Острів Гуам, крихітна американська територія, що лежить більш ніж за 6 000 км на захід від Гавайських островів, давно знав, що зазнає поразки в будь-якій китайсько-американській війні. Аеродроми і порти острова, що розширюються, слугують плацдармом для американських кораблів, підводних човнів і бомбардувальників. У перші години конфлікту на них полетять китайські ракети, хвиля за хвилею. Але передовий загін нападників, схоже, роками спокійно ховався в інфраструктурі Гуаму. В середині 2021 року китайська хакерська група – пізніше названа Volt Typhoon – глибоко проникла в комунікаційні системи острова. Ці втручання не мали очевидної користі для шпигунства. Вони призначалися, як пізніше визнав американський уряд, для “підривних або руйнівних кібератак на … критично важливу інфраструктуру в разі великої кризи або конфлікту”. Коротше кажучи, саботаж.
Протягом багатьох років китайсько-американські сутички в кіберпросторі здебільшого зводилися до крадіжки секретів. У 2013 році Едвард Сноуден, підрядник, виявив, що Агентство національної безпеки (АНБ), американське агентство радіотехнічної розвідки, націлилося на китайські компанії мобільного зв’язку, університети і підводні кабелі. Китай, у свою чергу, десятиліттями викрадав величезну кількість інтелектуальної власності в американських фірм – процес, який Кіт Александер, тодішній голова АНБ, одного разу назвав “найбільшою передачею багатства в історії”. В останні роки ця динаміка змінилася. Китайське кібершпигунство триває, але його операції стали більш амбітними та агресивними. Росія також активізувала свою кіберактивність в Україні, а пов’язані з нею групи також націлилися на об’єкти водопостачання в Європі. Ці кампанії натякають на нову еру кіберсаботажу у воєнний час.
Вторгнення Volt Typhoon, про які стало відомо минулого року, спочатку завдяки повідомленням технологічного гіганта Microsoft, не обмежилися Гуамом. Близько трьох років тому, за словами американського урядовця, “ми просто почали виявляти дивні речі на об’єктах критичної інфраструктури в США”. Виявилося, як оголосило в лютому американське Агентство кібербезпеки і безпеки інфраструктури (CISA), що китайські зловмисники скомпрометували критично важливі національні активи по всій “континентальній і неконтинентальній частині Сполучених Штатів”. Сюди входили комунікаційні та енергетичні об’єкти, а також транспортні та водні об’єкти. Примітно, що цілями були не найбільші і найвідоміші об’єкти інфраструктури, а “широке коло” малих і середніх компаній, руйнування яких мало б далекосяжні наслідки.
Деякі об’єкти, такі як аеропорти, мали потенційну цінність для шпигунства – вони можуть бути корисними для відстеження людей, які перебувають у дорозі, – але інші не мали такої цінності. “Ми не побачили жодної шпигунської цінності у системі водопостачання або трубопроводі”, – каже чиновник. ЦРУ дійшло висновку, що суть полягала радше в тому, щоб проникнути в ці мережі і знайти “операційну технологію”, тобто інтерфейс між комп’ютерною мережею і фізичною системою – уявіть собі програмне забезпечення, яке керує водяним насосом або електричною підстанцією, – а потім вивести його з ладу.
Палаючі клавіатури
Китай перейшов би досить серйозну межу, знищивши такі речі, зазначив Роб Джойс, тодішній високопосадовець АНБ, розмірковуючи про втручання в березні. Виведення з ладу американської енергетики, водопостачання і транспорту в мирний час було б очевидним актом війни. Але уявіть, що війна вже розпочалася або ось-ось розпочнеться. “Китайська військова доктрина полягає в тому, щоб намагатися викликати паніку в суспільстві у свого супротивника”, – стверджувала в січні Джен Істерлі, директор ЦДАКР. Вона вказала на заворушення в травні 2021 року після того, як російські кіберзлочинці атакували американського оператора трубопроводу, перервавши на кілька днів постачання газу на східне узбережжя.
