ШІ в кібератаках: в Україні за пів року 3137 інцидентів

Національна команда реагування на кіберінциденти CERT-UA оприлюднила звіт про кіберзагрози в Україні за перше півріччя 2026 року. За цей період команда зафіксувала 3137 інцидентів, що на 8% більше, ніж у другому півріччі 2025 року. Критичним був один інцидент, а кількість атак високого рівня складності зменшилася на 20%.

Найчастіше зловмисники атакували місцеві органи влади — на них припало 37% усіх інцидентів. Частка урядових організацій становила 22%, сектору безпеки та оборони — 9%, енергетики — 8%.

Близько 84% інцидентів були пов’язані з поширенням шкідливого програмного забезпечення, соціальною інженерією, зараженням і компрометацією систем. На поширення шкідливих програм припало 33% випадків, соціальну інженерію — 23%, зараження систем — 15%, їх компрометацію — 4,5%.

За даними CERT-UA, ознаки використання штучного інтелекту виявляли на різних етапах атак. Зловмисники могли створювати за його допомогою тексти листів, дизайн фішингових сайтів, скрипти, завантажувачі та окремі функції шкідливих програм. Один сценарій можна було адаптувати під конкретну установу, професію, регіон або інформаційний привід.

Грамотний текст, коментарі в коді чи структура файлів самі по собі не доводять використання ШІ. У звіті вказано, що такі ознаки потрібно оцінювати разом з іншими результатами технічного аналізу.

Для поширення шкідливих файлів атакувальники використовували файлові сховища та GitHub. Telegram застосовували для передавання викрадених даних, а ngrok і Cloudflare — для приховування мережевої активності. Програми віддаленого адміністрування використовували для доступу до систем.

Вразливі та зламані сайти могли слугувати каналом прихованого завантаження шкідливого коду. Зокрема, атакувальники використовували ресурси з уразливістю міжсайтового скриптингу та скомпрометовані вебсторінки.

У першому півріччі мобільні пристрої стали окремою ціллю атак. Зловмисники поширювали шкідливі застосунки для Android та використовували вразливості Android і iOS. Для Android створювали сайти-приманки, що імітували ресурси Збройних сил України або повідомляли про повітряні загрози.

Для атак на iPhone CERT-UA описала експлойт-кіт DarkSword. За схемою watering hole користувача спрямовували на скомпрометований легітимний сайт, зокрема український новинний або урядовий ресурс. Після цього браузер завантажував ланцюг експлойтів для вразливостей Safari та його ядра. У разі успішної атаки зловмисники могли отримати доступ до облікових даних, повідомлень, контактів і історії дзвінків.

Із січня CERT-UA фіксувала атаки на органи місцевого самоврядування, критичну інфраструктуру та військові формування. Жертвам надсилали листи з пропозицією встановити нібито оновлення або службовий модуль від імені державних установ чи CERT-UA. Шкідливі файли містилися у вкладених архівах або розміщувалися на ресурсах легітимних сервісів.

У березні–травні зафіксували три кампанії з підробленими повідомленнями CERT-UA, оновленням системи захищеного документообігу Верховної Ради та застосунком Brave1 Security Hub. У кожній кампанії використовували шкідливе програмне забезпечення AGEWHEEZE. Одна з фішингових сторінок, що імітувала сайт CERT-UA, мала технічні ознаки створення за допомогою ШІ.

Серед інших атак CERT-UA зафіксувала масові розсилання листів на бухгалтерську та фінансову тематику, атаки на нотаріусів, центри надання адміністративних послуг, територіальні центри комплектування й медичні заклади. Частина операцій була спрямована на отримання доступу до інформаційних систем і внесення неправдивих даних до державних реєстрів. Окремі кібершпигунські кампанії стосувалися військових формувань, правоохоронних органів і структур, пов’язаних із військовими інноваціями.