Евросоюз и Великобритания синхронно ударили по российской киберинфраструктуре: ЕС ввёл ограничения против 9 человек и 4 организаций, Лондон отдельно добавил в список ещё 24 фигуранта. Для рынка это не просто очередной санкционный пакет, а политический сигнал: кибератаки на критическую инфраструктуру и госорганы теперь всё чаще получают ответ не только в отчётах CERT и сводках вендоров, но и в виде персональных и корпоративных санкций. Для русскоязычной IT-аудитории это ещё один маркер, что тема attribution в кибербезопасности перестала быть академическим спором и стала инструментом внешней политики.
О первых совместных шагах такого масштаба сообщает BleepingComputer. Совет ЕС объявил о санкциях против девяти физических лиц и четырёх юридических лиц, включая офицеров ГРУ и участников киберкриминальных схем. Великобритания пошла шире и отдельно ввела ограничения против 24 лиц и структур. В британском списке названы, в частности, высокопоставленные фигуры ГРУ: Вячеслав Стафеев, Иван Сенин и Иван Касьянов. По версии властей, они руководили кибер- и гибридными операциями. Под санкции также попали представители компании IMPULS, которую британская сторона обвиняет в вербовке хакеров в российских университетах, а также участники инфраструктуры Lumma Stealer. Власти Великобритании утверждают, что только за шесть месяцев эта малварь затронула не менее 2100 жертв внутри страны.
Отдельный штрих, который делает пакет шире обычной истории про APT-группы, касается информационных операций. Десять человек, связанных с Rybar LLC, попали под ограничения за распространение антиукраинских нарративов и предполагаемое вмешательство в выборные процессы в Молдове и Армении. Это важная деталь: для европейских регуляторов кибероперации, информационные кампании и работа аффилированных частных структур всё меньше выглядят как разные жанры. Их складывают в одну экосистему воздействия, где рядом с вредоносным кодом идут каналы влияния, прокси-структуры и коммерческие подрядчики.
Самая чувствительная часть заявления ЕС касается не ГРУ, а ФСБ. Совет ЕС публично связал 16-й центр ФСБ с управлением несколькими известными группировками, включая Turla. По версии европейских чиновников, это подразделение годами атаковало правительственные сети и критическую инфраструктуру во Франции, Германии, Польше, на Кипре, в Нидерландах, Австрии, Словакии, Румынии и Финляндии. Речь идёт не о разовой кампании, а о системной кибершпионской активности против государственных и оборонных целей, которая, как утверждается, продолжается с 2010 года. В европейской атрибуции также перечислены трекеры Static Tundra, Berserk Bear, Ghost Blizzard и Dragonfly. Для специалистов по threat intelligence это знакомые ярлыки, но в данном случае важно другое: политический уровень теперь использует ту же таксономию, что и индустрия киберразведки.
Особое внимание власти уделяют Польше. В материалах упомянута неудачная попытка удара по критической инфраструктуре страны. Речь идёт об атаке конца декабря, которая затронула десятки объектов польской энергосистемы и повредила ключевое OT-оборудование с помощью вайпера DynoWiper. По оценке, которую приводит источник, сбой мог оставить без электричества около 500 тысяч человек зимой, но до реальных отключений дело не дошло. При этом атрибуция эпизода остаётся показательной сама по себе: ESET и Dragos связывали атаку с Sandworm, тогда как польский CERT-PL относил её к Berserk Bear, то есть к FSB-связанному кластеру. Для бизнеса это напоминание о неприятной реальности: даже когда вредоносная активность фиксируется и блокируется, консенсуса по исполнителю может не быть, а политические решения всё равно принимаются.
На этом польская линия не заканчивается. Недавно страна также отразила атаку на IT-инфраструктуру Национального центра ядерных исследований, главного государственного института в области ядерной физики, реакторных технологий и физики частиц. На фоне таких инцидентов киберсанкции ЕС выглядят не символическим жестом, а продолжением курса на жёсткую увязку киберугроз с защитой критически важных объектов. Для CIO, CISO и продуктовых команд это плохая новость в том смысле, что зона риска давно вышла за пределы оборонки и госорганов: если государство описывает угрозу как часть большой враждебной экосистемы, под повышенное внимание попадают подрядчики, сервисные компании, образовательные организации и поставщики ПО.
Само заявление Совета ЕС сформулировано предельно прямо. В Брюсселе говорят, что киберпреступники, самопровозглашённые хактивисты и частные компании, связанные с Россией или действующие по её указанию, участвовали в широком спектре вредоносных операций против публичных сервисов и критической инфраструктуры, вызывая сбои и финансовые потери. Такая риторика важна не только для дипломатии. Она повышает порог комплаенса для европейских компаний и подрядчиков: сотрудничество с сомнительными контрагентами, академическими партнёрами или аутсорс-командами из чувствительных юрисдикций будет оцениваться жёстче, особенно если речь идёт о доступе к инфраструктуре, безопасности, телеком-сервисам или данным. Для HR в IT и фаундеров это значит, что background check, контроль цепочки поставок и проверка партнёров перестают быть скучной формальностью отдела безопасности.
Пакет санкций вышел не в вакууме. В январе Еврокомиссия предложила новое киберзаконодательство для усиления защиты от киберпреступности и групп, поддерживаемых государствами, которые атакуют европейскую критическую инфраструктуру. В марте Совет ЕС уже вводил санкции против трёх компаний из Китая и Ирана за координацию кибератак на инфраструктуру стран союза. Теперь фокус сместился на Россию, причём сразу в совместном формате с Великобританией. Для отрасли это означает довольно неприятный, но логичный сдвиг: расследование инцидентов, threat hunting и санкционная политика всё плотнее срастаются. Чем увереннее государства будут связывать конкретные группы, людей и компании с атаками на инфраструктуру, тем меньше пространства останется для привычной серой зоны между «киберкриминалом», «патриотическими хакерами» и «частной инициативой».
Главный вопрос уже не в том, будут ли такие меры повторяться, а в том, насколько быстро санкционная логика начнёт влиять на повседневные процессы в IT: найм, аутсорс, партнёрства, закупки и архитектуру доступа. Если киберсанкции ЕС закрепятся как регулярный инструмент, европейский рынок станет ещё менее терпимым к непрозрачным связям в цепочке поставок, а цена ошибки в выборе подрядчика вырастет не только в деньгах, но и в юридических рисках.