Російські хакери атакують логістику, енергетику та оборонні підприємства: приклади 2026 року

Російські кібероперації проти України та її партнерів стають дедалі складнішими: зловмисники намагаються не лише викрадати паролі, а й тривалий час залишатися в корпоративних мережах, приховувати свої комунікації та знищувати дані після отримання доступу. Про це свідчать нові дослідження, оприлюднені у жовтні 2026 року компанією ESET та фахівцями з кібербезпеки, які виявили атаки на українську аграрну логістику, енергетичні підприємства й оборонні компанії країн НАТО.

Небезпека таких операцій полягає в тому, що їхні наслідки можуть виходити далеко за межі одного комп'ютера. Викрадення інформації створює ризики для державної та військової безпеки, а знищення даних може ускладнити роботу підприємств і відновлення їхніх систем.

Водночас важливо розрізняти дати: деякі інциденти сталися раніше, але їхні технічні подробиці дослідники оприлюднили лише зараз. Нижче — конкретні приклади з посиланнями на джерела та поясненням, що саме вони доводять. Про усе це - в матеріалі журналістів видання 6262. 

Атака на українську зернову логістику: викрадення документів і знищення даних

farmprogress.com

22 жовтня 2026 року агентство Reuters опублікувало результати дослідження компанії ESET про кібератаку на українську компанію, що працює у сфері зернової логістики. Сам інцидент розпочався ще в липні 2025 року, однак нові подробиці про методи зловмисників оприлюднили лише тепер.

За данимиReuters із посиланням на дослідників ESET, початковим способом проникнення став фішинговий електронний лист. Кампанія була спрямована на логістичні компанії, зернотрейдерів і портові термінали в Україні.

Після проникнення зловмисники встановили програмне забезпечення, яке дозволяло віддалено керувати зараженими комп'ютерами, переглядати файли, робити знімки екрана та викрадати документи. Для приховування комунікацій вони використали децентралізовану мережу Yggdrasil, яка не має єдиного центрального власника. За оцінкою ESET, це перший задокументований випадок використання такої мережі хакерською групою, пов'язаною з державою.

Згодом зловмисники отримали права адміністратора й застосували інструмент SDelete для безповоротного видалення даних на уражених комп'ютерах. Ця програма є легітимною утилітою Microsoft для безпечного видалення інформації, але в цьому випадку її використали зі шкідливою метою.

ESET пов'язує початкове проникнення з угрупованням UAC-0099, яке, за оцінкою компанії, працює в інтересах Росії. Подальше знищення даних мало ознаки діяльності Sandworm — групи, яку широко пов'язують із російською військовою розвідкою. Дослідники вважають, що UAC-0099 могло передати доступ іншому угрупованню. Водночас вони не встановили, хто саме керував одним із проміжних інструментів, і не змогли підтвердити, чи порушила атака безпосередньо роботу зернових операцій.

Чим це небезпечно?

Українська аграрна логістика залежить від обміну документами, планування перевезень, координації з портами та партнерами. Викрадення робочих файлів може розкрити комерційну або операційну інформацію, а знищення даних — ускладнити відновлення роботи. У цьому випадку факт знищення даних підтверджений, але масштаб впливу на перевезення зерна залишається невідомим.

Цей приклад також демонструє, що зловмисники можуть використовувати звичайні легітимні інструменти та альтернативні мережі для приховування своєї діяльності. Тому захист не може обмежуватися лише пошуком відомих вірусів.

MatchBoil: російське шпигунське програмне забезпечення атакує транспорт та енергетику України

reform.energy

8 жовтня 2026 року видання The Record опублікувало матеріал про нові результати дослідження ESET щодо шкідливої програми MatchBoil. Її використовує угруповання UAC-0099, яке дослідники вважають пов'язаним із російськими інтересами.

За інформацієюThe Record тадослідження ESET, зараження MatchBoil виявляли в українських транспортних компаніях у липні–серпні 2025 року, на виробничому підприємстві в грудні 2025-го та в енергетичній компанії в червні 2026 року.

Шкідливу програму поширювали через посилання у фішингових листах. Після переходу користувач завантажував архів із файлами, запуск яких зрештою приводив до виконання шкідливого коду на комп'ютері.

