Постійні читачі, мабуть, уже помітили, що за останні місяці безпеки в наших статтях побільшало. Ми писали про застосунки, яким не варто довіряти беззастережно, про те, куди потрапляють розмови зі ШІ-асистентами, і про вразливість у програмі, яка мала захищати корпоративні Mac. Причина доволі буденна. Ми щодня маємо справу з технікою наших клієнтів: ноутбуками бухгалтерів, iPhone керівників, десятками Mac у компаніях, які супроводжуємо через MDM. Розмова про нову техніку дедалі частіше закінчується питанням, як її вберегти.
До Mac ми ще дійдемо, а почнемо з розслідування, яке на початку жовтня оприлюднила компанія SOCRadar.
6 жовтня дослідники SOCRadar, компанії, що спеціалізується на кіберрозвідці, опублікували звіт про хакера з псевдонімом CyberXero. Він російськомовний і працює заради грошей: зламує чужі системи й продає доступ до них іншим злочинцям. За даними звіту, у розпорядженні CyberXero опинилися персональні дані понад 628 тисяч українців. Найбільший масив, понад пів мільйона записів, хакер вивантажив із системи харківського теплопостачальника. Там були імена абонентів, домашні адреси й номери особових рахунків.
Частину роботи за CyberXero виконував штучний інтелект. На його робочому комп’ютері дослідники знайшли 51 налаштованого агента Claude Code. Це інструмент компанії Anthropic, яким програмісти зазвичай користуються для написання коду.
Помилка, з якої все почалося
Розслідування почалося з недбалості самого хакера. Один із його серверів, орендований у нідерландського хостинг-провайдера, віддавав вміст робочої теки будь-кому, хто знав адресу. Жодного пароля там не було. Дослідники SOCRadar побачили понад 90 тисяч файлів у трьох тисячах папок. Частина папок мала назви сайтів, які хакер атакував. Поруч лежали інструменти для зламу, результати сканувань, налаштування ШІ-агентів і бази даних, уже вивантажені з чужих систем.
Найціннішою знахідкою стали журнали сесій зі штучним інтелектом. У них збереглося все, що хакер доручав агентам, на які цілі дивився і що отримував у відповідь. За цими журналами дослідники простежили роботу CyberXero майже покроково.
Від першого сервера ниточки потягнулися далі. Однаковий службовий ключ у посиланнях на встановлення програм, ім’я комп’ютера в SSH-ключі, історія команд у терміналі: за цими слідами SOCRadar знайшов ще сім машин. Робочі станції та сервер для розрахунків у криптовалюті розміщувалися в Європі. Сервер керування атаками й вузли для зламу баз даних хакер тримав у китайській хмарі Tencent.
Хронологія в цієї історії коротка. Перші сервери з’явилися в липні 2026 року. Наприкінці липня хакер завів платний обліковий запис для роботи зі ШІ, і відтоді кількість атак на сайти помітно зросла. На момент публікації звіту CyberXero залишався активним.
Цей самий обліковий запис зрештою допоміг встановити його особу, бо був прив’язаний до особистої пошти. У журналах знайшовся ще й епізод, де хакер намагався через ШІ підтвердити свої права на форумі Dread і посилався на допис, підписаний ніком CyberXero. Мова команд і час активності вказують на московський часовий пояс: найчастіше він працював близько десятої вечора. Імені SOCRadar публічно не називає, особисті дані оператора залишилися тільки в повній версії звіту.
Сайти на потоці
Більшу частину часу CyberXero займався масовими атаками на сайти по всьому світу. Головним його інструментом був wp2shell, ланцюжок із двох вразливостей у самому ядрі WordPress. Перша дозволяє обдурити механізм, яким сайт приймає кілька службових запитів за один раз. Друга відкриває доступ до бази даних. Разом вони дають змогу без пароля створити на сайті нового адміністратора й встановити вебшел, тобто приховану сторінку для віддаленого керування сервером. CyberXero маскував вебшел під звичайний плагін.
Розробники WordPress закрили обидві діри 17 липня 2026 року й примусово розіслали оновлення. Опис вразливостей і готовий код для атак невдовзі з’явилися у відкритому доступі. Сайти, де автооновлення вимкнули або відклали, залишилися вразливими. У списку цілей CyberXero було понад 56 тисяч адрес.
Масштаб добре видно на прикладі одного запуску, задокументованого у звіті. Скрипт перевірив 4 708 сайтів, підтвердив доступ до 429 адмінпанелей і встановив 32 вебшели. Усе це зайняло 61 секунду. Про кожен успішний злам хакеру надходило повідомлення в Telegram, тож стежити за процесом він міг навіть без відкритого терміналу.
