18 мая 2026 года стало известно, что кибератаки на ATG-системы в США затронули оборудование, которое отслеживает уровень топлива в резервуарах на заправках. Злоумышленники, предположительно связанные с Ираном, меняли показания на дисплеях, но не сам физический объем топлива. Для русскоязычной IT-аудитории здесь важен не только геополитический фон: история снова показывает, что даже примитивно защищенный OT-контур может стать инструментом давления на повседневную жизнь.
О происшествии сообщает Dark Reading со ссылкой на материал CNN и источники, знакомые с инцидентом. Речь идет об automatic tank gauge, или ATG, системах автоматического контроля топлива в резервуарах. По данным собеседников CNN, атакующие нашли устройства, выставленные в Интернет без пароля, и получили возможность вмешиваться в показания. На первый взгляд ущерб выглядит ограниченным: бензин никуда не исчез, насосы не встали, колонкам не пришлось вывешивать таблички «топлива нет». Но это именно тот случай, когда важнее не масштаб разрушения, а демонстрация доступа. Если кто-то может удаленно трогать интерфейс учета топлива, следующий вопрос очевиден: что еще он сможет тронуть завтра.
Подозрение в адрес Ирана строится не на железобетонной криминалистике, а на контексте и предыдущей активности. В самой публикации подчеркивается, что прямых судебных доказательств атрибуции пока нет. Тем не менее версия выглядит правдоподобной: Иран уже связывали с атаками на топливные системы, а нынешний конфликт с США и Израилем сделал киберпространство удобным способом отвечать асимметрично. С конца февраля, когда началась текущая фаза военного противостояния, аналитики и регуляторы предупреждали, что ответ пойдет не только через прокси-группы и DDoS, но и через удары по плохо защищенной операционной инфраструктуре. ATG здесь почти идеальная цель: узкоспециализированное оборудование, слабая гигиена доступа и высокая медийная чувствительность.
Для специалистов по безопасности новость вряд ли стала откровением. Про проблемы ATG говорят больше десяти лет: устройства нередко оказываются доступными из Интернета, работают с дефолтными или пустыми учетными данными и редко попадают в зрелые процессы мониторинга. На конференции RSAC 2025 эту тему отдельно разбирали как пример атаки, которая способна вызвать каскадный эффект в критической инфраструктуре. Иными словами, проблема не в том, что кто-то смог «пошалить» с экраном, а в том, что даже мелкая точка входа в OT может быть использована для сбоев в логистике, паники у клиентов, ненужных выездов техподдержки и ошибок операторов на местах. В системах, где люди привыкли доверять цифрам на панели, подмена интерфейса уже сама по себе инструмент воздействия.
Американское агентство CISA официально подтвердило, что знает о сообщениях о вредоносной активности против ATG-систем, используемых в нескольких секторах критической инфраструктуры США. Исполняющий обязанности директора CISA Ник Андерсен не стал подтверждать иранский след, но набор рекомендаций был показательно базовым: убрать такие системы из публичного Интернета, включить сильные пароли, проверять журналы и следить за аномалиями. Это важный и немного неловкий момент для всей отрасли. Когда федеральный регулятор в 2026 году снова напоминает не выставлять OT наружу без пароля, проблема уже не в sophistication атакующих. Проблема в том, что часть рынка все еще живет в модели «раз работает, не трогай», а злоумышленники давно перешли в модель «раз видно из Интернета, значит, можно использовать».
В комментарии Dark Reading федеральный CTO компании ColorTokens Луис Айхенбаум назвал инцидент примером того, как геополитический конфликт больше не ограничивается традиционным полем боя. Это звучит жестко, но довольно точно. Атака на топливный мониторинг не обязана приводить к взрыву или остановке поставок, чтобы выполнить свою задачу. Достаточно показать, что внешняя сила может дотянуться до объектов, встроенных в повседневность: заправок, складов, локальных цепочек снабжения. Джон Галлахер из Viakoo напомнил, что такие эпизоды давно стали частью военных конфликтов последних двух десятилетий. Его мысль еще практичнее: в случае с критической инфраструктурой круг затронутых сторон теоретически равен всему населению. История с Colonial Pipeline в мае 2021 года это уже доказывала, когда один инцидент привел к дефициту топлива, скачку цен и режиму чрезвычайной ситуации в четырех штатах США.
Для разработчиков, продактов и IT-руководителей здесь есть неприятный, но полезный вывод. Кибератаки на ATG не требуют фантастического набора эксплойтов, если у организации есть Internet-facing OT, слабые механизмы доступа, плоская сеть и почти нулевая видимость событий. В таких условиях атакующий бьет не в самый сложный сервис, а в самый забытый. Бизнесу это напоминает старую истину, которую отрасль почему-то каждый раз открывает заново: инвентаризация активов, сегментация, журналирование и контроль удаленного доступа скучны ровно до первого инцидента. После него выясняется, что «неважная коробочка в углу» подключена к критическому процессу, а ее пароль совпадает с названием вендора.
Главный вывод из этой истории не в том, что мир внезапно стал опасным для автозаправок. Новость скорее про смену масштаба: локальные OT-уязвимости все заметнее становятся элементом международного давления, а граница между киберинцидентом и политическим сигналом стирается на глазах. Для рынка это означает довольно приземленную вещь: системы уровня ATG, IoT и прочая «второстепенная» автоматика будут все быстрее подтягиваться к тем же стандартам управления, аудита и комплаенса, которые давно считаются обязательными в классической IT-безопасности. И чем дольше компания считает свои OT-узлы слишком маленькими для интереса атакующих, тем выше шанс однажды увидеть их в чужой сводке как раз потому, что они маленькие, старые и смотрят в Интернет.