Краткий обзор основных инцидентов в области промышленной кибербезопасности за второй квартал 2026 года

Теги по теме

автомобилестроение

водоснабжение

коммунальные службы

логистика

обзор киберинцидентов

отказ IT-сервисов

отказ в операциях

отказ в производстве

программы-вымогатели

производственный сектор

транспорт

утечка данных

цепочка поставок

электронная промышленность

энергетика

Во втором квартале 2026 года жертвами были публично подтверждены 163 инцидента. Все эти инциденты включены в таблицу в конце обзора, а некоторые из них описаны подробно.

Общие сведения

В обзоре публикаций исследователей угроз на промышленные организации мы отметили существенный рост количества историй, описывающих атаки на системы управления с целью нанесения физического урона. Ожидаемо, что и количество такого рода инцидентов, подтвержденных атакованной стороной, также возросло. Больше всего досталось организациям, по ряду причин, и в первую очередь по соображениям чисто экономическим, не уделявшим должного внимания безопасности своих систем автоматизации. Все мы помним, как в 2023 году американские коммунальные компании, представленные коалицией штатов и ассоциациями водного хозяйства AWWA (American Water Works Association) и NRWA (National Rural Water Association), добились от федерального апелляционного суда, заблокировавшего новые требования Агентства по охране окружающей среды (EPA), обязывающие предприятия коммунального водоснабжения проходить обязательные проверки по кибербезопасности. Закономерным результатом стала длинная серия инцидентов на предприятиях водоснабжения в Соединенных Штатах, начавшаяся в первом квартале 2026 года и продолжившаяся, забегая вперед, в третьем (об этом напишем в следующем отчете).

Недостаточная безопасность объектов коммунального хозяйства и, в частности, водоснабжения – проблема не только чисто американская, но и общемировая: как правило, это небольшие частные предприятия со скромными бюджетами на содержание ИТ/OT-части, которым непросто вкладывать серьезные деньги в информационную безопасность. Мы помним о недавнем киберинциденте в датском городе Кёге, итогом которого стал разрыв магистральных труб.

Во втором квартале мы узнали также дополнительные подробности об атаках на объекты водоснабжения в пяти польских городах, случившихся в 2025 году.

По точно такой же причине, что и системы автоматизации коммунального хозяйства, популярной целью хактивистов остаются также и системы автоматического мониторинга уровня топлива в хранилищах нефтепродуктов. В четвертом квартале 2025 года об атаках на такие системы писал канадский центр кибербезопасности (CCCS), теперь удар пришелся по объектам в США.

Напоминания о том, что за границей внимания остаются многие жизненно важные системы автоматизации, организуют раз за разом энтузиасты-хактивисты. Некоторое количество таких систем сосредоточено, например, в транспортно-логистических инфраструктурах и, в частности, в железнодорожном транспорте. Все мы помним историю о польском школьнике, пускавшем под откос трамваи. О похожем инциденте, результатом которого стала задержка на 48 минут четырех поездов на Тайване, стало известно в этом квартале.

Атаки на АСУ

Водоочистная станция в Северной Дакоте

Коммунальное хозяйство | Шифровальщик | Целевая атака на АСУ

Водоочистная станция в американском городе Майнот (штат Северная Дакота) в марте подверглась атаке вымогателей. Местные власти подтвердили инцидент, подчеркнув, что станция, как и другие объекты городской системы водоснабжения, продолжала работать в штатном режиме и оставалась безопасной. Согласно письму, которое администрация Майнота направила в Федеральное бюро расследований, 14 марта сотрудники водоочистной станции обнаружили программу-вымогатель. После этого системы управления предприятием примерно на 16 часов перевели в ручной режим – до установки резервного сервера. Представитель городской администрации сообщил, что программа-вымогатель была выявлена в SCADA-системе водоочистной станции. В письме говорится, что на отключенном SCADA-сервере также нашли сообщение от злоумышленников, однако требования о выкупе в нем не было, и город ничего не платил. Представитель администрации заявил, что не знает точный тип программы-вымогателя, но сообщил, что техническое восстановление станции почти завершено: на предприятии использовали старый сервер для сбора показаний приборов, пока не был подключен новый.

