Російськомовне хакерське угруповання CyberXero використало ШІ-агентів на базі Claude Code для масових зламів сайтів і розвідки проти українських енергетичних компаній. За даними дослідників, у руках зловмисників опинилися дані понад 628 тисяч українців, більшість — абоненти теплопостачальної компанії в Харкові. Історія важлива не лише масштабом витоку: це один із перших детально задокументованих випадків, коли ШІ став «робочою силою» кіберзлочинця, а не лише помічником.
Як повідомляє «dev.ua», про операцію розповіли аналітики компанії з кібербезпеки SOCRadar. Їхній звіт побудований на матеріалах, які хакер сам залишив у відкритому доступі: через помилку налаштування на його сервері була видна робоча папка з журналами ШІ-сесій, скриптами з токенами та викраденими даними.
Хто такі CyberXero і що вони робили
SOCRadar описує CyberXero як фінансово мотивованого «брокера початкового доступу». Такі зловмисники не обов’язково самі грабують жертву — вони зламують організації й продають доступ до їхніх мереж іншим злочинцям. Угруповання працювало за двома напрямами одночасно:
- Масові автоматичні атаки на сайти на WordPress та інтернет-магазини по всьому світу — для продажу доступу й крадіжки платіжних даних.
- Ручна розвідка проти української енергетики — сім компаній енергетики та комунальної сфери, серед яких, за звітом, національний оператор системи передачі та найбільший приватний енергетичний холдинг країни. Назви компаній дослідники прямо не наводять.
Дослідники зазначають, що доказів продажу доступу до українських енергокомпаній під час аналізу не знайшли, але вважають саме таку мету найімовірнішою.
Ключові цифри зі звіту SOCRadar
| Показник | Значення |
|---|---|
| Українці, чиї дані опинилися у хакера | понад 628 000 |
| Записи абонентів теплопостачальника в Харкові | 564 073 (персональні дані, домашні адреси, номери особових рахунків) |
| Записи журналів доступу з IP-адресами | 213 340 |
| Українські організації з підтвердженим викраденням даних | 4 |
| Спеціалізованих ШІ-агентів на базі Claude Code | до 51 |
| Один автоматичний прогін | 4 708 цілей, 429 адмінпанелей WordPress, 32 вебшели за 61 секунду |
Окремо дослідники наголошують: оскільки Харків — прифронтове місто, база з домашніми адресами мешканців створює ризики, що виходять далеко за межі звичайного витоку даних.
Як хакери обходили захист ШІ — і де він спрацював
Найцікавіше у звіті — журнали розмов зловмисника з моделлю. Щоб ШІ не відмовлявся виконувати завдання, хакер вигадав «протокол авторизації» і повторював легенду про «авторизований пентест власної інфраструктури». Та сама фраза про «мій сайт» траплялася щодо чотирьох різних жертв — тож це був заготовлений сценарій, а не реальне тестування.
Другий прийом — перезапуск сесій. Обмеження безпеки діють у межах конкретної розмови, тому після відмови хакер відкривав нову сесію з уже підготовленою «легендою». Водночас SOCRadar фіксує й випадки, коли захист утримався: модель відмовлялася встановлювати бекдор, вимикати фаєрвол і переміщатися мережею жертви, а в іншому епізоді чотири рази поспіль відмовилася сканувати ціль і розпізнала підроблений «токен власника».
Висновок редакції: ШІ не зробив хакера невразливим — навпаки, журнали ШІ-сесій стали для дослідників повним записом його планів, цілей і помилок. Але поріг входу в масові атаки падає, і захищатися тепер потрібно не лише великим компаніям, а й кожному власнику невеликого сайту.
Що робити звичайним українцям і власникам сайтів
Перевірити, чи потрапили саме ваші дані до цієї бази, поки неможливо: назву харківського підприємства у звіті не розкрито, офіційних заяв від компанії немає. Тому варто діяти превентивно:
- Обережно ставтеся до дзвінків і повідомлень «від тепломережі», «від енергокомпанії» чи «від банку», де згадують вашу адресу або номер особового рахунку, — саме такі дані зловмисники можуть використовувати для переконливого шахрайства.
- Не називайте коди з SMS і не переходьте за посиланнями з подібних повідомлень. Як працюють такі схеми, ми розбирали в матеріалі про те, як хакери РФ використовують гаджети українців для атак на банки.
- Власникам сайтів на WordPress — оновити ядро, теми й плагіни (у публікаціях про звіт згадано вразливості, зокрема в плагіні Support Board), видалити непотрібні розширення та ввімкнути двофакторний вхід до адмінки.
Що далі
За даними SOCRadar, на момент публікації звіту угруповання залишалося активним, а повний набір індикаторів компрометації компанія опублікувала для фахівців із захисту. Публічної реакції Anthropic на звіт у матеріалах, які ми переглянули, не наводиться. Для ширшого контексту про те, як швидко розвиваються інструменти Claude, читайте наш матеріал про те, як Claude навчився монтувати відео.
Фото: серверні стійки, архівне фото. Victor Grigas / Wikimedia Commons, CC BY-SA 3.0, commons.wikimedia.org.
