Російське державне хакерське угруповання Star Blizzard розсилає фальшиві запрошення на конференції та заходи, щоб змусити жертв встановити бекдор на компʼютери з Windows. Про це йдеться у звіті Microsoft Threat Intelligence, опублікованому 29 вересня 2026 року.

Під прицілом — українські громадяни та установи, а також міжнародні неурядові організації, аналітичні центри, уряди й фінансові інституції, що політично чи фінансово підтримують Україну. За даними Microsoft, кампанії зачепили понад 100 організацій — переважно у США та Великій Британії. Щонайменше в одному випадку на компʼютер жертви було встановлено бекдор — програму для прихованого віддаленого доступу. Скільки саме організацій зазнали зламу, компанія не розголошує.

Хто стоїть за атаками

У грудні 2023 року спецслужби США, Великої Британії, Австралії, Канади та Нової Зеландії у спільному попередженні заявили, що Star Blizzard майже напевно діє у структурі Центру 18 Федеральної служби безпеки росії. Угруповання також відоме як SEABORGIUM, COLDRIVER, Callisto та TA446. Воно давно викрадає паролі до електронної пошти, видаючи себе за людей, яких знають його жертви.

Ще у 2023 році угруповання використовувало як приманку фальшиві запрошення на конференції: спершу листувалося з ціллю і лише потім надсилало шкідливе посилання. У 2026 році воно вперше перейшло від поодиноких точкових атак до масових розсилок. Microsoft нарахувала щонайменше 13 таких кампаній, кожна з яких налічувала від десятків до сотень листів, — і це на додачу до звичного для угруповання точкового фішингу.

Україна як полігон

Перші кампанії, у січні та лютому, імітували звернення українських органів влади: користувачам поштового сервісу Ukr.net надходили фальшиві повідомлення про результати податкової перевірки та списання коштів для сплати штрафу. З березня угруповання вийшло за межі України. У Microsoft припускають, що Україна могла слугувати майданчиком для випробування нових можливостей перед атаками на глобальні цілі.

Українська тематика втім не зникла. У липні готелі Києва отримували фальшиві повідомлення про тимчасове відключення водопостачання, а в серпні працівникам міжнародної фінансової організації надсилали нібито платіжне повідомлення.

Microsoft також повʼязує техніки угруповання з червневою кампанією проти українського громадянського суспільства, яку описала Лабораторія цифрової безпеки (Digital Security Lab Ukraine). Починаючи з 10 червня 2026 року зловмисники від імені польського політика Павла Коваля розсилали фальшиві запрошення на Конференцію з питань відновлення України (Ukraine Recovery Conference). Серед адресатів були журналісти, економісти та адвокаційні платформи, які працюють над євроатлантичною інтеграцією, конфіскацією російських активів і притягненням росії до відповідальності за воєнні злочини. Лабораторія не назвала атакувальників і не змогла отримати фінальне корисне навантаження.

Як встановило видання The Hacker News, два індикатори компрометації фігурують і у списку Microsoft, і в червневому звіті: IP-адреса 103.160.59[.]97 та домен secure-dns-hub[.]com. Проте сам по собі цей збіг не доводить, що обидві кампанії провело одне угруповання. За даними Microsoft, домен secure-dns-hub[.]com досі використовується в активних кампаніях.

Від ClickFix до RedFlick

З березня розсилки ведуться з поштових акаунтів, створених на сайтах під керуванням WordPress і cPanel. У Microsoft з високим ступенем упевненості вважають, що угруповання зламало ці сайти саме з цією метою. Раніше зловмисники переважно користувалися безкоштовними поштовими сервісами на кшталт Proton та споживчими акаунтами Microsoft.

Змінився й спосіб зараження. У 2025 році Star Blizzard поширювало шкідливе ПЗ через фальшиві сторінки CAPTCHA, які змушували жертв власноруч запускати команди, — цей метод відомий як ClickFix. Такий ланцюжок вимагав від жертви кількох дій. Цього року угруповання перейшло на техніку, яку Microsoft назвала RedFlick: їй достатньо однієї взаємодії користувача. RedFlick використовує заплановані завдання — задачі, які Windows виконує автоматично, — щоб встановити бекдор CosmicPulse.