Тайваньская высокоскоростная железная дорога

Транспорт, логистика | Нарушение операционной деятельности | Целевая атака на АСУ | Киберфизические последствия

На Тайване арестовали студента за вмешательство в работу системы транкинговой радиосвязи TETRA (TErrestrial Trunked RAdio), которую использует Taiwan High Speed Rail Corporation (THSRC). По данным местных СМИ, 5 апреля студент с помощью программно-определяемого радио (SDR) и портативной рации передал сигнал «Общая тревога», который имеет наивысший приоритет и автоматически дает поездам команду на экстренное торможение. В результате четыре поезда были остановлены на 48 минут. Как сообщается, студент перехватил с помощью купленного в интернете SDR-оборудования трафик THSRC, расшифровал необходимые параметры, а затем запрограммировал их в портативную рацию, чтобы сымитировать легитимный сигнал. Полиция также установила, что его сообщник предоставил некоторые ключевые параметры THSRC, что и позволило осуществить атаку. По информации СМИ, радиосистема THSRC эксплуатируется уже 19 лет и имеет семь уровней проверки. Однако, очевидно, за все это время ее параметры не обновлялись, что позволило атакующему обойти защитные механизмы. После инцидента THSRC изучила журналы и обнаружила, что сигнал поступил с рации, которая в тот день не использовалась. Проверка показала, что ни одно устройство не пропало, из чего было сделано предположение, что рация была клонирована.

Теплоэлектростанция в Швеции

Энергетика | Целевая атака на АСУ

Министерство обороны Швеции сообщило, что весной 2025 года группа хакеров пыталась нарушить работу одной из теплоэлектростанций страны. Как заявил 15 апреля на пресс-конференции в Стокгольме министр обороны, атака была нацелена на системы, управляющие физическими процессами, но она не увенчалась успехом благодаря встроенным механизмам защиты. Чиновник не стал раскрывать название объекта, на котором произошел инцидент, но заявил со ссылкой на расследование службы безопасности, что атакующие связаны с Россией.

Заправочные станции в США

Энергетика | Целевая атака на АСУ

Правительственные ведомства США подозревают, что за серией атак на системы автоматического контроля топлива (ATG), используемые для мониторинга параметров резервуаров, стоят иранские хакеры. Об этом в мае сообщил CNN. Эти системы были подключены к интернету и не защищены паролем, что позволило злоумышленникам изменять отображаемые на дисплее показатели, хотя фактические параметры содержимого резервуаров оставались неизменными. По данным ведомств, инциденты не привели к физическим повреждениям.

Источник, знакомый с ходом расследования, сообщил, что заявление о связи злоумышленников с Ираном основано на том, что хакеры из этой страны ранее атаковали системы автоматического контроля топлива. При этом он предупредил, что ведомства, возможно, не смогут точно установить злоумышленников из-за отсутствия цифрового следа.

В июне Агентство по кибербезопасности и защите инфраструктуры США (CISA), Федеральное бюро расследований, Агентство национальной безопасности, Министерство энергетики и другие правительственные ведомства опубликовали совместное предупреждение об атаках на доступные из интернета системы автоматического контроля топлива, которые широко используются в различных секторах критической инфраструктуры.

Система водоснабжения в Польше

Коммунальное хозяйство, водоснабжение | Целевая атака на АСУ

Агентство внутренней безопасности Польши (ABW) в мае сообщило, что в 2025 году злоумышленники взломали водоочистные сооружения в пяти населенных пунктах страны: Яблонна-Ляцка, Щитно, Малдыты, Толькмицко и Сераково. В некоторых случаях атакующие получили доступ к АСУ и изменили технические параметры оборудования. Это могло привести к нарушению его работы и оставить жителей без воды.

Год назад вице-премьер и министр цифровизации Польши Кшиштоф Гавковский подтвердил, что 13 августа 2025 года была атакована инфраструктура водоснабжения и канализации неназванного крупного польского города.

Атаки, которые привели к нарушению операционной деятельности

Foxconn

Электроника, производственный сектор | Отказ ИТ-систем, нарушение операционной деятельности | Шифровальщик

Международный производитель электроники Foxconn Technology Group, штаб-квартира которого находится на Тайване (там компания известна под названием Hon Hai), 12 мая подтвердил СМИ, что его североамериканские заводы подверглись кибератаке. Штатная команда по кибербезопасности оперативно отреагировала и приняла операционные меры для обеспечения бесперебойной работы производства и поставок. Пострадавшие предприятия на тот момент находились в процессе восстановления.

Сотрудник одного из заводов Foxconn в штате Висконсин 5 мая сообщил изданию DysruptionHub, что 1 мая на предприятии не работал Wi‑Fi, поэтому всех отпустили домой. Из-за сбоя в сети сотрудники не могли зайти в свои аккаунты, а табели учета рабочего времени пришлось заполнять от руки. Внутренние уведомления, с которыми ознакомилось DysruptionHub, также указывали на проблемы с сетью, нарушившие работу предприятия. В одном уведомлении сообщалось, что завод не может нормально функционировать и его работа будет остановлена до конца дня, чтобы обеспечить безопасность, эффективность и целостность процессов. В другом отмечалось, что 5 мая первая производственная смена была отменена из-за продолжающихся проблем с сетью.

