24 российских физлица и организации попали под совместные санкции Великобритании и Евросоюза за кибератаки, вмешательство в выборы и дезинформационные кампании. Для тех, кто отвечает за защиту инфраструктуры, это не просто дипломатический жест: российские кибератаки по-прежнему часто начинаются не с экзотических zero-day, а с банально плохо защищенных сетевых устройств.
Как пишет Dark Reading, санкции объявили одновременно с публикацией совместного предупреждения США и еще группы союзников о деятельности связанных с Россией хакеров. Речь идет об акторах, которых западные ведомства связывают с Center 16 ФСБ: по данным регуляторов, они продолжают взламывать слабо защищенные роутеры и другое сетевое оборудование, чтобы получить доступ к сетям критической инфраструктуры по всему миру.
Политически важная часть этой истории в том, что это первый случай, когда Лондон и Брюссель вместе вводят санкции против российских структур и людей именно за кибератаки и сопутствующие операции влияния. В санкционный список вошли высокопоставленные сотрудники ГРУ, киберпреступные прокси и организации, которые, по версии властей, поддерживали российские операции в киберпространстве и кампании по дезинформации. Отдельно Великобритания и ЕС официально связали с Center 16 неудачную атаку на энергосеть Польши в январе. По их оценке, сбой мог оставить без электричества до 500 тысяч человек посреди зимы. Формулировка тут предельно понятная: речь уже не о шпионских играх в серверной, а о риске для гражданской инфраструктуры.
На этом фоне техническая часть выглядит почти обидно приземленно. В совместном advisory говорится, что основной вектор входа для этих группировок — открытые сервисы SNMP с заводскими или легко угадываемыми паролями. После компрометации устройства злоумышленники заставляют его выгружать конфигурационные файлы на подконтрольные серверы через TFTP или FTP. Иными словами, российские кибератаки в ряде случаев опираются на ту самую базовую сетевую гигиену, которую все давно считают скучной темой для внутренних чек-листов и которую поэтому чаще всего откладывают до следующего квартала.
Под повышенным риском, по оценке ведомств, находятся организации из оборонно-промышленного комплекса, энергетики, финансовых сервисов, госсектора и здравоохранения. Это список, который в 2026 году уже не удивляет: если где-то есть данные, деньги, физические процессы или политический эффект, туда и идут государственные атакующие. Но важен другой нюанс. В предупреждении сказано, что помимо плохих конфигураций злоумышленники используют и известные уязвимости Cisco, а также злоупотребляют механизмом Cisco Smart Install для первоначального доступа. То есть картина не сводится к одному неправильному паролю; это комбинация слабых настроек, старого железа, непропатченных узлов и унаследованных сервисов, которые годами живут в сети просто потому, что «ничего же не ломалось».
Американское АНБ в отдельной инструкции на ту же тему прямо назвало проблему многолетней и продолжающейся. Никакой сенсации здесь нет, и в этом, пожалуй, самая неприятная часть новости. Власти снова напоминают отключить Cisco Smart Install, отказаться от SNMPv1 в пользу более защищенных вариантов, поменять стандартные пароли на уникальные и сложные, отслеживать SNMP Set-запросы и подозрительную активность локальных учетных записей, использовать списки контроля доступа и блокировать ненужный трафик TFTP, SNMP и Smart Install на границах сети. Набор мер выглядит почти до смешного базовым. Но именно такие меры, судя по документу, все еще мешают далеко не всем.
Эту мысль хорошо подчеркивает комментарий Джона Стрэнда из Black Hills Information Security, который приводит издание. Его тезис простой: каждый раз, когда всплывает крупная кампания уровня nation-state, рынок любит обсуждать самый свежий эксплойт и самые хитрые техники. На практике же многие операции строятся вокруг известных годами уязвимостей и небезопасных конфигураций. И если атакующие снова проходят через SNMP, старые сервисы и дефолтные настройки, проблема уже не в их изобретательности, а в хроническом дефиците дисциплины у защищающейся стороны.
Для разработчиков это история не только про сетевиков и SOC. Если продукт ставится в корпоративный контур, интегрируется с промышленной сетью, использует агент на граничном устройстве или требует доступа к управлению оборудованием, вопросы secure-by-default внезапно перестают быть украшением для презентации. Для IT-руководителей вывод еще прямее: российские кибератаки становятся предметом уже не только технических разборов, но и координированной внешней политики. Значит, аудит сетевого периметра, инвентаризация роутеров, отключение ненужных сервисов и контроль конфигураций переходят из категории «полезно сделать» в категорию «слишком дорого игнорировать». Похоже, в ближайшие месяцы граница между киберриском, комплаенсом и геополитикой станет еще тоньше, а у компаний останется все меньше пространства для любимого аргумента про то, что старый роутер пока еще как-то держится.