Як виглядає приманка

Організаторами заходів у запрошеннях указано відомі аналітичні центри та неурядові організації — зокрема Chatham House, Atlantic Council та Міжнародний інститут стратегічних досліджень (IISS). Чимало листів складено так, ніби вони надходять зсередини організації-цілі.

Перший лист зазвичай не містить вкладень. Якщо адресат відповідає, зловмисники надсилають захищений паролем архів RAR або ZIP, а сам пароль подають у вигляді зображення. Як пояснюють у Лабораторії цифрової безпеки, так шкідливий файл потрапляє лише до тих, хто вже зацікавився, а перший лист без вкладень легко проходить поштові фільтри.

Одна з березневих кампаній працювала інакше. За даними Microsoft, ті, хто відповів на запрошення від імені Atlantic Council, отримали замість бекдору для Windows посилання на DarkSword — набір експлойтів для iPhone. Про березневі листи угруповання з тематикою Atlantic Council, а також про різке зростання обсягів його розсилок повідомляла і компанія Proofpoint.

Trellix виявила чотири такі листи, надіслані 26 березня протягом 66 хвилин. Кожен імітував звернення президента Atlantic Council Фредеріка Кемпе й запрошував адресата, звертаючись до нього на імʼя, на закриту стратегічну дискусію. Серед цілей — посадовці офісу президента однієї з центральноєвропейських країн, міністерства закордонних справ європейської держави, федерального відомства США та європейської аерокосмічної компанії. У тому, що листи вели саме до DarkSword, Trellix упевнена із середнім ступенем: сторінки з експлойтами на момент дослідження вже не працювали, а код експлойта отримати не вдалося.

Як бекдор потрапляє в систему

Microsoft відстежила кілька версій ланцюжка зараження. В усіх атаку запускає файл-ярлик (LNK), замаскований під PDF, а інсталяційний пакет Windows Installer (MSI) створює заплановані завдання.

Відкриття ярлика непомітно запускає команди, які завантажують інсталятор з віддаленого сервера. У січні ярлик був схований у файлі віртуального диска VHDX, а прихований скрипт завантажував інсталятор за допомогою програми SSH. У липні ярлик завантажував PDF-файл із прихованою командою, яка намагалася отримати інсталятор.

У версії, зафіксованій у квітні, інсталятор створював три заплановані завдання з назвами, що імітують звичайні мережеві компоненти:

• Internet Quality Test Connection
• Network Configuration Manager
• System Health Monitor

Перше завдання надсилає імʼя компʼютера та імʼя користувача на командний сервер (C2) угруповання і може запускати додатковий код з віддаленого джерела. Друге налаштовує WebDAV — функцію Windows, яка відкриває вебадресу як звичайну папку. Третє за допомогою control.exe — програми Панелі керування Windows — запускає наступний етап атаки з сервера C2.

Цей етап — завантажувач, замаскований під елемент Панелі керування. Він встановлює CosmicPulse — бекдор, написаний на Python. У попередніх звітах цей завантажувач фігурував під назвами NOROBOT та BAITSWITCH.

Що варто перевірити

Microsoft оприлюднила запити для пошуку загроз (hunting queries) та індикатори компрометації, а також рекомендації для державних органів, неурядових організацій та аналітичних центрів, які працюють над політикою щодо України або підтримують її. Компанія також сповіщає клієнтів, яких вважає цілями атак або вже скомпрометованими.

