Кибератака на Colonial Pipeline

Кибератака на Colonial Pipeline — атака вредоносного ПО на американскую трубопроводную систему Colonial Pipeline^[1][2][3], случившаяся 7 мая 2021 года. Атака остановила работу всех трубопроводов системы на пять дней^{[a][5][6][7][8]}. В результате атаки президент США Джо Байден объявил чрезвычайное положение^[9][10]. По оценкам прессы, это «крупнейшая успешная кибератака на нефтяную инфраструктуру в истории страны». Источники сообщают, что атака была совершена хакерской группой DarkSide^[11]. Считается, что за день до атаки та же группа похитила 100 гигабайт данных с серверов компании^[12].

Трубопроводная система Colonial Pipeline доставляет бензин, дизельное топливо и авиакеросин из Техаса в Нью-Йорк. По этой трубопроводной системе поступает около 45 % всего топлива, потребляемого на Восточном побережье США^[3]. Атака произошла на фоне растущей обеспокоенности по поводу уязвимости инфраструктуры для кибератак, возникшей после нескольких громких атак, в том числе взлома SolarWinds в 2020 году, поразившего несколько государственных учреждений, включая Пентагон, Министерство финансов, Государственный департамент и Министерство внутренней безопасности.

Работа трубопровода полностью компьютеризирована. При этом техническая система управления (АСУ ТП) соединена с административной, что открывает потенциальные возможности для проникновения через Интернет, чаще всего, через электронную почту^[13]. Именно этой уязвимостью чаще всего пользуются злоумышленники.

Спустя несколько суток после приостановки работы трубопровода в прибрежных штатах Юго-Востока США начался дефицит бензина и дизельного топлива^[14]. Так, в городской агломерации Шарлотт, крупнейшего города Северной Каролины, 12 мая в связи с нехваткой топлива 71 % АЗС были закрыты^[15]. 14 мая 88 % АЗС в Вашингтоне были без бензина^[16]. Розничные цены на бензин в США при этом достигли десятилетнего максимума^[17]. Ситуация усугубилась из-за панических покупок бензина впрок^[16]; некоторые обыватели заливали бензин не только в канистры, но и в совершенно непригодные для этой цели ёмкости, вплоть до пластиковых пакетов^[18].

Из-за нехватки авиакеросина, авиакомпания American Airlines была вынуждена временно изменить некоторые рейсы^[19].

Топливный дефицит прекратился через несколько суток после возобновления работы трубопровода^[20].

По данным ФБР, к атаке причастна преступная группировка DarkSide, предположительно базирующаяся в России^[13]. Сразу после атаки на сайте группировки^[b] появилось что-то вроде извинения. Не упоминая трубопровод Colonial, а лишь «последние события», на сайте говорится: «Наша цель не создавать проблемы обществу, а получать деньги»^[c][13].

Бостонская компания Cybereason, специализирующаяся на технологиях кибербезопасности, заявила, что DarkSide — организованная группа хакеров, создавших своеобразную бизнес-модель «программы-вымогателя как услуги», то есть хакеры DarkSide разрабатывают и продают инструменты взлома программ-вымогателей заинтересованным лицам, которые затем проводят атаки. Американский кабельный и спутниковый телеканал новостей бизнеса CNBC назвал DarkSide «злым двойником стартапа из Кремниевой долины». Издание цитирует заявление компании, в котором говорится: «Мы аполитичны, мы не участвуем в геополитике, не нужно связывать нас с определённым правительством и искать наши мотивы. Наша цель — зарабатывать деньги, а не создавать проблемы для общества»^[21].

По данным исследовательской компании Elliptic, только за период с августа 2020 года по апрель 2021, DarkSide получила с жертв своих атак, по меньшей мере, 90 млн долл. в биткоинах^[22].

Руководство Colonial Pipeline заплатило киберпреступникам выкуп в 75 биткоинов (4,5 млн долл. на момент сделки). 14 мая администратор DarkSide опубликовал сообщение, что серверы и криптовалюта группировки были захвачены — предположительно, правоохранительными органами^[23]. В начале июня Министерство юстиции США подтвердило, что ФБР конфисковало бо́льшую часть выкупа (63,7 биткоина, на тот момент уже имеющие стоимость всего 2,3 млн долл.) при помощи закрытого ключа от биткоинового «кошелька» киберпреступников^[24]. Технические подробности о том, каким образом сотрудники правоохранительных органов получили доступ к закрытому ключу от кошелька, пока не раскрыты^[24].

В конце апреля 2021 года ведущие производители ПО и органы правопорядка образовали международную группу по защите от интернет-вымогательства — Ransomware Task Force (RTF). В группу вошли компании Microsoft и Amazon, а также ФБР и Британское агентство по борьбе с организованной преступностью^[англ.]. Группа представила правительству США доклад, содержащий рекомендации по противодействию интернет-вымогательству^[25].

• Хакеры остановили крупнейший трубопровод США. За атакой могут стоять преступники из постсоветских стран. Архивная копия от 10 мая 2021 на Wayback Machine — обзорная статья ББС (англ.)