Паралельно CyberXero атакував інтернет-магазини. Для магазинів на Magento він використовував вразливість ще 2015 року і перевірив її приблизно на 93 доменах. На сайти з плагіном онлайн-чату Support Board хакер нападав через SQL-ін’єкцію: це спосіб підсунути базі даних власну команду через поле, призначене для звичайного тексту. В одному магазині він вивантажив усі бази повністю, в інших змінив паролі адміністраторів. Дослідники знайшли також заготовку для крадіжки даних банківських карток, яку хакер уже випробував на справжній сторінці оплати.
Географія атак вийшла широкою. Найбільше активності припало на Україну, друге місце посіла Польща. Там підтверджено злами інтернет-магазинів і спроби атак на сайти державних установ. Загалом SOCRadar налічує понад сорок постраждалих організацій у різних країнах. Заробляти на цьому напрямі хакер міг двома способами: продавати доступи до зламаних сайтів або красти платіжні дані.
Харків і енергетика
Другий напрям своєї роботи CyberXero вів без автоматики, а цілі обирав сам і дуже вибірково. Усі вони були в Україні та стосувалися енергетики й комунальних послуг. Дослідники нарахували сім таких компаній. Серед них SOCRadar згадує національного оператора енергосистеми та найбільший приватний енергохолдинг країни, хоча їхніх назв не наводить.
Ці дві компанії хакер вивчав особливо ретельно. Він склав перелік із 95 їхніх піддоменів, серед яких були поштові сервери, VPN, диспетчерські системи та платформи даних. Окремо пробував підібрати паролі до облікових записів конкретних працівників. Такої глибини підготовки в його атаках на інтернет-магазини дослідники не бачили. Утім, підтвердженого зламу жодної із семи енергетичних компаній у звіті немає.
Чотирьом іншим українським організаціям пощастило менше: з них дані таки вивантажено. Найважчий випадок стосується районного теплопостачальника в Харкові. У скрипті хакера був прописаний пароль адміністратора, який давав прямий доступ до системи. Звідки цей пароль узявся, у звіті не уточнюється. Програма, що працювала в кілька потоків, вивантажила 564 073 записи абонентів з іменами, домашніми адресами й номерами особових рахунків. Разом із ними хакер забрав понад 213 тисяч записів журналу входів із датами та IP-адресами.
В інших випадках хакер діяв складніше. У постачальника газу він витягнув із бази активні сесійні ключі користувачів, з якими можна заходити в облікові записи без пароля. Найдовший ланцюжок атак описано проти одного з інтернет-порталів: кілька вразливостей поспіль привели хакера до повного контролю над сервером і всіма базами даних.
Для Харкова такий витік має особливу вагу. Місто розташоване поруч із лінією фронту, а база з адресами сотень тисяч мешканців дає змогу знайти конкретних людей. SOCRadar прямо зазначає, що ці дані становлять потенційну загрозу фізичній безпеці цивільних.
Навіщо фінансово мотивованому хакеру енергетика, звіт до кінця не пояснює. Дослідники вважають найімовірнішим, що CyberXero готував доступи для покупця з особливим інтересом до української інфраструктури. На форумі Dread, де він має обліковий запис, торгівля доступами є звичною справою. Доступ до енергетичної компанії там коштує значно дорожче за адмінку звичайного сайту. Доказів того, що такий продаж відбувся, дослідники не знайшли.
Що робив штучний інтелект
Штучний інтелект у CyberXero працював на двох рівнях, і кожен рівень мав своє завдання.
Перший рівень стояв на робочому комп’ютері хакера. Там був розгорнутий Claude Code з 51 агентом, і кожен агент був налаштований під окрему роботу. Одні шукали сайти й піддомени, інші перевіряли викрадені паролі, ще інші складали вразливості в ланцюжки атак або вивантажували дані. Хакер роздавав їм завдання приблизно так, як керівник розподіляє роботу між працівниками відділу.
Другий рівень розміщувався на окремому сервері. Там хакер поєднав PentAGI, відкриту програму для автоматизованого тестування захисту, з Cobalt Strike. Цей комерційний інструмент створювали для фахівців, які на замовлення компаній імітують атаки, проте злочинці теж давно ним користуються. Саме другий рівень готував шкідливий код, який потім запускали на зламаних машинах. Яку модель ШІ використовував PentAGI, у звіті не уточнено.
Claude має запобіжники, які не дають йому допомагати зі зламом чужих систем. Журнали показують, як хакер намагався їх обійти. Найчастіше він розповідав моделі, що проводить дозволене тестування власної інфраструктури. Ту саму фразу про «мій сайт» дослідники дослівно знайшли в розмовах про чотири різні компанії, тож це був заздалегідь заготовлений текст. Якщо агент усе одно відмовляв, хакер відкривав нову сесію, де ця легенда вже була прописана від початку, і пробував знову.
