«Неофициальный ответ был: у нас нет бюджета. Но я думаю, что нападающих не интересует, есть бюджет или нет». Взаимодействие IT-специалиста с государством после того, как он указал на бреши в безопасности государственных служб
После масштабной кибератаки в Республике Молдова, целями которой стали несколько цифровых публичных платформ и сервисов под управлением Агентства электронного управления, IT-специалист, уже несколько лет проживающий в Нидерландах, заявил, что за несколько месяцев до этого он предупреждал Службу информационных технологий и кибербезопасности о множестве уязвимостей, выявленных им в одном из государственных сервисов. По его словам, он не получил от ведомства никакого ответа, кроме автоматического тикета с подтверждением регистрации потенциального инцидента, связанного с безопасностью.
Тем не менее Афанасий Бешляга считает, что кибератаку, в ходе которой были похищены персональные данные около 750 тысяч граждан Молдовы, «скорее всего», нельзя было предотвратить, и что обнаруженные им уязвимости не были исследованы во время этого инцидента. Кроме того, он полагает, что за атакой не стоял государственный субъект, поскольку она «не отличается высокой сложностью», и ее мог бы организовать даже школьник.
Изданию ZdG не удалось получить от государственных органов данные об инвестициях властей в защиту данных граждан и публичных служб, поскольку ряд ведомств пока не ответили на запросы редакции. «Неофициальный ответ был таким: у нас нет бюджета», – заявляет Афанасий Бешляга о реакции, которую услышал при обсуждении инвестиций в защиту информации с представителями профильных институтов. «Но я думаю, что нападающих не интересует, есть бюджет или нет», – говорит он.
«Я выявил уязвимости, и некоторые из них – критические»
Афанасий Бешляга уже семь лет живет в Нидерландах. В Молдове он является основателем компании в сфере информационных технологий. «Я работал и продолжаю работать в сфере кибербезопасности. Я занимался как оборонительным и наступательным направлениями», – сказал Афанасий.
Спустя несколько дней после крупнейшей кибератаки в истории Молдовы, произошедшей 27 октября, Афанасий Бешляга опубликовал пост в профессиональной соцсети LinkedIn. В нем он сообщил, что еще до инцидента выявил ряд уязвимостей, некоторые из которых были критическими и могли поставить под угрозу в том числе персональные данные граждан. Мужчина заявил, что направил отчет в ответственное ведомство, а также обсудил эти проблемы с участниками конференции в Бухаресте.
«…В этом году я провел некоторое время в Молдове и, как и все там, был вынужден устанавливать приложения для решения базовых задач. В феврале одно из приложений безопасности загружало свои обновления через незашифрованное HTTP-соединение… Я отправлял электронные письма и отчеты в учреждения, отвечающие за защиту этих данных, и связывался с ними по телефону. Я так и не получил подтверждения о том, что именно было исправлено и планируется ли вообще решение проблемы. Я выявил и другие уязвимости, и несколько из них — критические, причем одна из них могла поставить под угрозу персональные данные граждан в национальном масштабе. Однако я не стал идти дальше, чтобы подтвердить точный масштаб проблемы.
В марте я получил приглашение от Moldova IT Park на конференцию AI & Big Data в Бухаресте. Там выступали спикеры из Молдовы, Румынии и Украины, а в некоторых докладах затрагивалась тема того, как создаются и совершенствуются платформы. После мероприятия я пообщался с несколькими участниками, рассказал им о выявленных мной крупных уязвимостях и сообщил, что готов предоставить подробности. Ответом было: „Мы с вами свяжемся”. Никто так и не связался…» – написал Бешляга.
«Я сообщал о других, гораздо более сложных уязвимостях»
В беседе с Ziarul de Gardă Афанасий Бешляга уточнил, что 11 февраля 2026 года отправил письмо в Службу информационных технологий и кибербезопасности (STISC), прикрепив информацию о нескольких уязвимостях, обнаруженных им в госсервисе. Однако мужчина утверждает, что получил лишь автоматический тикет с подтверждением и ждал ответа, но с ним так никто и не связался. Он также предоставил нам скриншот, подтверждающий отправку отчета о потенциальном инциденте в сфере безопасности.
«В начале марта я поехал на конференцию, где пообщался с человеком из системы о других возможных уязвимостях – ведь они должны быть подтверждены властями, – и мне ответили, что со мной свяжутся. Позже, 27 марта, если не ошибаюсь, я позвонил в STISC, поговорил с представителями руководства и рассказал им об этих уязвимостях. Мне сказали отправить e-mail, где я сослался как на ранее найденные бреши, так и на уязвимость в приложении EVO, о которой я лишь сообщил устно, но не стал документировать, потому что если меня проигнорировали в первый раз, то у меня не было желания снова тратить несколько дней на составление отчета. Неофициальный ответ был таким: у нас нет бюджета. Но я думаю, что нападающих не интересует, есть бюджет или нет», – заявил Афанасий.