“А тепер уявіть, що це станеться в масовому масштабі, – попередила пані Істерлі. “Уявіть, що не один трубопровід, а багато трубопроводів вийшли з ладу. Телекомунікації виходять з ладу, і люди не можуть користуватися мобільним зв’язком. Люди починають хворіти від забрудненої води, потяги сходять з рейок, системи управління повітряним рухом і портовими системами виходять з ладу”. Китай, додала вона, вважає, що такі атаки “зламають американську волю” захищати Тайвань. Інші американські чиновники кажуть, що метою також є порушення перекидання американських військ і поставок в Азію.
Ідея проникнення в критично важливу інфраструктуру за допомогою кіберзасобів з метою її саботажу у воєнний час не нова. Американо-ізраїльська атака “Stuxnet”, яка вивела з ладу іранський ядерний об’єкт наприкінці 2000-х років, показала, що це можливо, так само як і російські диверсії в українській енергосистемі в 2015 і 2016 роках. Китай почав підглядати за американськими нафтогазовими компаніями ще у 2011 році. У 2012 році дослідники попередили, що російські хакери націлилися на понад 1000 організацій у більш ніж 84 країнах світу, в тому числі на промислові системи управління вітрових турбін і газових установок.
Штормова погода
Volt Typhoon виглядає інакше. По-перше, він ширший за своїми масштабами. “Схоже, що це перша систематична підготовча кампанія, яка закладе основи для широкомасштабних руйнувань”, – каже Кіаран Мартін, який колись очолював британське агентство з кібербезпеки. Але вона також розгорнулася в момент, коли війна між Америкою і Китаєм відчутно наблизилася, а війна в Європі стала відчутною. ГРУ, російська військова розвідка, здійснює безперервні кібератаки на українську інфраструктуру. Лише величезні оборонні зусилля, до яких долучилися західні компанії та союзники, захистили Україну від найгіршого.
Китайська та російська кампанії також розривають зв’язки з минулим в інший спосіб. Традиційні кібератаки були б пов’язані з характерною ознакою, наприклад, певним видом шкідливого програмного забезпечення або підозрілим сервером. Їх міг помітити старанний захисник. І Volt Typhoon, і ГРУ використовували більш приховані методи. Спрямовуючи атаки через звичайні маршрутизатори, брандмауери та інше обладнання, що використовується в будинках і офісах, вони робили так, щоб з’єднання виглядало легітимним. Лише одна китайська мережа використовувала 60 000 скомпрометованих роутерів, розповідає людина, знайома з цим епізодом. Це була одна з десятків таких мереж. Обидві групи також використовували методи “життя за межами землі”, коли зловмисники перепрофілювали стандартні функції програмного забезпечення, щоб їх було важче виявити. У деяких випадках ГРУ зберігало доступ до українських мереж роками, терпляче вичікуючи слушного моменту для удару.
Все це зробило полювання на Volt Typhoon “неймовірно складним”, каже Джон Хультквіст з Mandiant, компанії з кібербезпеки, яка є частиною Google. У відповідь Америка взялася за інструменти та інфраструктуру хакерів. У грудні ФБР вивело з ладу сотні застарілих маршрутизаторів Cisco і Netgear, двох американських компаній, які використовувалися Volt Typhoon для організації атак. Наступного місяця ФБР зробило те ж саме з сотнями маршрутизаторів, які використовувала ІДІЛ.
Америка і її союзники також хочуть мати кращу оборону в критично важливих секторах. Це було б досить важливим і без китайських хитрощів. Останніми роками кіберзлочинці, що базуються в Росії, завдали шкоди життєво важливим секторам західних країн за допомогою атак з вимогами викупу. Атака на лікарні в Лондоні цього місяця змусила Національну службу охорони здоров’я Великої Британії відступити. Тим часом Америка запровадила стандарти кібербезпеки для трубопроводів, авіації та залізниць. Але аналогічні заходи для водного сектору були скасовані в жовтні після того, як республіканські штати подали до суду на уряд. Три місяці також було втрачено на суперечки про те, чи вважати залізничну сигналізацію критично важливою інфраструктурою. Результат – хронічна кібернетична незахищеність.