Багато відмов при цьому встояли. За чотири спроби модель так і не погодилася встановити бекдор, вимкнути фаєрвол, поширитися мережею жертви чи розгорнути вебшел. В іншому епізоді вона чотири рази поспіль відмовилася сканувати ціль і розпізнала підроблене підтвердження того, що сайт належить хакеру.
Журнали розмов, у яких CyberXero планував атаки, зрештою обернулися проти нього самого. Дослідники порівнюють їх із кейлогером: там записано кожну ціль, кожне завдання і кожну спробу обдурити модель.
Станом на початок листопада Anthropic публічно цей випадок не коментувала. Принаймні такої заяви не знайшли ні ми, ні аналітики Cloud Security Alliance, які окремо розбирали звіт SOCRadar. Подібні історії компанія раніше описувала сама. У 2025 році Anthropic оприлюднила звіти про те, як Claude Code використали для вимагання грошей щонайменше від сімнадцяти організацій. Згодом вийшов звіт про шпигунську кампанію, яку компанія пов’язала з китайськими державними хакерами.
Інший хакер, схожий почерк
Незадовго до звіту про CyberXero SOCRadar оприлюднив ще одне розслідування, під назвою Operation Master. Його героєм став хакер, відомий на форумах як masterblack. Він теж спирався на ШІ-агентів на базі Claude і доручав їм писати код для зламу та вивантаження даних.
Почалося все з корпоративних мереж. Через вразливість у VPN-шлюзах Palo Alto GlobalProtect masterblack дістався до семи таких шлюзів у чотирьох країнах. Через VPN-шлюз працівники підключаються до мережі компанії з дому чи у відрядженні, тож хто контролює шлюз, той може пройти й далі, всередину мережі. Паралельно хакер атакував облікові записи Microsoft 365: розсилав фішингові листи й підбирав паролі працівників. Частину викрадених баз даних він виставив на продаж.
Далі ці дані пішли в роботу. masterblack налагодив розсилку фейкових рахунків для мешканців і компаній Бразилії. Жертв спонукали платити через Pix, бразильську систему миттєвих платежів. Хакер розіслав понад 2,4 мільйона повідомлень поштою, через SMS і WhatsApp, і до кожного додавав персональне посилання на «оплату». Загальна сума цих рахунків сягнула приблизно 150 мільйонів бразильських реалів. Скільки люди заплатили насправді, невідомо. У звіті йдеться про заявлені суми, підтверджених даних про втрати там немає.
Закінчилася ця історія так само, як і попередня. За словами дослідників, відмови ШІ, що збереглися в журналах, зрештою стали ключовими доказами проти masterblack.
Звідки беруться ключі
В обох звітах немає жодного слова про Mac. CyberXero і masterblack атакували сайти, сервери, VPN-шлюзи й корпоративну пошту. Ми все ж вирішили докладніше подивитися, як саме вони діставали доступи, бо саме тут ці історії найбільше перетинаються з нашою щоденною роботою.
Найпростіший прийом обидва хакери застосовували до конкретних людей. Вони брали імена працівників і підбирали до їхніх облікових записів паролі: найпоширеніші, а також ті, що вже потрапляли у відкритий доступ після інших витоків. masterblack додавав до цього фішингові листи, які мали виманити в адресата пароль від пошти Microsoft 365. Обидва прийоми розраховані на людину за комп’ютером, і жодна вразливість у програмах для них не потрібна.
Ще показовіший приклад — сесійні ключі, які CyberXero витягнув у постачальника газу. Коли ви входите на сайт, браузер отримує такий ключ і щоразу пред’являє його сайту, щоб той не питав пароль знову. Хто заволодів ключем, той здебільшого потрапляє в обліковий запис як його власник, і ні пароль, ні код підтвердження з телефона йому вже не потрібні.
Такі ключі зберігаються і в браузері на вашому ноутбуці, поруч зі збереженими паролями. Саме за ними полюють програми для крадіжки паролів на macOS, і лише за це літо дослідники описали кілька нових їх різновидів. У серпні з’явився опис AmnesiaStealer. Цю програму поширювали через фальшиву сторінку завантаження на GitHub. Вона виманювала в користувача пароль від Mac, збирала дані браузерів і вміст зв’язки ключів, а на команду зловмисника непомітно запускала копію браузера жертви з усіма активними сесіями й передавала керування нею.
Інший приклад того ж літа, CrashStealer, маскувався під вбудовану утиліту Apple для звітів про збої. Його знайшли всередині застосунку, який виглядав перевіреним Apple, тож вбудований захист macOS не заважав його запуску.
