Як одна фішингова атака змінила хід війни в Сирії: уроки для України

У грудні 2024 року світ став свідком несподіваного розвалу збройних сил режиму Башара Асада. Багато експертів пов’язали цей крах із військовим наступом опозиції, економічною кризою або внутрішніми конфліктами. Проте нове журналістське розслідування в авторитетному виданні New Lines Magazine вказує на ще один маловідомий, але потенційно вирішальний чинник – кібероперацію зі шпигунським мобільним додатком, замаскованим під благодійний проєкт дружини президента Сирії.

Давайте проаналізуємо цю історію, яка демонструє як бойові дії у новому домені – кіберпросторі – дозволили отримати перевагу і перемогу на традиційному полі бою.

ОПЕРАЦІЯ STFD-686 – АТАКА ЧЕРЕЗ ДОВІРУ ТА «ПРЯНИК»

Все почалося влітку 2024 року, коли серед сирійських військовослужбовців почав активно поширюватися застосунок з назвою STFD-686. Абревіатура походила нібито від назви фонду Асми Асад Syria Trust for Development. В умовах катастрофічного рівня життя і злиднів, обіцянка отримати грошову допомогу з цього фонду виглядала для військових дуже цікавою. Це був класичний «honeypot» (цифрова пастка), в який потрапили сірійські військові.

Після встановлення додатку, військові бачили веб-інтерфейс без адресного рядка. По факту це була віртуальна оболонка справжньої програми. Їм пропонували заповнити анкету: ім’я, звання, місце служби, номер телефону, потреби тощо. Крім цього, у додатку була вкладена програма типу SpyMax. Це мобільний троян з розширеними функціями збору даних. Заражений пристрій надавав зловмисникам доступ до дзвінків, геолокації, повідомлень, фото та навіть мікрофона й камери.

Згідно з розслідуванням журналіста New Lines Magazine, Telegram-канал «фонду» регулярно звітував про кількість «виплат», які насправді відображали масштаби зараження. У липні 2024 року йшлося про 1500 таких транзакцій. Тож можемо припустити саме таку кількість встановлених додатків, принаймні серед офіцерського складу. За свідченнями колишніх сирійських військових, поширення застосунку мало напівофіційний вигляд: чутки про нього активно передавалися через внутрішні чати, іноді навіть від командирів, які самі не усвідомлювали небезпеки.

Ураження мобільних пристроїв мало кілька рівнів впливу. По-перше, це прямий витік інформації про розташування частин, їхній склад, техніку, логістику. По-друге, існувала реальна загроза навмисної дезінформації – наприклад, через підміну повідомлень, перехоплення команд, викрадення паролів. По-третє, атака підірвала моральний стан: коли військові почали підозрювати зраду всередині своїх лав, це сприяло втраті довіри до керівництва та дезорганізації. В умовах бойових дій це могло виявитися фатальним.

У грудні 2024 року, коли кілька сирійських підрозділів раптово капітулювали або залишили позиції, деякі експерти прямо пов’язали це з наслідками тривалого цифрового стеження за ними.

За словами китайських дослідників з компанії QiAnXin, ця кампанія почалася ще у вересні 2023 року, тобто тривала понад рік. Усі індикатори компрометації – домени, інтерфейс, логіка атаки залишалися майже незмінними. Попри це, сирійські служби не змогли належно відреагувати, що свідчить про брак інституційної спроможності в сфері кібербезпеки.

Фактично, STFD-686 став першим задокументованим прикладом, коли одна фішингова кампанія, вчасно не знешкоджена, могла стати каталізатором розвалу цілої армії.

ЯК ПРАЦЮЄ ФІШИНГ І ЧОМУ ЦЕ СМЕРТЕЛЬНО НЕБЕЗПЕЧНО НА ВІЙНІ?

Фішинг – це метод соціальної інженерії, що використовується для обману користувача з метою отримання конфіденційної інформації або встановлення шкідливого ПЗ. Зазвичай фішингові атаки реалізуються через електронну пошту, соцмережі або месенджери. У випадку STFD-686 носієм стала Telegram-група, яка імітувала канал державної структури.

