Български сайт е използван в кибершпионска кампания на свързаната с руското разузнаване група APT29

Неназован български сайт, свързан с военната сфера, е сред страниците, използвани в предполагаема кибершпионска кампания срещу потребители на Android и iOS, съобщи Darik на 5 ноември 2026 г., позовавайки се на френската компания за киберсигурност Sekoia. Компанията приписва кампанията на APT29, хакерска група, която правителствата на САЩ и Великобритания свързват с руската Служба за външно разузнаване. Информацията е публикувана само от тази медия. Към момента на публикуване ФЛАНГ не е открил независимо потвърждение. Историята се развива и информацията може да бъде допълнена.

Коя е APT29. APT29, наричана още Cozy Bear и Midnight Blizzard, е група за кибершпионаж, която правителствата на САЩ и Великобритания официално свързват с руската Служба за външно разузнаване (СВР). Според тях групата стои зад пробива в софтуера SolarWinds, открит през декември 2020 г., с който са проникнали в мрежи на американски правителствени институции. През 2020 г. САЩ, Великобритания и Канада я обвиниха в опити да открадне данни от изследвания на ваксини срещу COVID-19, а през 2024 г. Microsoft съобщи, че групата е получила достъп до имейли на висши служители на компанията.

В сайта е променен код за пренасочване на посетители

Според констатациите на Sekoia, цитирани от Darik, нападателите са променили съществуваща библиотека на JavaScript в българския сайт. Внедреният зловреден код позволява посетителите да бъдат пренасочвани към инфраструктура под контрола на нападателите.

Описаният механизъм използва легитимна страница, за да достигне до потенциални жертви. Компрометирането на сайта, пренасочването на посетител и проникването в неговото устройство обаче са отделни етапи. Съобщеното не е достатъчно, за да се заключи, че самото посещение на страницата води до заразяване на телефон.

Според Darik изследователите определят целта на кампанията като кражба на пароли, електронна кореспонденция, съобщения, местоположение и достъп до потребителски профили. Това е описание на предполагаемата цел, а не доказателство, че информация е била открадната от български потребители.

Френската компания за киберсигурност Sekoia приписва кампанията на APT29

Според Darik Sekoia оценява със средна до висока степен на увереност, че зад кампанията стои APT29, известна още като Midnight Blizzard и Cozy Bear. Публикацията описва групата като свързвана с руската Служба за външно разузнаване. Посочената увереност се отнася до оценката на изследователите за извършителя, а не до независимо потвърждение на случая.

Darik съобщава, че операцията е разкрита в средата на октомври 2026 г. Според същата публикация сред засегнатите страници са сайт на украинска газодобивна компания, страница от американската химическа индустрия и сайт на европейска крайнодясна политическа партия. Самият обхват не установява общ мотив за избора на всички мишени.

Военната връзка не означава атака срещу Българската армия

Според Darik разследването не назовава българския сайт и не уточнява дали посетители са били успешно атакувани. Определението „свързан с военната сфера“ не означава непременно, че става дума за официален сайт на Министерството на отбраната или Българската армия.

Остават въпросите кой е операторът на сайта, колко време е бил компрометиран и дали има засегнати устройства или изтекла информация. За да се изяснят, са необходими оригиналното техническо разследване на Sekoia и потвърждение от оператора или компетентните институции. На този етап няма основание да се заключи, че е проникнато в български военни мрежи.