабної кризи через ШІ.Подальша доля даних поки невідома. SOCRadar не знайшла доказів, що їх уже продали чи виклали в мережу.Дослідники припускають інший сценарій: доступ до українських енергетичних компаній могли готувати на продаж іншим зловмисникам. Тож ця кібератака на енергетику може мати продовження вже з іншими виконавцями.Українські компанії останнім часом регулярно стикаються з подібними загрозами. На початку жовтня кібератака на АТБ супроводжувалася вимогою викупу та погрозами оприлюднити дані клієнтів.
