День, коли мобільний зв’язок зник по всій країні: кібератака на «Київстар»

Уранці 12 грудня 2023 року мережа українського мобільного оператора «Київстар» перестала працювати через зовнішню кібератаку. Материнська компанія VEON (штаб-квартира в Амстердамі) того ж дня в розкритті інформації повідомила, що мережа «Київстару» стала мішенню «масштабної хакерської атаки» і що дзвінки та доступ до інтернету тимчасово недоступні. Це сталося взимку, майже через два роки після початку повномасштабного вторгнення Росії в Україну.

«Київстар» — найбільший мобільний оператор країни. За річним звітом VEON, станом на 31 грудня 2023 року він мав в Україні 23,9 млн абонентів мобільного зв’язку.

Що перестало працювати

Річні звіти VEON і Kyivstar Group, яка згодом вийшла на біржу, так описують послуги, що зупинилися через атаку: голосовий зв’язок і передавання даних у мобільній та фіксованій мережах, міжнародний роумінг, SMS тощо. Атака зачепила не лише абонентів в Україні, а й тих, хто перебував за кордоном.

У розкритті інформації в день атаки VEON пояснила, що, наскільки відомо компанії на той момент, персональні дані абонентів не скомпрометовано. Наступного дня, 13 грудня, Служба безпеки України (СБУ) повідомила, що цифровій інфраструктурі «Київстару» завдано «критичних уражень», тож відновлення всіх послуг із дотриманням процедур безпеки вимагає часу.

Тиждень до відновлення

Послуги відновлювали поетапно. Ось повідомлення компанії в хронологічному порядку.

Від атаки до оголошення про відновлення всіх послуг минув тиждень. У повідомленнях 14 і 15 грудня VEON і «Київстар» подякували правоохоронним органам, СБУ та державним органам за допомогу у відновленні.

Повідомлення СБУ

У день атаки, 12 грудня, СБУ повідомила, що відкрила кримінальне провадження за вісьмома статтями Кримінального кодексу. Серед них — несанкціоноване втручання в роботу комп’ютерних мереж (стаття 361), створення й розповсюдження шкідливих програм (стаття 361-1), а також диверсія (стаття 113), планування й ведення агресивної війни (стаття 437), порушення законів та звичаїв війни (стаття 438) тощо. На той момент СБУ розглядала причетність російських спецслужб як одну з версій слідства.

Наступного дня, 13 грудня, СБУ заявила, що відповідальність за атаку взяло на себе одне з російських «псевдохакерських угруповань», і назвала це угруповання хакерським підрозділом Головного управління Генерального штабу збройних сил Росії (ГРУ). За поясненням СБУ, ГРУ оприлюднює результати своїх атак через це угруповання. Служба також заявила, що й надалі документуватиме російські кібератаки на цивільну інфраструктуру як воєнні злочини.

4 січня 2024 року СБУ оприлюднила зміст інтерв’ю начальника Департаменту кібербезпеки СБУ Іллі Вітюка агентству Reuters. Він заявив, що атаку здійснило хакерське угруповання «Sandworm», штатний підрозділ російської воєнної розвідки, і що її готували багато місяців. За його словами, атака значно вплинула на цивільне населення, але не мала серйозного впливу на військовий зв’язок, а нові спроби атак, які були після масштабного проникнення, СБУ допомогла відбити.

У повідомленні від 4 квітня 2024 року СБУ заявила, що встановила хакерів ГРУ, які здійснили атаку, і що після завершення експертиз та оголошення підозр передасть матеріали справи до Міжнародного кримінального суду (МКС) у Гаазі. Відповідати, за словами СБУ, мають не лише хакери-виконавці, а щонайменше й командир військової частини та керівництво спецслужби.

У річному звіті Kyivstar Group за 2025 рік зазначено, що кримінальне провадження СБУ, у якому компанію визнано потерпілою, станом на 31 грудня 2025 року триває. Компанія повідомляє, що внутрішнє розслідування, проведене разом зі сторонньою компанією з кібербезпеки, завершила 2024 року.

Компенсація абонентам

Після того як мережа стабілізувалася, «Київстар» на знак «вдячності» абонентам надав на деяких видах тарифів місяць послуг безкоштовно (або зі знижкою). Компанія пояснює, що юридичного обов’язку робити це не мала. 21 грудня 2023 року вона оголосила, що передасть 100 млн гривень на благодійні ініціативи в Україні.

Ці заходи позначилися на фінансових результатах. У річному звіті Kyivstar Group вплив атаки й компенсацій на виручку оцінено приблизно в 23 млн доларів за 2023 рік і приблизно в 46 млн доларів за 2024 рік. У річному звіті VEON за 2023 рік вплив за 2023 рік оцінено в 0,8 млрд гривень виручки і 0,9 млрд гривень EBITDA (прибутку до вирахування відсотків, податків і амортизації), а також зазначено, що програми компенсації завершилися в першому півріччі 2024 року.

2025 рік: вихід на біржу в США

Через рік і вісім місяців після атаки «Київстар» вийшов на американський фондовий ринок. 14 серпня 2025 року завершилося об’єднання VEON і компанії спеціального призначення для придбань (SPAC) Cohen Circle (Cohen Circle Acquisition Corp. I), а 15 серпня звичайні акції холдингу Kyivstar Group (Kyivstar Group Ltd.) почали торгуватися на Nasdaq. Тікер — «KYIV». На момент завершення об’єднання VEON належало 89,6%.

Компанія називає себе єдиним на фондових ринках США інструментом для інвестування виключно в український бізнес. У річному звіті вона згадує атаку 2023 року серед факторів ризику й пише, що, хоча й працювала над усуненням вразливостей, які призвели до атаки, очікує, що й надалі зазнаватиме кібератак.

Як читати воєнні новини про те, «хто атакував», розрізняючи, хто і коли зробив заяву, пояснюємо у статті Що перевірити насамперед, читаючи новини про Україну. Про атаки на енергомережу у воєнний час див. також статтю про країну, чиї електростанції постійно атакують.