На вопрос о том, можно ли было избежать кибератаки, если бы власти учли уязвимости, о которых он сообщал, IT-специалист ответил: «Скорее всего, нет». Он считает, что выявленные им бреши не были использованы во время этой кибератаки.
«Я сообщал о других уязвимостях, гораздо более сложных, с моей точки зрения, и которые могут привести к более серьезным последствиям… Если говорить о том, изменило бы это ситуацию или нет, я думаю, что наибольший эффект дали бы определенные меры, принятые тогда, когда стало видно, что есть пробелы и бреши в некоторых коммуникациях или решениях на уровне государственных структур», – добавляет он.
Кроме того, Афанасий считает, что за кибератакой не стоял государственный субъект, а в настоящее время онлайн-идентичность можно легко скрыть.
«Как правило, за государственными субъектами стоят группировки APT (Advanced Persistent Threat, Продвинутая устойчивая угроза, прим. ред.), очень четко структурированные, контролируемые и крайне подготовленные организациями. То есть они не стучат в дверь десятки или тысячи раз — они уже находятся внутри вашего дома. Если говорить о других обнародованных данных, таких как IOC (Indicator of Compromise, Индикатор компрометации, прим. ред.), то, скорее всего, эта атака расследуется на основе IP-адресов. Это IP-адреса, хэши, домены, URL, которые при наличии определенных следов могли бы привести к тому или иному государственному субъекту или преступной организации… Сегодня очень легко скрыть свою личность в сети…
С использованием ИИ и учитывая характер этой атаки, которая, на мой взгляд, не отличалась высокой сложностью, речь вполне может идти даже о школьнике. У государственных субъектов совсем другие тактики, техники и паттерны, которые могут быть обнаружены специалистами, расследующими это дело. Из того, что я видел, так далеко дело не зашло. Как правило, исходя из статистики, такие субъекты остаются незамеченными в течение шести-десяти месяцев или даже лет, пока их не найдут. Если вообще найдут… У них есть доступ к высокоэффективным решениям, и обнаружить их не так просто», – отметил он.
По мнению IT-специалиста, тестирование безопасности государственных приложений должно проводиться раз в год. Мужчина считает, что приложение EVO достаточно функционально, но перед запуском оно не было протестировано в достаточной мере.
«Отлично, если у вас есть своя команда или несколько человек, способных тестировать это непрерывно, то есть отдельная специализированная группа или команда со стороны компании-разработчика этого ПО. Но, как правило, этим занимается сторонняя консалтинговая команда с высокой квалификацией и специализацией. В Европе таких очень много.
Что касается EVO, это достаточно функциональное приложение, но оно не было в достаточной степени протестировано перед началом использования. Думаю, что меры, о которых было объявлено публично, скорее направлены на минимизацию последствий… Чтобы предотвратить атаку, нужна более защищенная система, а чтобы система была защищенной, ее необходимо тестировать», – подчеркнул Афанасий.
Сколько государство инвестировало в защиту данных?
Достаточно ли государство инвестировало в безопасность в процессе цифровизации? Согласно Плану государственных закупок на 2026 год, опубликованному Агентством электронного управления (AGE), на услуги по исправляющему, профилактическому и адаптивному обслуживанию Государственной платформы электронных платежей (MPay) было выделено 1,66 миллиона леев. Ещё 1,59 миллиона леев было предусмотрено на услуги по адаптивному обслуживанию сервисов государственной платформы.
ZdG не обнаружила на сайтах под управлением Агентства государственных закупок контрактов, касающихся обеспечения безопасности или защиты данных. Согласно информации ZdG, полученной в ходе обсуждений с представителями AGE, в 2025 году ведомство внесло изменения в институциональную структуру, и команда по информационной безопасности была пополнена – в ее задачи входит «проведение тестирований определенного уровня безопасности», а «затронутые напрямую сервисы были разработаны ранее и проходили проверки безопасности».
Николета Коломеец, бывший директор AGE, заявила, что определить, кто стоял за кибератакой, сложно. «Это трудно установить, поскольку нужно дойти до самого нижнего уровня и определить точные IP-адреса, с которых осуществлялись атаки. В наш мандат не входит делать заявления о том, был ли это государственный субъект или нет… Итоговый отчет должен быть опубликован, проанализирован, и уже на его основе, возможно, должны высказаться другие ведомства… Если бы не эта атака, произошла бы другая… Мы наблюдаем серию атак как на континенте, так и за его пределами. Не знаю, стоит ли сейчас фокусироваться на том, можно ли было предотвратить саму атаку. Вопрос в том, как нам укрепить защиту и быть внимательнее к остальным», – сказала нам Коломеец, которая покинула свой пост после кибератаки.