Спустя неделю, 12 мая, компания уведомила об инциденте Тайваньскую фондовую биржу. Накануне группа вымогателей Nitrogen заявила на своем сайте утечек об атаке на Foxconn. По словам злоумышленников, им удалось похитить 8 ТБ данных – 11 млн файлов. В подтверждение они опубликовали скриншоты с украденной информацией.

West Pharmaceutical Service

Фармацевтика, производственный сектор | Отказ ИТ-систем и сервисов, нарушение операционной деятельности, утечка данных | Шифровальщик

Американский производитель упаковки и систем доставки для инъекционных лекарственных препаратов West Pharmaceutical Services сообщил о кибератаке, направив уведомление по форме 8-K в Комиссию по ценным бумагам и биржам США. Компания обнаружила инцидент 4 мая, а спустя три дня установила, что это была серьезная кибератака: неавторизованная сторона похитила определенные данные и зашифровала некоторые системы. Инцидент временно нарушил международные бизнес-операции компании.

West Pharmaceutical Services уведомила компетентные органы и привлекла сторонних экспертов по цифровой криминалистике. Компания восстановила основные корпоративные системы. При этом критически важные процессы, связанные с отгрузкой, приемкой и производством, были возобновлены лишь на части объектов, восстановление остальных продолжалось. Точные сроки возвращения к штатному режиму работы не назывались. В обновлении от 13 мая на сайте компании сообщалось, что несанкционированная активность локализована, а риск для операционной среды устранен.

Unoaerre

Производственный сектор | Отказ ИТ-систем, нарушение операционной деятельности | Шифровальщик

Итальянская ювелирная компания Unoaerre стала жертвой вымогателей, которые парализовали ее операционную систему, а затем потребовали выкуп в размере 3,8 млн евро в биткоинах. По данным регионального новостного издания, атака произошла 8 мая. В качестве одной из мер сотрудников попросили покинуть здание – на предприятии остались только ИТ-специалисты, занимавшиеся изоляцией системы и локализацией атаки.

Первые результаты расследования показали, что злоумышленники могут быть связаны со странами Ближнего Востока и Восточной Европы. В ходе проверки также выяснилось, что ущерб не носит необратимого характера и производство можно возобновить. Компании предстояло провести техническое расследование, чтобы установить, получили ли атакующие доступ к внутренним данным, коммерческой информации или конфиденциальной проектной документации.

Kintetsu World Express

Транспорт, логистика | Отказ ИТ-систем, нарушение операционной деятельности

Японская логистическая компания Kintetsu World Express, специализирующаяся на авиа- и морских грузоперевозках, сообщила на своем сайте о сбое в ИТ-системах дочернего предприятия KWE-Kintetsu World Express (S) Pte Ltd. Инцидент произошел утром 15 мая в результате несанкционированного доступа со стороны третьих лиц. После обнаружения проникновения скомпрометированные системы были отключены и изолированы. Инцидент затронул часть операций в Сингапуре, связанных с доставкой грузов по воздуху, а также внутренние складские процессы. При этом на деятельность компании за пределами Сингапура и основные бизнес-системы он не повлиял. 20 мая Kintetsu World Express опубликовала новое заявление, в котором сообщила, что все затронутые операции снова работают в штатном режиме. Компания также отметила, что сразу после обнаружения инцидента она создала штаб быстрого реагирования и совместно с внешними экспертами по безопасности приняла меры в соответствии с планом обеспечения бесперебойной работы предприятия при киберинцидентах.

Mackay Sugar

Пищевая промышленность, производственный сектор | Отказ ИТ-систем, нарушение операционной деятельности | Шифровальщик

Австралийский сахарный завод Mackay Sugar 10 июня сообщил о кибератаке, затронувшей часть его операционной деятельности. Отраслевая организация Canegrowers подтвердила, что из-за инцидента были остановлены переработка сахара и перевозка сахарного тростника на заводах Farleigh и Racecourse недалеко от Маккая. Председатель Canegrowers заявил, что рано утром 10 июня многие производители получили рекомендации от Mackay Sugar прекратить уборку урожая, и что инцидент затронул некоторые направления работы компании.