Організаціям, які можуть опинитися під прицілом, радять:

1. Перевіряти адреси відправників. У цих кампаніях назва справжньої організації стоїть перед знаком @, а не в домені. За найменших сумнівів варто звʼязатися з відправником за вже відомим номером телефону чи адресою.
2. Шукати в системі три згадані вище назви запланованих завдань, а також виявлення Microsoft Defender: Trojan:Script/RedFlick, Backdoor:Script/CosmicPulse та Backdoor:Python/CosmicPulse.
3. Розширити часовий діапазон трьох запитів Defender XDR від Microsoft: в опублікованому вигляді вони охоплюють лише останні 7 днів. Розширений пошук (advanced hunting) у Defender зберігає необроблені дані до 30 днів, тож для перевірки з січня потрібні журнали з довшим терміном зберігання — наприклад, у Microsoft Sentinel.
4. Блокувати або обмежити вихідні SSH-зʼєднання, які не потрібні для роботи. Січнева версія атаки завантажувала інсталятор саме через SSH.
5. Увімкнути правила зменшення поверхні атаки (ASR) у Microsoft Defender, що блокують рідкісні, нові або ненадійні виконувані файли та обфусковані скрипти.
6. Використовувати методи входу, стійкі до фішингу, — наприклад, ключі доступу. Угруповання досі краде паролі за допомогою Evilginx — інструмента, який здатен також викрадати сесійні файли cookie й обходити двофакторну автентифікацію.
7. Оновити iPhone до iOS 26.3 або новішої версії — вона виправляє всі шість вразливостей, які використовує DarkSword. Для пристроїв, що залишаються на iOS 18, Apple випустила окремі оновлення з виправленнями. Там, де оновлення поки неможливе, Trellix радить увімкнути режим блокування (Lockdown Mode).

Публічний звіт Microsoft не містить конкретних кроків з очищення компʼютера, на якому виявлено ці завдання. Клієнти Defender XDR можуть звернутися до звітів аналітики загроз (threat analytics) компанії — там наведено рекомендовані дії з реагування.

Ця стаття Star Blizzard атакує організації, повʼязані з Україною: фейкові запрошення на заходи ведуть до бекдору CosmicPulse раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Європейський Союз і Велика Британія спільно запровадили санкції проти десятків російських осіб та організацій, звинувативши росію в координації мережі хакерських угруповань, відповідальних за атаки по всій Європі.

Рада Європейського Союзу оголосила про санкції проти девʼяти осіб і чотирьох організацій, серед яких — офіцери російської військової розвідки (ГРУ) та кіберзлочинці. Велика Британія окремо запровадила санкції проти 24 осіб та організацій, зокрема високопоставлених представників ГРУ Вʼячеслава Стафєєва, Івана Сеніна та Івана Касьяненка, які, за даними офіційних осіб, керували кібер- і гібридними операціями.

Британія також наклала санкції на працівників компанії IMPULS, яку звинувачують у вербуванні хакерів із російських університетів, а також на осіб, повʼязаних зі шкідливим ПЗ Lumma Stealer: за даними британської влади, лише за пів року від нього постраждали щонайменше 2100 жертв у країні. Крім того, під обмеження потрапили десять осіб, повʼязаних із медіаресурсом Rybar LLC, — за поширення антиукраїнських наративів та ймовірне втручання у вибори в Молдові та Вірменії.

Рада ЄС також публічно ідентифікувала 16-й Центр Федеральної служби безпеки (ФСБ) росії як структуру, що контролює низку кіберзагрозних угруповань, зокрема сумнозвісну хакерську групу Turla.

За даними офіційних осіб, підрозділ роками атакував урядові мережі та критичну інфраструктуру Франції, Німеччини, Польщі, Кіпру, Нідерландів, Австрії, Словаччини, Румунії та Фінляндії, а кампанії кібершпигунства проти урядових і оборонних цілей веде з 2010 року.

Хакерів Turla також повʼязують із нещодавньою невдалою атакою на критичну інфраструктуру Польщі, зокрема на обʼєкти енергосистеми — теплоелектроцентралі. За оцінками польської влади, у разі успіху атака могла б залишити без електроенергії близько 500 000 людей посеред зими.

«Кіберзлочинці, самопроголошені хактивісти та приватні компанії, повʼязані з росією, зокрема субʼєкти, що діють за її вказівками, під її керівництвом чи контролем, також здійснювали, уможливлювали та підтримували широкий спектр зловмисних дій. Ми рішуче засуджуємо поведінку росії та зловживання цією кіберекосистемою, спрямовані проти публічних сервісів і критичної інфраструктури, що спричиняють збої та фінансові збитки», — заявили в Раді ЄС.

