Два университетских адреса, с которых рассылались ложные угрозы школам Европы, оказались в старых логах инфостилеров: один — еще в октябре 2021 года, второй — в дампе февраля 2025-го. Эта компрометация учетных данных не доказывает, кто именно отправил письма, но показывает неприятную для любой ИТ-службы вещь: утекшая учетная запись может годами ждать своего часа и затем стать инструментом для масштабного срыва работы. Для российских компаний это вполне прикладной сюжет о том, почему мониторинг утечек и отзыв сессий нельзя оставлять на потом.
Как сообщает The Register, исследователи Hudson Rock изучили два адреса, фигурировавшие в рассылке угроз. Почта Университета Кафр-эш-Шейха в Египте попала в логи Vidar в октябре 2021 года. Vidar — вредоносное ПО класса infostealer: оно крадет сохраненные пароли, cookies, данные браузера и учетные записи с зараженных устройств. Второй адрес, принадлежащий тайваньскому университету Дайе, нашли среди 284 млн адресов из базы AlienTXTBASE, датированной февралем 2025 года.
Ключевая оговорка здесь важнее громкого совпадения: наличие адреса в логах не означает, что авторы угроз вошли в почту именно с паролем, похищенным инфостилером. Письмо можно подделать, доступ можно получить через активную сессию, украденные токены, слабое восстановление аккаунта или другие обходные пути. Чтобы установить способ отправки, нужны заголовки писем, журналы входов и аудит со стороны почтового провайдера. Оба университета использовали Microsoft для аутентификации, однако публичных технических деталей расследования пока нет.
Масштаб рассылки оказался вполне реальным, хотя сами угрозы власти сочли недостоверными. С 11 по 12 ноября сообщения получили около 6300 из 7476 государственных школ Италии; примерно 390 школ эвакуировали здания. В письмах говорилось о взрывном устройстве с дистанционным подрывом, а отправитель подписывался вымышленным именем «Михаил Андропов, лидер вилаята Мизогинистан». Похожие сообщения поступили школам Франции, Ирландии, Северной Ирландии и Шотландии. В Ирландии из-за эвакуации кампуса пострадало вещание RTÉ, а в Шотландии полиция сообщила примерно о тысяче затронутых школ.
Премьер-министр Италии Джорджа Мелони заявила, что признаков конкретной опасности нет, а целью кампании было создание хаоса. Следствие рассматривает разные версии — от компрометации чужой почты до координированной операции по дестабилизации; ни одна из них не подтверждена. Россия причастность отрицала. Для служб безопасности это не повод списывать инцидент на чью-то «школьную шутку»: ложные тревоги расходуют ресурсы экстренных служб, останавливают учебный процесс и вынуждают тысячи людей принимать решения в условиях неопределенности.
Практический вывод из истории шире образования. Компрометация учетных данных в логах инфостилеров должна автоматически запускать процедуру реагирования: отозвать активные сессии и токены, сменить пароль и связанные секреты, проверить правила пересылки почты, журналы входов, MFA-факторы и подозрительные действия после предполагаемой даты заражения. Простая смена пароля полезна, но недостаточна, если злоумышленник уже забрал cookie браузера или зарегистрировал свой механизм восстановления доступа.
Отдельная проблема — разрыв между обнаружением и реакцией. Логи инфостилеров давно стали заметным источником threat intelligence: их используют преступники, исследователи и коммерческие сервисы мониторинга утечек. Если организация узнает о попадании сотрудника в такой набор через месяцы или годы, это уже не вопрос репутации, а вопрос контроля доступа. Особенно уязвимы университеты, школы и крупные компании с большим количеством временных аккаунтов, подрядчиков и выпускников, чьи учетные записи часто переживают их реальную необходимость.
Новая волна ложных угроз затронула не только школы: в последние недели аналогичные сообщения получали авиакомпании, диспетчерские службы и банки крови, а в начале ноября пострадали как минимум 34 европейских рейса. Следующий серьезный инцидент может начаться не со сложной атаки, а со старой записи в логе инфостилера, которую никто вовремя не превратил в тикет для ИБ-команды.
