Хакеры взломали почту госоргана Казахстана: эксперты связали атаку с ФСБ

Как обнаружили атаку на госорган Казахстана

О кибератаке сообщила международная компания ESET, специализирующаяся на информационной безопасности. По данным специалистов, вредоносное программное обеспечение обнаружили 28 ноября 2025 года на сервере Microsoft Exchange, который использовала одна из государственных организаций Казахстана.

Изначально исследователи заметили несколько подозрительных компонентов. Дальнейший анализ показал, что они являются частью ранее неизвестного набора инструментов для кибершпионажа, получившего название Cereal.

Программа предназначена для скрытой работы внутри корпоративных почтовых серверов. Она позволяет изучать внутреннюю сеть организации, выполнять команды и собирать электронные письма. Название пострадавшего государственного органа Казахстана в исследовании не раскрывается.

Как хакеры могли читать чужие письма

Особенность обнаруженной программы заключается в том, что она способна перехватывать электронные письма непосредственно во время их отправки.

Например, сотрудник государственного органа отправляет служебное сообщение коллеге. Письмо проходит через почтовый сервер и доставляется адресату. Однако вредоносный код может незаметно проверить его содержимое и сохранить копию для последующей передачи злоумышленникам.

При этом сама переписка продолжается в обычном режиме, поэтому сотрудники могут даже не подозревать о постороннем вмешательстве. Программа также способна отбирать сообщения по определённым признакам, включая адреса отправителей и получателей, темы писем и названия вложений.

Ещё одна особенность Cereal – отсутствие отдельного сервера для управления атакой. Вместо этого злоумышленники используют уже взломанный почтовый сервер организации, маскируя свои команды под обычный сетевой трафик.

Такой подход существенно затрудняет обнаружение посторонней активности.

Аналогичную атаку обнаружили в Румынии

После обнаружения вредоносной программы в Казахстане специалисты ESET усовершенствовали инструменты её выявления. Позднее аналогичное программное обеспечение нашли в государственной организации Румынии, которая была скомпрометирована 23 декабря 2025 года.

В этом случае вредоносная программа была настроена на поиск электронных писем, связанных с НАТО и Европейским союзом.

Исследователи установили, что злоумышленников интересовала переписка с определёнными отправителями и получателями, включая сообщения с документами. При этом в отчёте не уточняется, какие именно письма могли стать целью злоумышленников в Казахстане и какой объём информации им удалось получить.

Кого подозревают в кибершпионаже

Специалисты ESET с высокой степенью уверенности связывают обнаруженную программу с хакерской группировкой Turla, также известной под названием Snake. По данным исследователей, группировка действует как минимум с 2004 года. Её связывают с Федеральной службой безопасности России.

Основными целями Turla традиционно становятся государственные учреждения, дипломатические представительства и оборонные организации в Европе, Центральной Азии и на Ближнем Востоке. Связь обнаруженной программы с Turla специалисты установили на основании технических сходств с ранее изученными инструментами группировки и использования компонентов, уже ассоциированных с ней.

В ESET считают, что Cereal разработана для продолжительного скрытого наблюдения за организациями и сбора информации.

Ранее сообщалось о взломе нескольких госорганов Казахстана

В декабре 2025 года Центр анализа и расследования кибератак (ЦАРКА) сообщил о масштабной кибератаке на несколько государственных органов Казахстана. По данным специалистов, хакеры не менее полугода сохраняли доступ к внутренним системам ведомств, включая почтовые серверы Microsoft Exchange.

Эксперты утверждали, что злоумышленники могли получать служебную переписку, внутренние документы и данные для входа в информационные системы.

В марте 2026 года Министерство искусственного интеллекта и цифрового развития заявило, что информация об этих инцидентах известна государственным органам. Однако масштабную утечку данных в ведомстве не подтвердили.

При этом неизвестно, связана ли описанная ЦАРКА кибератака с новым расследованием компании ESET.

Читайте также: Данные 6 млн казахстанцев могли попасть к хакерам после кибератаки на пиццерию

11 октября в Казахстане произошёл сбой в работе сервисов «Яндекса» для водителей такси и курьеров. В Минцифры объяснили, что причиной зависимости от зарубежной инфраструктуры стало размещение части технологических компонентов платформы за пределами страны. При этом серверы с персональными данными казахстанцев находились в Казахстане и работали штатно. Ведомство сообщило, что взаимодействовало с компанией для устранения неполадок и работало над повышением устойчивости других сервисов такси и доставки.