MatchBoil збирає відомості про заражений пристрій, може завантажувати додаткове шкідливе програмне забезпечення та закріплюватися в системі, щоб залишатися активною. За даними дослідників, програму постійно вдосконалювали: нові версії ускладнювали виявлення та аналіз, а також збирали більше інформації про комп'ютер жертви. Розробка тривала щонайменше з липня 2024 року, а нову версію зафіксували у квітні 2026-го.

У попередніх кампаніях це угруповання використовувало й інші шкідливі інструменти. Зокрема, MatchWok дозволяє віддалено виконувати команди, а Dragstare — викрадати паролі браузерів, файли cookie та документи з робочого столу.

Чим це небезпечно?

На відміну від вірусу, який одразу пошкоджує комп'ютер, шпигунське програмне забезпечення може довго збирати інформацію непомітно для користувача. Зловмисники отримують можливість вивчати внутрішню структуру мережі, визначати доступні ресурси й готувати наступні етапи операції.

Якщо ціллю є транспортне чи енергетичне підприємство, потенційно цінними можуть бути не лише фінансові документи, а й інформація про роботу систем, внутрішні контакти та організацію процесів. Проте конкретний обсяг викрадених даних у згаданих випадках не оприлюднений.

Цей інцидент підтверджує важливу тенденцію: кіберзагроза не обов'язково проявляється у вигляді відключення системи. Іноді головна мета — отримати доступ і зберігати його якомога довше.

APT28 атакує оборонні підприємства двох країн НАТО

defence-ua.com

20 жовтня 2026 року видання The Record повідомило про шпигунську кампанію, спрямовану проти організацій у двох європейських країнах НАТО. За даними дослідників Symantec, під атаками опинилися суднобудівне підприємство, виробник двигунів для військової авіації та правоохоронний орган.

Операцію пов'язують з APT28 — угрупованням, яке західні фахівці з кібербезпеки асоціюють із російською військовою розвідкою ГРУ.

За данимиThe Record, перше підтверджене зараження відбулося 24 липня 2026 року. В одному з випадків працівник суднобудівного підприємства відкрив шкідливий документ Microsoft Word, надісланий електронною поштою. Після цього хакери отримали доступ до комп'ютера, досліджували внутрішню мережу та намагалися викрасти облікові дані.

Для проникнення використовували бекдор Hookedge — інструмент, який дає змогу зловмисникам отримувати доступ до системи та виконувати подальші дії. Дослідники також виявили раніше не задокументований інструмент для розшифрування та запуску шкідливого коду безпосередньо в оперативній пам'яті.

Пов'язану з атакою активність фіксували до 24 вересня. Це свідчить, що операція тривала щонайменше два місяці, хоча дослідники не встановили, чи зберігали хакери безперервний доступ протягом усього періоду.

Важливе уточнення: фахівці не підтвердили, що зловмисникам вдалося викрасти секретні або інші чутливі документи. Також не розголошували назви підприємств і країн, у яких вони розташовані.

Чим це небезпечно?

Оборонні підприємства володіють інформацією про технології, виробничі процеси, технічні характеристики продукції та взаємодію з державними замовниками. Навіть без знищення даних тривалий доступ до їхніх мереж може бути корисним для іноземної розвідки.

Особливе значення такі операції мають для України, адже інформація про оборонні можливості партнерів, логістичні ланцюги та виробництво військової техніки може становити розвідувальну цінність. Водночас у цьому конкретному випадку дослідники не підтвердили успішного викрадення секретної інформації, тому говорити про витік оборонних таємниць як про встановлений факт було б некоректно.

Цей приклад демонструє, що кібероперації можуть бути спрямовані на тривале приховане проникнення, а не на миттєве виведення систем із ладу.

Майже 4 840 кіберінцидентів за дев'ять місяців: що відбувається в Україні

Окремо про масштаб загрози свідчить статистика української команди реагування на комп'ютерні надзвичайні події CERT-UA.

За даними інтерв'ю директора департаменту кіберзахисту Адміністрації Держспецзв'язку Дмитра Пахольченка, оприлюдненогоІнтерфакс-Україна 21 жовтня 2026 року, у січні–вересні CERT-UA опрацювала 4 839 кіберінцидентів. За аналогічний період 2025 року їх було 3 955 — кількість зросла на 22,4%.