«У відповідь на зловмисну діяльність ЄС також запроваджує обмежувальні заходи проти девʼяти осіб і чотирьох організацій. Ці санкції охоплюють офіцерів розвідки ГРУ, а також кіберзлочинців, самопроголошених хактивістів і приватні компанії, які долучаються до зусиль росії з дестабілізації ЄС, його держав-членів та міжнародних партнерів».

Нагадаємо, наприкінці грудня зловмисники атакували польську енергосистему, зокрема дві теплоелектроцентралі та систему керування відновлюваною енергетикою, однак спричинити відключення електроенергії їм не вдалося. Дослідники ESET згодом повʼязали інцидент із підтримуваним російською державою угрупованням Sandworm, яке намагалося розгорнути деструктивне шкідливе ПЗ DynoWiper для знищення даних на скомпрометованих пристроях.

Нещодавно Польща також заблокувала кібератаку на ІТ-інфраструктуру Національного центру ядерних досліджень (NCBJ) — головного державного інституту країни, що спеціалізується на ядерній фізиці, реакторних технологіях і фізиці елементарних частинок.

Нинішні санкції зʼявилися невдовзі після січневої пропозиції Європейської комісії щодо нового кібербезпекового законодавства, покликаного посилити захист від кіберзлочинності та підтримуваних державами угруповань, які атакують критичну інфраструктуру Європи.

Ця стаття ЄС і Велика Британія запровадили санкції проти російських військових хакерів за кібератаки раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Росія заблокувала доступ до соціальної мережі Bluesky — ще одного майданчика, який користувачі обрали після послідовних обмежень на інші платформи. Bluesky внесено до реєстру заборонених сайтів, який веде Роскомнадзор — регулятор у сфері інтернет-цензури. Офіційних пояснень відомство поки не надало.

Планомірне зачищення

Роскомнадзор планомірно обмежує доступ до іноземних сервісів з початку повномасштабного вторгнення в Україну. За останні роки в росії заблоковано або суттєво обмежено Facebook, Instagram, X (колишній Twitter), Discord, Signal, Viber, WhatsApp, а нещодавно — і Telegram. Офіційне обґрунтування зазвичай однакове: невиконання вимог російського законодавства або «сприяння шахрайству і кіберзлочинності».

Саме цей ланцюжок блокувань і привів частину користувачів до Bluesky. «Послідовне закриття Discord, Signal, Viber, WhatsApp і тепер Telegram підштовхнуло людей до альтернативних сервісів, які ще залишалися доступними — зокрема до Bluesky. І Роскомнадзор це помітив», — пояснює Олексій Козлюк, експерт організації із захисту цифрових прав RKS Global.

Що таке Bluesky і чому він важливий

Bluesky — децентралізована соціальна мережа, яка різко виросла у 2024 році після хвилі відходів з X, повʼязаної з переобранням Дональда Трампа та курсом Ілона Маска на платформі. Сьогодні мережа налічує близько 43,7 млн користувачів — значно менше, ніж X чи Threads від Meta (кожна з яких має сотні мільйонів активних користувачів на місяць), але аудиторія продовжує зростати.

У росії Bluesky мала лише невелику базу — переважно технічно грамотні користувачі, які шукали відкритий майданчик після блокувань інших платформ.

VPN — єдиний вихід, але й він під тиском

Як і в разі з більшістю заблокованих сервісів, Bluesky залишається технічно доступним через VPN. Проте кремль активно намагається обмежити і використання VPN-інструментів, роблячи обхід цензури дедалі складнішим для пересічного користувача.

Паралельно російська влада продовжує практику тимчасових відключень мобільного інтернету в окремих регіонах, посилаючись на «міркування безпеки». Прес-секретар кремля Дмитро Пєсков назвав ці обмеження тимчасовим заходом і визнав, що вони «завдають незручностей», але зазначив: «Так зараз є».

