Розробники застосунку «Повітряна тривога» перепросили користувачів за інцидент, що стався в неділю ввечері, і пояснили, як зловмисникам вдалося розіслати фейкові сповіщення. За їхніми словами, атака не була зломом мобільного застосунку: несанкціонований доступ отримали до інтерфейсу оператора, через який надсилаються тривоги. Водночас команда заперечила витік даних і зараження телефонів користувачів.
Збій стався 1 листопада. Українці отримали повідомлення про неіснуючу радіаційну небезпеку, хімічну атаку та вуличні бої, а також кастомні оповіщення з текстом російською мовою. Деякі з них містили посилання на сторонній Telegram-канал. Розробники зазначають, що в систему надійшли сповіщення про тривоги, яких насправді не було, тож користувачі побачили саме фейкові повідомлення, а не результат роботи реальних служб.
Як пояснюють розробники, «Повітряна тривога» — це система оповіщення, що складається з інтерфейсу оператора, мобільних застосунків, мапи тривог і API, через який інші сервіси отримують інформацію. Повідомлення про небезпеку вносять оператори цивільного захисту або відповідальні за оповіщення в громадах. Звідти інформація потрапляє в застосунок і далі в інші системи: карти тривог, гучномовці в торгових центрах і вуличні сирени. Саме тому несанкціонований доступ до оператора мав такий широкий ефект: один вхід до системи міг дійти до кількох каналів одразу. Деталі інциденту розробники з міркувань безпеки не розкривають, і це їхнє формулювання, а не висновок редакції.
Після інциденту Ajax Systems і Stfalcon разом із профільними службами та міністерствами тимчасово призупинили роботу інтерфейсу оператора та серверної частини застосунку. За словами розробників, протягом двох годин вони провели перевірки, усунули причини збою і відновили основні функції. Знову запрацювали push-сповіщення про тривоги та інформація про різні рівні небезпеки. Команди продовжують аудит безпеки системи і працюють над відновленням відображення цілей на карті, тож цю функцію користувачі поки не бачать у повному обсязі.
Щодо ризиків для користувачів розробники заявляють, що злам не загрожує смартфонам. Застосунок, за їхніми словами, не зберігає й не передає дані користувачів і не має доступу до важливих функцій телефона. Компанії також спростували інформацію про витік даних, зламані акаунти та наявність шкідливих файлів у застосунку. Тим, хто видалив «Повітряну тривогу» після інциденту, розробники радять встановити її знову через App Store або Google Play, адже сам застосунок, за їхніми словами, працює.
Контекст важливий для українського ринку. Застосунок створили Ajax Systems і Stfalcon на волонтерських засадах за підтримки Мінцифри, і працює він із 2022 року. Його використовують мільйони людей, які покладаються на тривоги як на інструмент безпеки, тому помилкове сповіщення має ширші наслідки, ніж збій звичайного месенджера чи банківського застосунку. Для команд, які проєктують системи оповіщення або будь-які сервіси з ризиком масових розсилок, цей випадок є нагадуванням: найуразливішим місцем часто стає не публічний застосунок, а внутрішній інтерфейс операторів. Його захист, розмежування доступу та моніторинг аномальних розсилок мають бути в пріоритеті вже на етапі проєктування, а не після першого інциденту.
6
