Кібервійна: чому до атак на "морозиво" в ЄС варто ставитись серйозно

Нещодавно у Франції відбувся інцидент із дистанційним виведенням з ладу холодильного обладнання. Історія про хакерську атаку потрапила в новини, але вона має набагато ширший контекст, ніж просто "зіпсоване морозиво". На такі події варто дивитись як на проблему, що стосується кожного: хто користується водою, світлом, транспортом, аптекою, чи навіть потребує переливання крові. Адже хвиля не зупинилась у Франції, а пішла Європою.

Ба більше, ця проблема не є й суто європейською. Ще влітку Пентагон почав розслідувати майже одночасні відмови холодильників на американських військових базах як можливу кібератаку.

А вже 5 листопада FBI, CISA та федеральні відомства з охорони здоров'я, сільського господарства і транспорту спільно попередили про активні кіберзагрози промисловим холодильним і холодоланцюговим системам.

Простими словами, тут йдеться вже не лише про супермаркети, а й про зберігання ліків, вакцин та інших матеріалів із критичними вимогами до температури. І коли п'ять американських федеральних відомств одночасно про щось попереджають, час перестати сприймати цю історію як проблему морозива.

Річ у тім, що такі віртуальні атаки дають цілком фізичні наслідки, і найсильніший приклад, на жаль, наш. 

У січні 2024 року кібератака на теплопостачання Львова залишила понад 600 будинків майже на дві доби без опалення, на морозі. Дослідники Dragos пов'язали це зі шкідливим програмним забезпеченням FrostyGoop, створеним для роботи з промисловими системами.

Тобто, зіпсованих продуктів не було, зате були люди в холодних квартирах. Чи стало це побічним ефектом, чи було метою? Достеменно невідомо. Але сам метод працює, це факт.

29 грудня 2025 року координована атака вдарила і по польській енергетиці: понад 30 вітрових і сонячних станцій, промислове підприємство і теплоелектроцентраль. Польський CERT описав операцію як навмисно руйнівну, а не заради грошей. Тепло вдалося зберегти, але факт спроби втручання в критичний процес підтверджено.

У Франції, за оцінкою глави Intermarché, збитки лише від атак на холод могли сягнути десятків мільйонів євро за одну добу. Окремо жовтневий кіберінцидент у корпоративній мережі Ahold Delhaize, який поки не доведено як частину тієї самої "холодильної кампанії", за прогнозами, коштуватиме ще десятки мільйонів…

Орієнтир зрозумілий: один інцидент, і рахунок йде на мільйони. Атака триває години, а рахунки за неї приходять місяцями.

Такі інциденти варто розглядати й крізь призму гібридного тиску. Не тому, що вже доведено причетність конкретної держави (цього поки що немає), а тому, що використання цифрових систем для фізичного саботажу давно перестало бути теорією.

Для соціального інженера система складається не лише з пристроїв і паролів. Це ще й люди, їхні звички та довіра. Ми звикли, що світло є, вода тече, картка працює. Коли одна послуга зникає, це незручність. Коли кілька одразу і надовго, люди запасаються, шукають інформацію, нервують, і в цю "тріщину" заходить дезінформація.

Тобто, не треба знищувати інфраструктуру. Іноді досить зробити так, щоб у її надійності постійно сумнівалися.

Що це дає на практиці? У 2021 році після кібератаки американський оператор Colonial Pipeline сам зупинив великий паливний трубопровід, і країна отримала черги на заправках і ажіотаж. У 2022 році Коста-Рика через кібератаки на державні системи оголосила надзвичайний стан…

Так цифрова криза дуже швидко стає економічною та управлінською. А тривалі інфраструктурні проблеми історично вміють підсилювати невдоволення населення… 3 листопада Єврокомісія оновила для європейців рекомендації, які з’явились ще у березні 2025-го: кожен має бути готовий протримати 72 години кризи самотужки. Це вода, їжа, ліки, готівка, засіб зв'язку. І збіг у часі з посиленням кібератак та вуличними протестами – красномовний.

Ми десятиліттями будували світ, де все "працює саме". А у 2026 році знову говоримо про запас води й батарейки. Ми навчили холодильники розмовляти з хмарою, а Брюссель нагадує, що вдома непогано мати ліхтарик.

Насправді це - доросле ставлення до ризику. Але питання лишається: якщо ми вчимо громадян бути автономними три доби, чи готові так само протриматися наші лікарні, водоканали й міста.

Для холоду, лікарень і комунальних служб критичне одне: незалежний контур безпеки. Найбільше тут цікавить навіть не те, як атакувальник зайшов, а те, що зупинить його вплив. Чи незалежна сигналізація від основного контролера? Чи може персонал безпечно перейти на локальне управління? Чи лишаться журнали, за якими відновлять послідовність подій? Бо система, яка сама себе контролює, може не помітити, що її вже обманули.

Тут корисно розрізняти IT (information technology: пошта, бази даних, сайти, бухгалтерські та інші сервіси) і OT (operational technology: програмне забезпечення й контролери, які керують фізичним обладнанням). Саме до OT належать холодильні контролери, системи управління будівлею, промислові установки, енергетика. 

В офісному IT головне часто зберегти дані й доступність сервісу. В OT, де софт керує фізикою, перше питання інше: що станеться з обладнанням і людьми, якщо контролер почне виконувати неправильні команди. Відповідь на це питання і є план реагування.

Далі можливі три напрями. Перший - точкові атаки тривають, компанії зазнають збитків і вкладаються в захист.

Другий, болючіший: компрометація одного спільного постачальника б'є одразу по багатьох, і безпека підрядника стає безпекою цілої галузі. Третій, поки зі слабкою доказовою базою: координовані атаки як частина ширшого гібридного тиску, разом з дезінформацією та економічним натиском.

В сучасному світі майже всім зручно керувати дистанційно. Але зручність для обслуговування водночас є зручністю для атаки.

Тому головне питання цифрового суверенітету Європи звучить просто: у кого насправді кнопка вимкнення наших холодильників, мереж і лікарень? Поки що відповідь невтішна - не завжди ця кнопка у нас.

Втім, це - не обіцянка катастрофи. Але це натяк, до чого варто бути готовим. Бо в кібербезпеці немає дорожчої помилки, ніж чекати остаточного доказу загрози, перш ніж почати захищатися.

Тексти, опубліковані у розділі «Думки», не обов’язково відображають позицію редакційної колегії УНІАН. Докладніше з нашою редакційною політикою ви можете ознайомитись за посиланням