Аэрофлот, одна из старейших авиакомпаний мира, оказался в затруднительном положении после того, как проукраинские хакеры заявили о «полном уничтожении» внутренней ИТ-инфраструктуры перевозчика в результате скрытой кибератаки, продолжавшейся в течение года.
Группировки, известные как Silent Crow и Cyber Partisans BY, заявили, что получили глубокий доступ к внутренним системам «Аэрофлота» — от платформ бронирования до электронной почты топ-менеджеров. По их словам, атака завершилась уничтожением около 7 000 серверов и кражей не менее 20 терабайт данных, включая журналы полётов, информацию о пассажирах и внутреннюю переписку компании.
Аэрофлот публично сообщил о «сбое в информационных системах» в понедельник утром, после чего отменил 42 внутренних и региональных рейса из московского аэропорта Шереметьево. В результате терминалы оказались переполнены, а сотни пассажиров — в замешательстве, без чёткой информации о вылетах и времени ожидания.
Спустя несколько часов обе хактивистские группировки опубликовали совместное заявление в Telegram, назвав инцидент «стратегическим ударом» как по самой компании, так и по государственной системе безопасности России.
Скриншоты, приложенные к публикации, демонстрируют, предположительно, структуру корпоративной сети (Active Directory) и папки с данными системы видеонаблюдения, которые, как утверждается, были получены в ходе скрытого доступа к внутренним ресурсам компании.
По словам хакеров, они проникли в сеть авиакомпании в середине 2024 года, используя таргетированные фишинговые атаки и эксплойты нулевого дня. Постепенно расширяя привилегии, злоумышленники добрались до контроллеров домена Tier-0 — ключевых компонентов ИТ-инфраструктуры, управляющих авторизацией и доступом ко всем системам внутри компании.
Хакеры утверждают, что успех операции по взлому всей инфраструктуры стал возможен благодаря тому, что некоторые сотрудники компании пренебрегали базовыми правилами безопасности паролей, а также из-за использования «Аэрофлотом» устаревших операционных систем — Windows XP и Windows Server 2003 — в критически важных узлах сети.
Хронология кибератаки на Аэрофлот
| Дата | Этап атаки | Последствия / Примечания |
|---|---|---|
| Середина 2024 года (≈июль) | Silent Crow и Cyber Partisans BY получают начальный доступ к корпоративной сети Аэрофлота | Установлен устойчивый доступ; начинается разведка критически важных систем |
| Весна 2025 года | Хакеры повышают привилегии, получают контроль над Tier-0 (контроллеры домена) | Полный охват сети; извлечено: 12 ТБ баз данных, 8 ТБ файловых архивов, 2 ТБ почтовых хранилищ |
| 27 июля 2025 | Активирован wiper на 122 хостах VMware ESXi и других кластерах | Перезаписано или выведено из строя около 7 000 серверов; эксфильтровано 20–22 ТБ данных |
| 28 июля 2025 (05:30) | Отказ внутренних сервисов Аэрофлота; сотрудники теряют доступ к системам | Мгновенный операционный паралич; экстренно созваны ИТ-группы реагирования |
| 28 июля 2025 (08:00) | Первый публичный комментарий Аэрофлота о сбое в информационных системах | Отменены 42 рейса; пассажиров просят забрать багаж и покинуть Шереметьево |
| 28 июля 2025 (10:30) | Silent Crow публикует заявление в Telegram о полном уничтожении ИТ-инфраструктуры | Заявлена угроза утечки персональных данных всех пассажиров |
| 28 июля 2025 (12:15) | Количество отменённых рейсов растёт до 49; в терминалах скопление людей | На табло массово отображаются статусы «ОТМЕНЁН»; кратковременный сбой в системе заправки самолётов |
| 28 июля 2025 (13:45) | Генпрокуратура РФ возбуждает уголовное дело по ст. 272 УК РФ | Начато официальное расследование; представитель Кремля Дмитрий Песков называет ситуацию «довольно тревожной» |
Wiper — вредонос, безвозвратно уничтожающий данные на заражённых системах; применяется для нанесения максимального ущерба ИТ-инфраструктуре.
Оказавшись внутри сети, хакеры, по их словам, получили доступ к ключевым ИТ-системам компании, включая:
– Sabre (глобальная платформа бронирования авиабилетов),
– Sirax (система управления финансовыми расчётами и тарификацией),
– SharePoint (внутрикорпоративное хранилище и система документооборота),
– Exchange (почтовый сервер Microsoft),
– CRM и ERP (системы управления клиентами и ресурсами предприятия),
– а также к системам мониторинга, используемым в центре кибербезопасности Аэрофлота.
Аэрофлот пока не подтвердил озвученные хакерами детали взлома, однако Генеральная прокуратура России возбудила уголовное дело по факту «несанкционированного доступа» и признала, что кибератака нарушила работу сервисов авиакомпании.
Пресс-секретарь Кремля Дмитрий Песков назвал произошедшее «довольно тревожным», добавив, что инцидент подчёркивает уязвимость крупных российских компаний на фоне продолжающегося конфликта на Украине.
Аналитики в области кибербезопасности полагают, что восстановление цифровой инфраструктуры «Аэрофлота» может обойтись, по скромным оценкам, в сотни миллионов рублей и занять месяцы — если не больше.
Сбой уже привёл к падению акций авиакомпании на Московской бирже более чем на 4% и усилил обеспокоенность по поводу устойчивости российской авиационной отрасли.
Основные последствия кибератаки на Аэрофлот
| Последствие | Описание | Масштаб |
|---|---|---|
| Отмена рейсов | Приостановлены внутренние и региональные направления в Шереметьево | 49 рейсов |
| Потеря серверов | Удалены физические и виртуальные узлы | ≈7 000 единиц |
| Утечка данных | Исторические базы полётов, персональные данные, почта, записи звонков | >20 ТБ |
| Реакция рынка | Акции AFLT на Московской бирже упали в течение дня | −4 % |
| Стоимость восстановления | Восстановление инфраструктуры и цифровая экспертиза | сотни миллионов ₽ |
Группировка Silent Crow предупредила, что в ближайшие недели начнёт публиковать «частичные сливы данных» — включая персональные сведения пассажиров и записи телефонных разговоров — если Москва не прекратит «репрессивную киберагрессию» за рубежом.
Подтверждение утечки может означать компрометацию данных миллионов пассажиров и спровоцировать международную реакцию регулирующих структур.
Аналитики отмечают, что несмотря на атаки дронов и санкционное давление, полномасштабная кибердиверсия против флагманской российской авиакомпании означает новый этап в эскалации цифрового противостояния.
Аэрофлот входит в число 20 крупнейших авиакомпаний мира и перевёз более 55,3 миллиона пассажиров в 2024 году. В компании заявили, что пострадавшие клиенты смогут оформить возврат средств или перебронировать билеты, как только работа систем будет восстановлена.
Материалы: Cybersecuritynews.com (Guru Baran)