В Україні за 9 міс.-2026р кількість опрацьованих CERT-UA кіберінцидентів зросла на 22,4%, а кібершпигунство, фішинг та шкідливе ПЗ залишаються основними кіберзагрозами – директор департаменту кіберзахисту Адміністрації Держспецзв'язку

У межах місяця кібербезпеки директор департаменту кіберзахисту Адміністрації Державної служби спеціального зв'язку та захисту інформації України Дмитро Пахольченко у бліцінтерв'ю агентству "Інтерфакс-Україна" розповів про кількість зафіксованих кібератак за 9 міс.-2026, найпоширеніші типи кіберінцидентів, актуальні кіберзагрози для України та випадки застосування штучного інтелекту під час кібератак.

Текст: Ірина Дорош

– Скільки кібератак зафіксувала та опрацювала команда реагування CERT-UA за січень-вересень 2026 року? Як ці показники змінилися порівняно з аналогічним періодом 2025 року?

– Впродовж січня-вересня 2026 року CERT-UA зафіксувала та опрацювала 4839 кіберінцидентів, що на 22,4% більше порівняно з аналогічним торішнім періодом, протягом якого було опрацьовано 3955 таких випадків.

– Чи фіксує CERT-UA кібератаки, спрямовані безпосередньо на громадян України? Скільки таких інцидентів зафіксовано за 9-міс.-2026 та як цей показник змінився порівняно з даними рік тому? Які типи кіберзагроз найчастіше спрямовані на громадян України?

– Так, CERT-UA регулярно фіксує та досліджує кіберінциденти, спрямовані безпосередньо на громадян України. Серед основних кіберзагроз – фішингові кампанії, спрямовані на викрадення облікових даних, зокрема до месенджерів Telegram, Signal та інших онлайн-сервісів, а також розповсюдження шкідливого програмного забезпечення під виглядом легітимних застосунків, документів і програмних оновлень. Впродовж січня-вересня 2026 року CERT-UA зафіксувала та опрацювала близько 200 кіберінцидентів, спрямованих безпосередньо на громадян України.

За аналогічний період 2025 року було опрацьовано близько 80 таких інцидентів. Проте це не обов'язково свідчить про збільшення кількості кібератак проти громадян чи підвищення їхньої ефективності – на ці показники значною мірою впливає й те, що громадяни стали обізнанішими й частіше звертаються до нас.

– Які типи кібератак були найпоширенішими в цей період? Яка частка припадала на фішинг, шкідливе програмне забезпечення, кібершпигунство або інші типи?

– Серед кіберінцидентів, зафіксованих та опрацьованих CERT-UA, найбільшу частку становили випадки, пов'язані зі шкідливим програмним кодом (44,9%) та збором інформації зловмисниками (фішингом, 24,2%). Також фіксувалися інциденти, пов'язані з втручанням та спробами втручання в інформаційні системи, розповсюдженням шкідливого вмісту та шахрайством.

– Які хакерські угруповання були тоді найбільш активними? На які сектори та об'єкти вони переважно спрямовували атаки та з якою метою?

– Найбільшу активність протягом звітного періоду продемонстрували кластери кіберзагроз UAC-0050, UAC-0010, UAC-0246 та UAC-0150. Якщо ми говоримо про кластер кіберзагроз, то це група кібератак, які фахівці з кібербезпеки об'єднують, бо вони мають спільні ознаки, наприклад, однакові інструменти та шкідливі програми, схожі прийоми злому чи ту саму інфраструктуру. Такий збіг дає підстави вважати, що за атаками стоїть один і той самий виконавець або пов'язані між собою виконавці, навіть якщо ще невідомо, хто саме це.

Відповідно, кожному кластеру присвоюють умовне позначення. Наприклад, в Україні CERT-UA використовує ідентифікатори формату UAC-XXXX, що дає змогу відстежувати активність угруповання, передбачати його наступні кроки та заздалегідь захищатися.

Серед основних об'єктів кібератак – державні органи, органи місцевого самоврядування, установи сектору безпеки та оборони, підприємства критичної інфраструктури, а також представники комерційного сектору.

Активність зловмисників була спрямована переважно на викрадення облікових даних та інформації, отримання несанкціонованого доступу до інформаційних систем і забезпечення подальшої присутності в скомпрометованому середовищі. Також фіксувалися кампанії з розповсюдження шкідливого програмного забезпечення, призначеного для віддаленого керування пристроями та збору інформації.