В обновлении от 12 июня Mackay Sugar сообщила о возобновлении на заводе Farleigh переработки, только вручную, сахарного тростника, собранного до инцидента. Производственная деятельность была возобновлена в ограниченном режиме, при этом ключевые системы, отвечающие за поставки тростника и логистику, по-прежнему находились в процессе восстановления, и дополнительный тростник на заводы не принимался.

Согласно сообщению от 17 июня, расследование выявило признаки несанкционированного доступа к части ИТ-инфраструктуры Mackay Sugar. В ходе мониторинга было установлено, что некая сторонняя организация разместила информацию о компании на одном из сайтов в даркнете. Mackay Sugar в срочном порядке начала проверку этой информации, включая ее содержание и объем данных, к которым мог быть получен доступ. Она продолжила работы по восстановлению систем, отвечающих за поставки тростника, сбор урожая и операционную деятельность сахарных заводов. 26 июня Mackay Sugar сообщила, что все три ее сахарных завода вновь заработали в штатном режиме. Ответственность за атаку на производителя сахара взяла на себя 15 июня группа Gentlemen.

Katun Corporation

Производственный сектор | Отказ ИТ-систем, нарушение операционной деятельности

Тайваньский производитель совместимых тонер-картриджей для копировальных аппаратов и принтеров General Plastic Industrial Co. сообщил о несанкционированном доступе к компьютерной сети своей дочерней компании Katun Corporation. Соответствующий бюллетень был опубликован 16 июня на портале Тайваньской фондовой биржи. После обнаружения инцидента ИТ-отдел компании немедленно изолировал затронутые системы, чтобы минимизировать последствия, и одновременно активировал защитные меры. Компания провела оценку ущерба, в том числе связанного с приостановкой отгрузки продукции. Логистические операции находились в процессе восстановления и постепенно возобновлялись.

Cedro Têxtil

Производственный сектор | Отказ ИТ-систем, нарушение операционной деятельности

Бразильская текстильная фабрика Cedro Têxtil подтвердила киберинцидент, затронувший ее технологическую среду и повлиявший на работу некоторых корпоративных систем. Как сообщил сотрудник Cedro Têxtil изданию Sete Dias, из строя вышла основная система, обеспечивающая функционирование всей сети компании, операции были приостановлены с 18 июня и, как ожидалось, должны были возобновиться после 22:00 22 июня. Компания привлекла специалистов, чтобы взять ситуацию под контроль, и провела работу по безопасному восстановлению операционной деятельности. Атакующие на момент публикации не были установлены.

Инциденты в крупных организациях

Medtronic

Производственный сектор | Утечка данных

Американо-ирландская компания по производству медицинских устройств Medtronic сообщила о кибератаке в форме 8-K, поданной в Комиссию по ценным бумагам и биржам США. 24 апреля компания заявила, что несанкционированная третья сторона получила доступ к данным в некоторых ее ИТ-системах. По итогам расследования Medtronic не выявила какого-либо воздействия на свою продукцию, безопасность пациентов, системы взаимодействия с клиентами, производственные и дистрибьюторские операции, системы финансовой отчетности, а также в целом на способность компании удовлетворять потребности пациентов. Кроме того, компания была уверена, что инцидент не окажет какого-либо существенного влияния на бизнес или финансовые результаты. В тот же день, 24 апреля, Medtronic сообщила о кибератаке на своем сайте. В заявлении также отмечалось, что сети, поддерживающие корпоративные ИТ-системы компании, ее продукты, а также производственные и дистрибьюторские операции, сегментированы. Кроме того, сети больниц изолированы от ИТ-сетей Medtronic, а за их безопасность отвечают штатные ИТ-команды самих медучреждений. Компания также провела работу по выявлению персональных данных, которые могли быть скомпрометированы.

Skoda Auto

Автомобилестроение, производственный сектор | Утечка персональных данных

Чешский автопроизводитель Skoda Auto в ходе недавней технической проверки безопасности обнаружил, что неустановленные лица воспользовались уязвимостью в программном обеспечении, использовавшемся для работы интернет-магазина. В интернет-магазине хранились персональные данные клиентов, включая полные имена, почтовые адреса, адреса электронной почты, номера телефонов, историю заказов и хешированные пароли. Номеров банковских карт и другой финансовой информации в системе не было, поскольку такие данные обрабатываются исключительно поставщиками платежных услуг. В качестве меры предосторожности интернет-магазин Skoda был отключен сразу после выявления инцидента. Впоследствии уязвимость устранили, а материалы по инциденту передали в специальный отдел ИТ-криминалистики для технического анализа. О случившемся также уведомили уполномоченный орган по защите данных. В Skoda Auto не смогли с уверенностью сказать, были ли персональные данные клиентов действительно скопированы или извлечены.