Тепер уявіть ноутбук людини, яка веде сайт компанії, або бухгалтера з доступом до корпоративної пошти. У браузері відкриті адмінка WordPress, пошта, банк-клієнт. Одна така програма, встановлена під виглядом корисної утиліти, відкриває зловмиснику дорогу до тих самих адмінок і поштових скриньок, за якими полювали герої цих звітів.
Що варто перевірити
Повернімося до бухгалтера з відкритою поштою й банк-клієнтом. Більшість того, що могло б уберегти його ноутбук, робиться за кілька хвилин і не потребує технічних знань. З цього й почнемо, а поради для власників сайтів та ІТ-фахівців ми зібрали наприкінці розділу.
Перший крок найпростіший. У Системних параметрах відкрийте «Загальні», далі «Оновлення ПЗ» і переконайтеся, що автоматичні оновлення ввімкнені, зокрема для оновлень безпеки. Apple часто закриває вразливості саме такими невеликими оновленнями між великими версіями macOS. Варто також перевірити, чи ввімкнений FileVault. Він шифрує диск, і якщо ноутбук украдуть, дані на ньому залишаться недоступними.
Паролі краще тримати в менеджері паролів. На Mac для цього є вбудований застосунок «Паролі», який синхронізується з iPhone. Там, де сервіси це дозволяють, зручно переходити на ключі доступу, або passkeys. Для пошти, адмінки сайту, банку й облікового запису Apple варто обов’язково ввімкнути двофакторну автентифікацію.
Найбільше уваги потребує те, що й звідки ви встановлюєте. Програми краще брати з App Store або з офіційного сайту розробника. Посилання на завантаження варто перевіряти навіть тоді, коли воно веде на знайомий сервіс на кшталт GitHub. Окреме правило стосується пароля від Mac: вводьте його тільки тоді, коли самі встановлюєте програму чи змінюєте налаштування. Якщо вікно з проханням ввести пароль з’явилося несподівано, краще його закрити і з’ясувати, що саме його викликало.
Якщо є підозра, що на Mac уже потрапила шкідлива програма, дослідники радять діяти так, ніби всі збережені паролі вже в чужих руках. Спершу завершіть активні сесії в браузерах і сервісах. Потім змініть паролі, починаючи з пошти, і робіть це з іншого, чистого пристрою.
Для компаній, де Mac десятки, усе описане вище треба зробити на кожному пристрої, а потім стежити, щоб так і залишалося. Тут допомагають системи керування пристроями, або MDM, і вони корисні навіть тоді, коли пристроїв лише кілька десятків. Такі системи показують, яка версія macOS стоїть на кожному ноутбуці, і дозволяють задати однакові правила для всіх, від оновлень до FileVault. Через них можна також віддалено заблокувати чи стерти ноутбук, якщо його загубили або працівник звільнився.
Далі йтиметься про речі, які стосуються тих, хто має власний сайт на WordPress або відповідає за ІТ у компанії. Якщо це не про вас, сміливо переходьте до останнього розділу.
Вразливості wp2shell (CVE-2026-63030 і CVE-2026-60137) закрито у версіях WordPress 6.8.6, 6.9.5 і 7.0.2, які вийшли 17 липня. Сайт на одній із цих версій або на новішій від такої атаки захищений. Оновлення при цьому не видаляє того, що хакер міг встановити раніше. Тому варто відкрити список користувачів і пошукати адміністраторів з іменами, які починаються на wp2_ і мають далі вісім випадкових символів. Такі облікові записи створював інструмент CyberXero. Так само має насторожити тека в розділі плагінів, назва якої починається на wp2shell_. Плагін чату Support Board, якщо він є на сайті, слід оновити щонайменше до версії 3.7.8.
У компаніях з VPN-шлюзами Palo Alto GlobalProtect варто перевірити їх на вразливість CVE-2026-0257 і встановити виправлення від виробника. У Microsoft 365 базовий захист — двофакторна автентифікація для всіх працівників без винятку, бо облікові записи без неї найлегше піддаються підбору паролів. Корисно також налаштувати сповіщення про різке зростання кількості вихідних листів: так легше вчасно помітити зламану скриньку, з якої вже пішла розсилка.
Наостанок
Коли SOCRadar оприлюднив звіт, CyberXero усе ще працював. Що сталося з даними харківських абонентів після публікації, у відкритих джерелах не повідомляється.
Ми й надалі стежитимемо за такими історіями й розповідатимемо про них тут, на сайті. Якщо після прочитання у вас з’явилися питання про безпеку ваших Mac, iPhone чи техніки в команді, напишіть нам, і ми допоможемо розібратися.