Унікальність цієї атаки полягала в комбінації психологічного фактора (довіра до Асми Асад), соціального тиску (обіцянка грошей) та технічної витонченості (замаскований SpyMax, фейкові сайти, веб-інтерфейс, що не викликав підозр).

На війні фішинг може стати не просто інструментом збору інформації – він може безпосередньо впливати на результат бою: відстеження переміщень підрозділів, перехоплення планів, наведення артилерії чи авіації, саботаж командних структур. І не лише військові можуть бути мішенню: подібні атаки все частіше спрямовуються на працівників об'єктів критичної інфраструктури, банківського сектору, а також державного управління. Зловмисники використовують не тільки фальшиві додатки, але й електронні листи, веб-форми, псевдоофіційні сайти, копії інтерфейсів популярних сервісів, щоб обманом отримати доступ до систем або інфікувати пристрої.

КЕЙС STFD-686 – УРОКИ ДЛЯ УКРАЇНИ

Кейс STFD-686 не є унікальним. Схожі операції вже фіксувалися в інших країнах. Так, у 2022 році в Україні серед військових поширювався фейковий мобільний застосунок "Резерв+", який містив шкідливе ПЗ. Він встановлювався добровольцями та військовослужбовцями, після чого з пристроїв витягувалися чутливі дані. У Росії також фіксували використання троянізованої версії різних навігаційних додатків, що дозволяла в режимі реального часу відстежувати переміщення військових. Ізраїль у 2020 році завдав удару по сирійському комплексу ППО "Панцир-С1", імовірно, після відстеження координат через мобільний пристрій, який залишив військовий на позиції. У всіх цих випадках мобільні пристрої стали джерелом розвідданих, що перетворились на смертельну загрозу для армії.

Історія зі шпигунським додатком STFD-686 показала, що кібергігієна – це не абстрактне поняття, а конкретний набір навичок і політик, які можуть вирішувати долю цілих військових кампаній. У передових арміях світу це вже давно розуміють. Наприклад, у США з 2018 року діє програма Cyber Awareness Challenge, яка є обов’язковою для всього військового персоналу. У Збройних силах Великої Британії працює Defence Cyber School, де навчають цифровій самодисципліні з перших днів служби. У НАТО питання кібергігієни інтегровані у стандарти оперативного планування, і кожна операція супроводжується кібербезпековим аудитом.

Для Збройних Сил України це означає необхідність постійного вдосконалення цифрової безпеки. Передусім ідеться про тотальну кібергігієну, де кожен військовослужбовець має розуміти, що будь-який додаток, навіть той, що здається офіційним або соціально важливим, може бути ворожим інструментом.

Україна вже зробила перші кроки у цьому напрямі. Зокрема, у застосунку "Армія+" вже доступний спеціальний курс з основ кібергігієни, що охоплює типові цифрові загрози, правила безпечного користування пристроями, а також модулі з протидії фішингу.

Але цього не достатньо. Кібербезпека повинна бути інтегрована у структуру військової освіти, починаючи з курсів солдат і молодших сержантів. У програму підготовки слід включити тренінги з виявлення фішингових повідомлень, підозрілих мобільних додатків, а також вміння діяти у випадку цифрового інциденту.

Так само важливо впровадити чітку політику використання особистих смартфонів у бойових зонах або ж обмежити їхнє використання, або створити спеціальні захищені пристрої для потреб зв'язку. Окремим фронтом має стати постійний моніторинг загроз виявлення фейкових застосунків, псевдосоціальних проєктів і телеграм-каналів, які можуть бути пастками.

Саме тому кібергігієна в Силах оборони та на об’єктах критичної інфраструктури має стати не поодинокими тренінгами, а невід’ємною частиною щоденної рутини.

Віктор Таран, експерт з оборонних та військово-технічних інновацій, спеціалізується на безпілотниках та кібербезпеці

* Точка зору автора може не збігатися з позицією агентства