Тенденція, а не виняток

Блокування Bluesky вписується в системну стратегію російської влади — поступово відрізати громадян від незалежних глобальних інформаційних платформ і загнати їх у контрольований інформаційний простір. Щоразу, коли виникає нова альтернатива, вона потрапляє в поле зору Роскомнадзору.

Для решти світу цей кейс є черговим нагадуванням: вільний доступ до інтернету — не даність, а цінність, яку треба захищати.

Ця стаття Росія заблокувала Bluesky: Роскомнадзор розширює інтернет-цензуру раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Спецслужби Німеччини, ФБР та АНБ попереджають про масштабну хакерську кампанію, спрямовану проти роутерів TP-Link та інших виробників. За атаками стоїть російське угруповання Fancy Bear (APT 28), яке використовує вразливості у маршрутизаторах для перехоплення інтернет-трафіку та викрадення конфіденційної інформації.

Хто атакує і навіщо

Угруповання Fancy Bear, пов’язане з російською військовою розвідкою ГРУ, раніше здійснювало кібератаки на компанії, що підтримують Україну, на німецьку службу управління авіарухом та штаб-квартиру партії СДПН у Німеччині. Тепер хакери переключилися на інфраструктуру звичайних користувачів і організацій.

Федеральне відомство із захисту конституції Німеччини (BfV) повідомило, що угруповання «інфільтрувало вразливі роутери TP-Link по всьому світу з метою отримання військової інформації, державних даних або відомостей про критичну інфраструктуру». За даними Spiegel Netzwelt, ще в середині березня низку компаній та приватних осіб було повідомлено про загрозу — зокрема, з переліком уражених пристроїв. У розслідуванні також беруть участь ФБР та АНБ США. Перші задокументовані інциденти датуються щонайменше 2024 роком, а в Німеччині вже ідентифіковано 30 пристроїв, які могли бути використані для таких атак.

Як працює атака

Застосована техніка отримала назву DNS hijacking — «викрадення DNS». Зламавши роутер, хакери змінюють налаштування DNS-серверів, унаслідок чого користувач замість справжнього сайту потрапляє на підроблений. Мета — змусити людину ввести логін, пароль або банківські дані. В окремих випадках шкідливе ПЗ потрапляє на пристрій через завантаження файлів із таких фальшивих ресурсів.

Як захиститися

Уразливість у роутерах TP-Link, яку використовують зловмисники, вже виправлена виробником. Власникам таких пристроїв рекомендується якнайшвидше перевірити наявність актуального оновлення прошивки та встановити його через панель адміністрування роутера.

Також варто звертати увагу на типові ознаки DNS hijacking:

• часті перенаправлення на сторонні сайти;
• попередження від браузера або антивірусного програмного забезпечення;
• помітне збільшення кількості спливаючих вікон і підозрілої реклами;
• незвично тривале завантаження сторінок попри стабільне з’єднання;
• змінені адреси DNS-серверів у налаштуваннях роутера.

Ця стаття Fancy Bear: російські хакери атакують роутери TP-Link для викрадення паролів і держданих раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Федеральна служба безпеки росії (ФСБ) затримала колишнього позаштатного журналіста Радіо Свобода за звинуваченням у державній зраді. За версією слідства, він передавав інформацію Україні, яка нібито використовувалась для кібератак проти російських об’єктів, — повідомляє The Record.

Що відомо про затримання

Згідно із заявою ФСБ для державних ЗМІ, підозрюваний приєднався до Telegram-каналу, який контролює Служба безпеки України (СБУ), і передав туди інформацію про місцеве друковане видання, що висвітлює війну росії проти України, а також дані про об’єкт критичної інфраструктури в регіоні. Влада стверджує, що ця інформація була використана для організації кібератак.

Після обшуку вдома підозрюваного правоохоронці вилучили комп’ютерну техніку та засоби зв’язку, які ФСБ назвала доказами діяльності, «спрямованої проти безпеки росії». Підозрюваного взяли під варту.

ФСБ не назвала прізвища затриманого. Утім, незалежне російське видання 7×7 повідомило, що справа, найімовірніше, стосується 65-річного Олександра Андрєєва — журналіста із Забайкальського краю, який співпрацював із кількома місцевими медіа та був дописувачем Радіо Свобода на початку 2010-х років.