Більш важливе питання полягає в тому, чи можна стримувати ворожі кібероперації – і якщо так, то які саме. Останніми роками термін “кібератака” став охоплювати практично усі види ворожої діяльності в комп’ютерних мережах. Проблема полягає в тому, що він об’єднує рутинний збір розвідданих, промислове шпигунство, інформаційні операції і дезінформаційні кампанії, довоєнні маневри всередині критичної інфраструктури (як Volt Typhoon) і руйнування в мирний час, такі як Stuxnet.
Західні уряди вже давно намагаються створити міжнародні норми поведінки, які б заборонили деякі з цих видів діяльності. Але ці зусилля були безуспішними і загрузли в плутанині. Американські урядовці, наприклад, намагаються відрізнити політичне шпигунство від комерційного. Крадіжка секретів з метою сприяння політиці – це нормально; крадіжка секретів з метою збільшення прибутку місцевих компаній – ні. На практиці, навіть союзники Америки не всі погоджуються з цим; Французькі шпигуни були відомі своїм комерційним шпигунством.
У 2019 році Пол Накасоне, тодішній голова АНБ, запропонував провести ще одну червону лінію: “Держави не повинні прагнути використовувати особисту інформацію інших держав”. Йшлося про викрадення Китаєм великих масивів даних з інформацією про державних службовців та пересічних громадян. Але це теж сіра зона. Коли китайські хакери викрали величезну кількість американських записів про допуск до секретної інформації, Майкл Гейден, колишній керівник АНБ і ЦРУ, відреагував спокійно. “Я б не замислювався двічі над тим, щоб здійснити еквівалентну крадіжку в китайській системі,”, – заявив він. Він додав, що це була “почесна шпигунська робота”. “Всі країни роблять це, в тому числі і наша”.
Табу на саботаж, здавалося б, має бути більш простим. Але це не так. “Попереднє позиціонування не суперечить нормам, – визнає американський чиновник, – доки ви щось не зробите”. Але навіть тоді багато видів саботажу дозволені законами, що регулюють збройні конфлікти. Америка бомбардувала електромережі Іраку в 1991 і 2003 роках і Сербії в 1999 році; досягнення тих же ефектів за допомогою коду по суті не є ні кращим, ні гіршим. Не дивно, що є ознаки того, що Америка копалася в інфраструктурі своїх ворогів. За часів адміністрації Обами АНБ готувалося вивести з ладу комунікаційні та електричні системи Ірану в разі зіткнення. А в 2019 році New York Times повідомила, що Америка з 2012 року встановлювала “імплантати” в російську електромережу.
Кібернетичні норми залишаються розмитими. Закони війни забороняють атаки – фізичні або цифрові – спрямовані виключно на те, щоб викликати паніку. Але з початком конфлікту можуть існувати законні військові причини для порушення роботи цивільних телефонних мереж і портів, які обслуговують американські війська. Хакери Пентагону відповіли б, що їхні власні атаки на російську і китайську інфраструктуру є більш виваженими, ніж масштабні вторгнення Volt Typhoon, і більш відповідальними, ніж безрозсудні атаки вірусу ГРУ на водосховища. Багато що залежить від того, як країна вирішує використовувати свій доступ до мережі. Річ у тім, що як хороші, так і погані диверсії можуть вимагати втручання в мирний час. “Реальність така, що наступну кібервійну ми маємо вести вже зараз, – каже пан Хултквіст. “Коли почнеться справжня війна, буде занадто пізно це робити. Це лише початкова сутичка”.