– Чи фіксує CERT-UA випадки використання зловмисниками ШІ під час цих кібератак?

– У січні-вересні 2026 року CERT-UA фіксувала ознаки можливого використання технологій штучного інтелекту зловмисниками, зокрема під час підготовки фішингових повідомлень, створення підроблених вебсторінок та розроблення програмного коду. Водночас виявлення окремих ознак не дозволяє однозначно встановити факт застосування штучного інтелекту та потребує додаткового технічного аналізу.

Окремий облік кіберінцидентів за ознакою використання технологій штучного інтелекту не здійснюється, тому визначити кількість таких випадків та порівняти їх з аналогічним періодом 2025 року наразі неможливо.

Попри відсутність окремого обліку практика нашої роботи свідчить, що зловмисники вдаються до інструментів ШІ значно частіше, ніж торік.

За нашими спостереженнями, вони застосовують технології штучного інтелекту на різних етапах кібератак: підготовки фішингових повідомлень з урахуванням особливостей цільової аудиторії, створення текстового та графічного вмісту підроблених вебресурсів, для розроблення та вдосконалення шкідливого програмного забезпечення тощо.

Використання ШІ дозволяє зловмисникам автоматизувати окремі етапи атак і створювати грамотні та переконливі тексти будь-якою мовою, тож мовні помилки вже не є надійною ознакою фішингу. Крім того, такі технології знижують поріг входу, і проводити атаки стає під силу навіть недостатньо кваліфікованим особам.

– Які основні кіберзагрози для України Держспецзв'язку вважає найбільш актуальними у 2026 році? Чи змінилися тактики та інструменти зловмисників порівняно з попереднім роком?

– Основними кіберзагрозами для України залишаються кібершпигунство, розповсюдження шкідливого програмного забезпечення, фішингові кампанії, кібератаки деструктивного характеру, а також діяльність фінансово вмотивованих кіберзлочинних угруповань.

Серед основних цілей кібератак – державні органи, органи місцевого самоврядування, установи сектору безпеки та оборони, підприємства енергетичної галузі та інші об'єкти критичної інфраструктури. Діяльність зловмисників спрямована переважно на отримання несанкціонованого доступу до інформаційних систем, викрадення інформації та облікових даних, забезпечення довготривалої присутності в скомпрометованому середовищі, а також порушення функціонування інформаційних систем.

Порівняно з 2025 роком продовжують фіксуватися зміни в тактиках, техніках та процедурах зловмисників. Зокрема, спостерігається оновлення інструментарію шкідливого програмного забезпечення, а також застосування легітимних програмних засобів і вебсервісів для реалізації кібератак.

Крім того, зловмисники дедалі частіше використовують техніку соціальної інженерії ClickFix, яка передбачає спонукання користувачів до самостійного виконання шкідливих команд під приводом усунення технічних проблем або проходження перевірки. Водночас традиційні способи первинної компрометації, зокрема електронні листи зі шкідливими вкладеннями та посиланнями, залишаються актуальними.

– Раніше в інтерв'ю агентству голова Держспецзв'язку Олександр Потій заявляв про плани до кінця 2028 року сформувати команди кіберзахисту в кожній області для підтримки мінімального його рівня в регіоні. На якому етапі наразі перебуває реалізація цієї ініціативи? Скільки таких команд уже сформовано та скільки планується ще створити до кінця року?

– Завдання з розвитку мережі регіональних команд кіберзахисту в кожній області є для Держспецзв'язку одним з пріоритетних на найближчі роки. Проте варто наголосити, що саме команда реагування – CSIRT – є лише одним із компонентів тих регіональних центрів, які ми прагнемо побудувати.

Команди реагування CSIRT вже створено в кожній області. Це фахівці, які розпочали виконувати завдання на місцях, використовуючи наявні ресурси. Але наразі ми не маємо на увазі фізичну інфраструктуру, а говоримо лише про фахове ядро.

Надалі ми плануємо нарощувати спроможності цих команд, залучаючи більше фахівців, створюючи умови для їх роботи: відповідну фізичну інфраструктуру та програмно-апаратні ресурси, які необхідні їм для ефективної роботи в регіонах.