Denso

Автомобилестроение, производственный сектор | Утечка данных | Шифровальщик

Японский производитель автомобильных комплектующих Denso Corporation подтвердил на своем сайте, что в сетях его предприятий в Италии и Марокко был зафиксирован несанкционированный доступ со стороны третьих лиц. После обнаружения инцидента 28 марта Denso Corporation немедленно сформировала штаб экстренного реагирования. По итогам расследования выяснилось, что злоумышленники могли похитить определенную информацию о самой компании, а также данные, касающиеся ее партнеров. На момент публикации заявления компания не подтвердила какого-либо существенного влияния инцидента на производственную деятельность или поставки продукции. В апреле ответственность за атаку на Denso Corporation взяла на себя группа вымогателей Qilin.

Novo Nordisk

Фармацевтика, производственный сектор | Утечка персональных данных | Вымогательство

Датская фармацевтическая компания Novo Nordisk сообщила о кибератаке, в результате которой злоумышленники получили доступ к ограниченному числу внутренних ИТ-систем. После обнаружения инцидента компания отключила несколько систем, уведомила соответствующие органы и совместно с привлеченными экспертами по кибербезопасности провела расследование. Операционная деятельность Novo Nordisk не была нарушена – компания продолжила работать в штатном режиме. При этом она выявила, что часть конфиденциальной информации, включая персональные данные, была несанкционированно скопирована извне. В обновлении от 18 июня Novo Nordisk уточнила, что инцидент затронул ограниченный объем информации, связанный с пациентами, участвовавшими в клинических исследованиях, однако эти сведения не содержали данных, позволяющих установить личность пациентов. Медицинским организациям, затронутым инцидентом, сообщили, что среди скомпрометированных данных могли быть название компании, регистрационный номер, контактный адрес электронной почты, номер телефона, местоположение офиса и данные WhatsApp (принадлежит компании Meta, деятельность которой признана в РФ экстремистской и запрещена). Группа вымогателей FulcrumSec 16 июня заявила, что похитила у Novo Nordisk более 1 ТБ данных и рассматривает возможность продать часть этой информации после того, как компания отказалась заплатить выкуп в размере 25 млн долларов.

Tata Electronics

Электроника, производственный сектор | Утечка персональных данных, цепочка поставок | Шифровальщик

Индийский производитель электроники Tata Electronics подтвердил, что несколько недель назад выявил киберинцидент в некоторых своих системах, после того как исследователи сообщили о публикации группой World Leaks предположительно похищенной проектной документации и технических спецификаций компонентов Apple и Tesla – важнейших клиентов корпорации. Об этом 22 июня сообщило агентство Reuters. В корпорации сообщили, что после обнаружения инцидента немедленно задействовали протоколы реагирования, а сама атака не повлияла на ее деятельность. По словам одного из источников, знакомого с ситуацией, после инцидента Tata Electronics получила требование о выплате выкупа. Другой источник сообщил, что корпорация проинформировала некоторых сотрудников предприятия, где собирают iPhone, об утечке данных. В материале Reuters также отмечалось, что Apple провела собственное расследование инцидента.

Ответственность за атаку на Tata Electronics 12 июня взяла на себя группа вымогателей World Leaks. Среди опубликованных данных были многочисленные каталоги и документы – предположительно это производственные данные о продуктах Apple, в том числе внутренние схемы компонентов, информацию о структуре печатных плат, спецификации материалов и файлы SDK. На сайте World Leaks в даркнете утверждалось, что данные Tata Electronics включают более 200 000 файлов общим объемом свыше 630 ГБ.

Ukrposhta

Логистика, транспорт | Отказ ИТ-систем и ИТ-сервисов | Хактивизм

Украинский национальный почтовый оператор «Укрпошта» сообщил о сбоях в работе мобильного приложения после кибератаки на ИТ-системы. Атака произошла в ночь с 24 на 25 июня и привела к нестабильной работе и отключениям цифровых сервисов. В «Укрпоште» подтвердили инцидент и заявили, что специалисты работают над быстрым восстановлением платформы. Компания обязалась уведомить пользователей, как только работа приложения будет полностью восстановлена. Ответственность за атаку взяла на себя хактивистская группа IT Army of Russia. Атакующие утверждали, что несколькими неделями ранее они взломали инфраструктуру «Укрпошты», получили доступ к одному из серверов и удалили базу данных с пользовательской и другой внутренней информацией.

Приложение. Полный список подтвержденных инцидентов