Росстат подтвердил атаку и дефейс сайта, но опровергает утечку данных

С 29 октября по 1 ноября системы мониторинга Росстата регистрировали подозрительную активность в ИТ-инфраструктуре. В ночь на 1 ноября злоумышленникам удалось изменить содержимое официального сайта: на страницах появились логотипы группировок Silent Crow и «Киберпартизаны BY», а также сообщения на белорусском языке с угрозой «Никому не избежать ответственности».

После атаки сайт работал нестабильно: некоторые региональные страницы возвращали ошибку 500, однако часть разделов открывалась. Ведомство предупредило пользователей о временной недоступности ресурса. По данным Росстата, компрометации баз данных и утечки охраняемых сведений не выявлено, данных о нарушении работы внутренних статистических систем нет.

Хакеры заявили о краже 23 ТБ данных и доступе к 25 тысячам компьютеров и серверов, включая центральный аппарат, территориальные подразделения и главный центр обработки статистической информации. Независимые технические подтверждения заявленного доступа отсутствуют. Расследование продолжается с участием правоохранительных органов и специалистов по информационной безопасности.

Масштаб угрозы для государственных информационных систем

Обе группировки решением Верховного суда РФ от 21 июля 2026 года признаны экстремистскими организациями. В июле 2025 года они уже сообщали о краже 22 ТБ у «Аэрофлота» и уничтожении 7 тысяч серверов, но и те заявления остались без независимых публичных подтверждений. Для операторов государственных информационных систем подобная тактика означает рост репутационных атак, где главная цель — подорвать доверие к способности государства защитить информацию.

Действия после дефейса и защита публичных ресурсов

В первую очередь необходимо усилить контроль доступа к информационным ресурсам и провести внеочередную проверку инфраструктуры на уязвимости, особенно в части управления контентом сайта. Важно восстановить штатную работу публичных сервисов, проверив целостность кода и файловой системы на фронтальных серверах. Учитывая, что злоумышленники часто возвращаются к ранее скомпрометированным целям, стоит перевыпустить ключи доступа, провести аудит логов за предшествующий атаке период и ужесточить фильтрацию входящего трафика для веб-ресурсов.