Кіберпростір як ще один фронт війни

Міжнародний кримінальний суд уже розслідує російські удари по цивільній інфраструктурі України в кіберпросторі як ймовірні воєнні злочини. 

Україна як полігон російських кібератак

Після Революції гідності та початку російської агресії у 2014 році кібератаки стали для РФ ще одним інструментом війни проти України. Під ударом опинилися державні установи, енергетика, медіа, бізнес і критична інфраструктура.

Одним із перших гучних випадків стала атака на Центральну виборчу комісію під час президентських виборів 2014 року. Тоді хакери намагалися втрутитися в роботу системи та вивести на сайт ЦВК фальшиві результати голосування. За даними CEPA, атаку вдалося зупинити, тому на підсумки виборів вона не вплинула. Попри оперативне запобігання атаці, російський “Перший канал” уже наступного дня показав у новинах нібито “сайт ЦВК” із підтасованими результатами.

Наступного року угруповання Sandworm здійснило атаку на українську енергосистему, через яку без світла залишилися близько 230 тисяч споживачів. 17 грудня 2016 року в Україні стався другий такий випадок, але цього разу в частині Києва. За даними звіту Державної служби спеціального зв’язку та захисту інформації України, у 2022-2024 роках Sandworm приписують вже 80 зламів — у середньому два на місяць.

У 2017 році Росія застосувала проти України вірус NotPetya. Він почався з атаки на українські системи для дестабілізації ситуації в Україні, але швидко поширився світом і завдав мільярдних збитків компаніям у Європі, Азії та США. Тоді Білий дім називав NotPetya “найбільш руйнівною і дорогою кібератакою в історії”. У МЗС Британії стверджували, що ціллю кібератаки було порушення роботи українських держустанов, фінансового й енергетичного секторів економіки.

У тому ж році Валентин Петров, тодішній керівник Служби з питань інформаційної безпеки Апарату РНБО, заявив, що російські спецслужби та пов’язані з ними хакерські групи використовують Україну як майданчик для тестування нових способів виведення інфраструктури з ладу.

Як змінювалася тактика РФ під час кібератак

Після початку повномасштабного вторгнення Росія продовжила використовувати кібератаки майже паралельно з ударами на полі бою. 24 лютого 2022 року, приблизно за годину до початку наступу, сталася атака на супутникову мережу Viasat. Її основною ціллю могла бути українська військова комунікація, але наслідки відчули також цивільні користувачі та компанії в інших країнах Європи.

За даними Держспецзв’язку, під час повномасштабного вторгнення кількість зареєстрованих кіберінцидентів щороку зростає: у 2021 році їх було 1350, у 2022-му — 2194, у 2023-му — 2543, а у 2024 році — вже 4315, у 2025 — майже 6000. При цьому, за даними її звіту, тактика Росії поступово змінюється. Якщо на початку повномасштабного вторгнення ворог частіше робив ставку на руйнівні атаки, то згодом дедалі більше уваги почав приділяти шпигунству, прихованій присутності в системах і збору інформації. У 2024 році фокус змістився на організації, безпосередньо пов’язані з військовими операціями, а також на постачальників послуг, які підтримують воєнні зусилля.

У 2024 році Україна зазнала однієї з наймасштабніших за останній час кібератак на державні реєстри. Внаслідок атаки, яку пов’язують із російськими хакерами, тимчасово зупинилася робота ключових систем Міністерства юстиції. За словами керівника Департаменту кібербезпеки СБУ Володимира Карастельова, атаку здійснила одна з російських хакерських груп. Служба безпеки України встановила її зв’язки з Головним розвідувальним управлінням Генштабу Збройних сил РФ.

Окремою мішенню російських кібератак протягом усієї війни залишаються українські медіа. Злами телеканалів, інформаційних агентств та онлайн-платформ часто використовують для публікації фейків під виглядом новин від відомих медіа. Один із таких випадків стався у лютому 2024 року. За даними Інституту масової інформації, 18-19 лютого російські хакери атакували щонайменше шість українських медіаресурсів: сайти “Телеграф”, “Апостроф”, LIGA.net, сторінку “Української правди” у соцмережі X, а також телеканали “Еспресо” і “Прямий”. На зламаних ресурсах хакери розмістили дезінформацію про нібито “розгром” росіянами елітних підрозділів ЗСУ в Авдіївці.

Під ударом опиняються і телекомунікації. Від стабільного зв’язку залежать сповіщення про повітряні тривоги, банківські сервіси, державні послуги, робота бізнесу та можливість людей залишатися на зв’язку під час обстрілів. Однією з наймасштабніших стала кібератака по “Київстару” 12 грудня 2023 року: через технічний збій мільони абонентів тимчасово залишилися без мобільного зв’язку та інтернету.

Чи можна вважати кібератаки воєнним злочином?

14 червня 2024 року агентство Reuters повідомило, що прокурори МКС розслідують російські кібератаки, спрямовані проти української цивільної інфраструктури, як ймовірні воєнні злочини. Якщо буде зібрана достатня доказова база, обвинувачені в кіберзлочинах можуть отримати ордери на арешт.

Відповідне розслідування МКС, коли кібератаки розглядаються як ймовірні воєнні злочини, може створити прецедент у міжнародному праві.

У листопаді 2023 року Генеральний прокурор Андрій Костін заявив виданню TIME, що Україна розслідує російські кібератаки як воєнні злочини. За його словами, це надзвичайно складний і майже безпрецедентний процес, у якому українським правоохоронцям допомагають Palantir і Microsoft.

Це розслідування важливе не лише для України, а й для міжнародного права загалом. Женевські конвенції забороняють атаки на цивільні об’єкти, але у випадку кіберпростору досі немає повністю усталеного розуміння, що саме вважати “кібервоєнним злочином”. Наприклад, залишається дискусійним питання, чи можна вважати дані окремим об’єктом атаки та чи є воєнним злочином їх знищення, якщо це призводить до серйозних наслідків для цивільних.

У центрі уваги МКС, зокрема, можуть бути атаки на енергетичну інфраструктуру та телекомунікації. Reuters писало, що серед підозрюваних фігурує угруповання Sandworm, про яке писалося вище.

Атака на “Київстар” є одним із прикладів, чому кібератаки можуть виходити за межі “технічного інциденту”. Професор міжнародного права Майкл Шмітт, якого цитує Reuters, вважає, що злам “Київстару” може відповідати критеріям воєнного злочину, адже виконавці мали розуміти передбачувані наслідки такої атаки для цивільних.