Тысячи удалённо управляемых холодильных установок во французских продуктовых магазинах были взломаны за одну ночь: злоумышленники подняли температуру, испортили продукты и, по сообщениям, спровоцировали пожары. Атаки на BAS — системы автоматизации зданий — превращают привычный сценарий с шифровальщиком в проблему, где под ударом оказываются двери, вентиляция, пропуска и безопасность людей. Для российских ИТ-команд это ещё один повод перестать считать инженерную инфраструктуру чужой зоной ответственности.
Как сообщает The Register, неизвестная группа атаковала сотни французских магазинов поздно вечером 11 октября. Инцидент не свёлся к краже данных или недоступности корпоративной почты: злоумышленники вмешались в работу физических систем. Именно этот эффект делает компрометацию Building Automation System особенно удобным инструментом давления при вымогательстве.
BAS управляют и отслеживают работу отопления, вентиляции, кондиционирования, освещения, потребления энергии и воды. В зависимости от объекта они же связаны со считывателями пропусков, электронными замками, камерами, пожарной автоматикой и другими системами, от которых зависит работа офиса, клиники, склада или производства. Если атакующий получает контроль над такой средой, классический вопрос «когда восстановим файлы?» быстро меняется на «как людям попасть в здание и не остановить операции?».
Консультант по реагированию на инциденты Tim Beasley из Semperis рассказал изданию об одном таком случае: клиент отказался платить выкуп, после чего атакующие заблокировали доступ в офис. Полиции пришлось разбивать окна, чтобы сотрудники снова смогли попасть внутрь. Название пострадавшей организации не раскрывается, но история хорошо показывает механику шантажа: для преступников необязательно разрушать технологический процесс, если можно сделать невозможным обычный рабочий день.
Тренд уже заметен и за пределами офисов. В августе атака шифровальщика нарушила работу систем управления зданием в канадской больнице: пострадали контроль доступа, мониторинг центральной HVAC-системы и выдача карт сотрудникам. Тремя годами ранее кибератаки на казино Лас-Вегаса вывели из строя игровые автоматы, платёжные киоски и банкоматы, а гостей лишили доступа к номерам через электронные ключи. Во всех этих эпизодах цифровое вторжение имело вполне материальный результат.
Исследователи Armis Labs в отчёте, опубликованном в октябре, указывают: 73% организаций владеют BAS, которые уже использовались в атаках с вымогательством; у такой же доли есть хотя бы одна известная эксплуатируемая уязвимость в системах автоматизации зданий. Ещё 91% BAS используют небезопасные протоколы связи. Это не означает, что каждая найденная уязвимость приведёт к остановке объекта, но риски слишком часто лежат на стыке зон, которые ИБ и эксплуатация привыкли передавать друг другу.
По словам директора по исследованию угроз ServiceNow Майкла Фримена, среда управления зданиями удобна злоумышленникам ещё и как укрытие. В ней обычно меньше защитных средств, чем в корпоративной ИТ-инфраструктуре, а сканирование и установка обновлений осложнены требованием непрерывной работы. Фримен привёл пример крупной финансовой организации: атакующих выгоняли из ИТ-среды, но они закреплялись в системе управления зданием и затем возвращались оттуда в корпоративную сеть.
Атаки на BAS становятся проще и из-за генеративного ИИ. Раньше закрытые протоколы, старые Unix-подобные системы и специализированные ОС вроде VxWorks создавали для преступников высокий порог входа. Теперь ИИ может помочь быстрее разобраться в документации, логике протоколов и устаревшем коде. Не стоит приписывать модели магические способности: она не заменяет доступ к сети и понимание процесса. Но она снижает стоимость подготовки атаки для групп, которые прежде не занимались OT.
Статистика Dragos показывает, что промышленность остаётся привлекательной целью. Компания зафиксировала 995 заявленных атак вымогателей на промышленные организации в 2023 году — на 49,5% больше, чем годом ранее. В 2024-м показатель вырос ещё более чем на 87%, а число активных групп увеличилось с 50 до 80. В 2025 году Dragos отследила 119 групп, затронувших свыше 3 300 промышленных организаций; в первом квартале 2026-го зарегистрировано 1 020 инцидентов, во втором — 1 140. Такие заявления на сайтах утечек не всегда подтверждаются, и сами по себе не доказывают воздействие на производство, но направление движения очевидно.
Для бизнеса практический вывод не сводится к покупке ещё одного средства защиты. Нужно составить инвентаризацию BAS и связанных с ними контроллеров, отделить их от офисной сети, проверить удалённый доступ подрядчиков и заранее согласовать безопасный порядок обновлений. Отдельно полезно отрепетировать «ручной» сценарий: кто открывает двери, выдаёт пропуска и поддерживает критичные помещения, если центральная система недоступна. Разработчикам корпоративных платформ стоит учитывать, что интеграции с контролем доступа и диспетчеризацией — это уже не просто удобные API, а часть модели угроз.
Пока большинство групп действует оппортунистически и предпочитает более простое давление через ИТ-системы. Но чем плотнее здания, производство и логистика подключаются к сети, тем чаще атаки на BAS будут выбирать не данные как конечную цель, а физический дискомфорт и остановку процессов. Подробности исследования и комментарии экспертов собрал .