Серед опрацьованих випадків:

• 44,9% були пов'язані зі шкідливим програмним кодом;

• 24,2% — із фішингом та збором інформації зловмисниками;

• близько 200 інцидентів безпосередньо стосувалися громадян України. Роком раніше за той самий період таких випадків було близько 80.

Серед основних цілей атак — державні органи, місцеве самоврядування, сектор безпеки й оборони, підприємства критичної інфраструктури та комерційні організації.

Водночас ці цифри стосуються всіх опрацьованих кіберінцидентів, а не лише підтверджених російських атак. Саме тому їх не можна використовувати як статистику виключно російських кібероперацій.

Чому це важливо? Дані показують, що проблема стосується не лише окремих гучних випадків. Українські фахівці щодня реагують на різні типи кіберзагроз, серед яких значну частку становлять шкідливе програмне забезпечення та фішинг. Для державних установ і підприємств це означає постійну потребу контролювати доступ до систем, оновлювати програмне забезпечення та навчати працівників розпізнавати підозрілі повідомлення.

Що об'єднує ці атаки та чому вони небезпечні

Розглянуті випадки демонструють три різні сценарії кібероперацій:

Викрадення інформації

Зловмисники проникають до мережі, збирають документи, паролі та відомості про внутрішні системи. Це особливо небезпечно для оборонних підприємств і державних установ.

Приховане перебування в мережі

Шкідливі програми на кшталт MatchBoil дають змогу збирати дані й завантажувати додаткові компоненти. Це створює можливості для подальших дій після первинного проникнення.

Знищення даних

Атака на зернову логістику показує, що після отримання доступу зловмисники можуть перейти від спостереження до руйнування інформації. Відновлення залежатиме від наявності резервних копій та стану систем.

Усі три сценарії можуть створювати проблеми для підприємств і державних структур, але їхні наслідки потрібно оцінювати окремо. Не кожне проникнення закінчується витоком даних, не кожна шпигунська операція призводить до зупинки роботи, а сам факт зараження не доводить, що зловмисники досягли всіх своїх цілей.

Як зменшити ризик

Нові приклади підтверджують, що початковим входом для атаки часто стає звичайний електронний лист, вкладення або посилання. Тому базові заходи захисту залишаються актуальними:

• не відкривати підозрілі вкладення та не запускати команди, запропоновані на сумнівних вебсторінках;

• використовувати багатофакторну автентифікацію та унікальні паролі;

• своєчасно оновлювати операційні системи й програмне забезпечення;

• обмежувати права користувачів і доступ до критичних систем;

• зберігати резервні копії окремо від основної мережі та перевіряти можливість відновлення;

• стежити за незвичною активністю в корпоративних мережах і швидко реагувати на підозрілі підключення.

Для українських організацій важливо також стежити за повідомленнямиCERT-UA, де публікують попередження про актуальні кампанії, шкідливі програми та способи протидії.

Нові розслідування жовтня 2026 року показують, що російські кібероперації не обмежуються атаками на державні сайти. Серед цілей — українські зернові та транспортні компанії, енергетичні підприємства й оборонні організації країн НАТО.

У випадку зернової логістики дослідники підтвердили знищення даних, але не змогли встановити, чи було порушено перевезення. У кампанії проти оборонних підприємств підтверджено проникнення до систем, однак успішне викрадення чутливої інформації не доведено. А дослідження MatchBoil свідчить про тривалу розробку інструментів для збору даних і збереження доступу до заражених пристроїв.

Ці відмінності важливі для об'єктивного висвітлення кіберзагроз. Вони показують, що небезпека полягає не тільки у вже завданих збитках, а й у можливості непомітно отримувати доступ до систем, збирати інформацію та створювати умови для наступних атак. Саме тому кібербезпека є складовою захисту економіки, критичної інфраструктури й національної безпеки України.

Робота над цим матеріалом стала можливою завдяки проєкту Fight for Facts, що реалізується за фінансової підтримки Федерального міністерства економічного співробітництва та розвитку Німеччини.