Кінцевою метою є створення в кожній області повноцінних регіональних центрів кіберзахисту, які містять три компоненти, як-от оперативне реагування, локалізація та стримування атак, усунення наслідків інцидентів та відновлення штатної роботи систем (CSIRT); цілодобовий (24/7) контроль інфраструктури, виявлення аномалій і загроз у режимі реального часу, первинний аналіз подій безпеки (SOC) та тренінговий компонент, що передбачатиме підвищення кібергігієни співробітників, практичні симуляції атак і навчальні кіберполігони (Cyber Range).

Цей процес значною мірою залежить від безпекової ситуації, оскільки такі фахівці становлять інтерес для ворога та є цілями для ураження. Проте не розвивати мережу кіберцентрів ми не можемо, враховуючи загрози у кіберпросторі для нашої критичної інформаційної інфраструктури та державних сервісів.

– Які країни станом на зараз посилюють допомогу Україні у питанні кібербезпеки? На що спрямовується ця допомога?

– Серед наших ключових партнерів, які сьогодні активно посилюють допомогу Україні, – США, Велика Британія, Естонія, Литва та Польща, а також інші держави – учасниці спеціальних міжнародних форматів. Ця допомога фокусується на захисті критичної інфраструктури, розвитку систем виявлення загроз, захисті даних та підготовці фахівців.

З міркувань безпеки ми не розголошуємо деталі конкретних технічних рішень та поточних потреб, але загалом таку співпрацю можна розділити на кілька ключових напрямів. До них ми відносимо координаційні платформи та військово-цивільні коаліції, куди входить Талліннський механізм та ІТ-коаліція, до інших напрямків – глибоку європейську та євроатлантичну інтеграцію. Зокрема, у червні 2026 року Рада ЄС офіційно внесла Україну до Кіберрезерву в межах Акта ЄС про кіберсолідарність. Держспецзв'язку визначено єдиним контактним пунктом від нашої країни. Також відбувається взаємодія з Центром НАТО з кібероборони (CCDCOE), Агентством ЄС з кібербезпеки (ENISA) та залучені до Керівної ради Європейського центру компетенцій (ECCC).

Серед іншого було укладено 15 меморандумів, зокрема три з приватними організаціями для обміну інформацією про атаки, спільних R&D-проєктів та навчання, а наприкінці 2025 року проведено важливі раунди діалогів із ЄС та Нідерландами, які заклали основу для поточних спільних проєктів.

– Які заходи Держспецзв'язку реалізує для посилення кіберзахисту України та які результати цієї роботи можна оцінити за січень-вересень цього року?

– За 9 місяців 2026 року було прийнято 17 нормативно правових та організаційно-розпорядчих наказів Адміністрації Держспецзв'язку для впорядкування засобів реалізації заходів з кіберзахисту, процедур оцінювання стану захищеності та здійснення державного контролю, а також розбудову та врегулювання Національної системи реагування на кіберінциденти, кібератаки та кіберзагрози (CERT-UA / CSIRT / MISP).

Крім того, в межах CISO Campus бпроведено 2 повних тренінги, заплановано запуск 8 нових навчальних програм, а проєкт вже підтримують 5 міжнародних партнерів. Також розроблено та проведено 5 програм (ЗКППК), підготовку за якими пройшов 771 слухач держсектору (частина отримала сертифікацію).

Серед іншого Держспецзв'язком проведено ряд тренінгів та воркшопів спільно, таким чином організовано понад 350 навчальних заходів із кібергігієни.

– Які рекомендації Держспецзв'язку може надати громадянам для захисту персональних даних та облікових записів від актуальних кіберзагроз?

– Щоб захиститися від актуальних загроз, важливо насамперед перекрити ворогу шляхи до своїх облікових записів. Тут головним правилом є використання складних та обов'язково унікальних паролів для кожного сервісу, а також обов'язкове ввімкнення двофакторної автентифікації.

Вкрай важливо проявляти пильність також під час щоденного користування мережею. Необхідно постійно перевіряти адреси відправників листів та сайтів перед тим, як вводити будь-які персональні дані, і ніколи не відкривати підозрілі посилання чи вкладення з неперевірених джерел. Софт варто завантажувати лише з офіційних джерел та обов'язково регулярно робити резервні копії важливих документів і файлів.

У разі виявлення ознак компрометації облікового запису необхідно невідкладно змінити пароль, завершити сторонні активні сеанси та перевірити налаштування безпеки відповідного сервісу.