Глава ASC о расходах на безопасность и об уязвимостях
Михай Лупашку, директор Агентства по кибербезопасности (ASC), уточнил для ZdG, что внедрение мер кибербезопасности является ответственностью каждой отдельной организации, и централизованного бюджета на эти цели на национальном уровне нет.
По словам Лупашку, общий бюджет, выделенный ASC на 2026 год, составляет около 27 миллионов леев и распределен следующим образом: расходы на персонал – 17 миллионов леев, расходы на содержание учреждения и реализацию проектов по кибербезопасности – 10 миллионов леев.
На вопрос о том, поступали ли за последний год на платформу возглавляемого им агентства сообщения об уязвимостях, которые могли быть использованы в ходе кибератаки, Лупашку ответил, что об уязвимостях, которые использовались в инциденте с AGE, в ASC не сообщали ни через веб-платформу, ни по другим каналам связи.
«Вместе с тем в течение 2026 года ASC проводила сканирование публично доступных информационных ресурсов поставщиков услуг из критически важных секторов. Было выявлено более 100 уязвимостей высокого и критического уровня, а также направлено около 150 уведомлений и предупреждений для их устранения.
Кроме того, было проанализировано более 20 тысяч скомпрометированных аккаунтов, а затронутым учреждениям переданы данные и рекомендации по устранению угроз. Для укрепления кибергигиены было обучено более 3000 сотрудников и проведено 25 кампаний по симуляции фишинговых атак и методов социальной инженерии.
После публикации 21 октября 2026 года информации о двух критических уязвимостях, затрагивающих технологию PHP, ASC оценила риски и на следующий же день уведомила поставщиков услуг о необходимости срочной проверки IT-инфраструктур и используемого ПО, включая решения, управляемые третьими сторонами. Предупреждения были направлены как затронутым организациям, так и общественности по официальным каналам ASC», – заявил директор ASC.
По его словам, попытки кибератак происходят постоянно, особенно на фоне появления новых уязвимостей. «Что касается инцидента с AGE, информация об используемых уязвимостях отсутствовала, как и признаки, которые бы позволили бы предвидеть атаку подобного масштаба», – подчеркнул он.
Отвечая на вопрос о сроках проведения последних аудитов безопасности, Лупашку заявил, что в течение 2026 года ведомство участвовало в оценке уровня кибербезопасности.
«Молдова имплементировала европейскую нормативно-правовую базу в сфере кибербезопасности, основанную на Директиве NIS2. В соответствии с этой базой национальный орган по кибербезопасности наделен, среди прочего, полномочиями по идентификации и назначению поставщиков услуг в критически важных секторах – как в государственном, так и в частном… На протяжении 2026 года ASC участвовала в оценке уровня кибербезопасности субъектов энергетического сектора, содействуя выявлению недостатков в защите и формулированию рекомендаций по укреплению киберустойчивости сектора», – заявил Лупашку.
Чтобы узнать точные данные об инвестициях в защиту информации и цифровых сервисов, ZdG направила запросы информации в AGE и STISC. К вечеру среды, 4 ноября, мы не получили ответов.
Эксперт: «Слишком мало внимания уделялось сфере защиты данных и мерам безопасности»
Сергей Бозияну, председатель Ассоциации по защите частной жизни, ранее заявлял для ZdG, что основную ответственность за кибератаку несут те, кто проник в систему и взломал базу данных.
«В первую очередь необходимо установить их личности. Однако на практике административная и юридическая ответственность лежит на держателе государственного реестра и интеграторе – то есть на AGE и других ведомствах, таких как STISC, ASC и Национальный центр по защите персональных данных. Это те учреждения, которые должны дать нам ответы. Поймите, я не хочу показаться злым в этой ситуации, но рано или поздно этот инцидент должен был произойти, я бы даже сказал, что он случился с опозданием – слишком мало внимания уделялось сфере защиты данных и мерам безопасности», – подытожил Бозияну.
Крупнейшая кибератака в истории Молдовы
По данным AGE, в период с 19 по 23 октября, согласно предварительным оценкам, были извлечены наборы данных, связанные примерно с 750 тысячами IDNP. Затронутая информация включает идентификационные данные, такие как имя, фамилия, дата и место рождения, сведения о членах семьи первой степени родства, водительские права, фотография, информация о принадлежащих компаниях или управлении ими, а также финансовые данные, в том числе код IBAN, налоговые задолженности и история платежей через MPay. По заявлению ведомства, данные банковских карт не пострадали, так как карточные платежи через MPay и EVO обрабатываются через защищенные банковские системы, и государственная платформа не хранит эту конфиденциальную информацию. Премьер-министр Василий Тофан заявил о наличии признаков участия иностранных государственных субъектов в кибератаке, а компетентные органы расследуют этот факт.