Російські силові структури стверджують, що підозрюваний співпрацював із так званими «антиросійськими правозахисними організаціями» і після початку війни з Україною «зайняв чітко проукраїнську позицію».

Радіо Свобода публічно не коментувала затримання. Варто зазначити, що у 2020 році Міністерство юстиції росії визнало видання «іноземним агентом», а у 2025 році прокуратура оголосила його «небажаною організацією», фактично заборонивши діяльність у країні. Радіо Свобода (Radio Free Europe/Radio Liberty) — американський медіапроєкт із державним фінансуванням, заснований свого часу з орієнтацією на аудиторію радянських країн-сателітів.

Обшук у редакції «Новой газеты»

Того ж дня, в четвер, російські силові структури провели обшук у московській редакції «Новой газеты». Газета підтвердила це у власній заяві, однак влада не розкрила підстав для проведення обшуку.

Джерело у правоохоронних органах, на яке посилається державне агентство РІА Новості, повідомило, що операція пов’язана зі слідством щодо незаконного використання персональних даних. Інше джерело розповіло агентству ТАРС, що слідчі перевіряють можливі зв’язки «Новой газеты» з «Новой газетой Европа» — виданням, визнаним в росії «небажаним», — а також з Антивоєнним комітетом росії, якому Москва присвоїла статус терористичної організації.

Telegram під прицілом ФСБ

Справа журналіста Радіо Свобода — лише остання у серії кримінальних проваджень, пов’язаних із діяльністю у месенджері Telegram.

На початку цього місяця російські силові структури в окупованому Севастополі затримали місцевого жителя за підозрою у поширенні через платформу закликів до тероризму та екстремізму.

З лютого російська влада відкрила щонайменше три кримінальні справи, пов’язані з функцією віртуальної валюти Telegram — Telegram Stars. За версією слідства, ця функція використовувалась для фінансової підтримки організацій, заборонених у росії, зокрема Легіону «Свобода росії» — підрозділу, що воює на боці України.

В іншій справі минулого листопада в Москві був заарештований 21-річний підприємець у сфері технологій та фахівець з кібербезпеки. Його звинуватили у державній зраді після того, як він розкритикував у своєму Telegram-каналі державне антикіберзлочинне законодавство та підтримуваний Кремлем месенджер Max.

Попри те що російська влада дедалі активніше намагається обмежити Telegram, месенджер залишається широко використовуваним у країні. Засновник Telegram Павло Дуров заявив минулого тижня, що попри спроби Кремля заблокувати або обмежити сервіс, близько 65 мільйонів росіян щодня користуються додатком — часто через VPN.

«Уся нація мобілізована, аби обійти ці абсурдні обмеження», — написав Дуров у своїй заяві. «Зі свого боку ми продовжуватимемо адаптуватися — робитимемо трафік Telegram складнішим для виявлення та блокування».

Ця стаття Росія звинуватила колишнього журналіста Радіо Свобода у сприянні кібератакам на користь України раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Служба зовнішніх дій Європейського Союзу (EEAS) опублікувала четвертий щорічний звіт про загрози іноземних інформаційних маніпуляцій та втручань (FIMI). Документ охоплює весь 2025 рік і фіксує безпрецедентне зростання масштабів і складності операцій впливу — насамперед з боку росії та Китаю. Штучний інтелект, сфабриковані ЗМІ та скоординовані мережі фейкових акаунтів стали стандартним інструментарієм гібридної війни в інформаційному просторі.

540 інцидентів, 10 500 каналів, 43 000 одиниць контенту

Протягом 2025 року аналітики EEAS виявили та задокументували 540 FIMI-інцидентів. У них було задіяно близько 10 500 унікальних каналів — від сфабрикованих новинних сайтів до акаунтів у соціальних мережах і блогів. Загалом зафіксовано близько 43 000 одиниць контенту (тексти, аудіо, відео) на 19 різних платформах.

Із задокументованих інцидентів 29% атрибутовано росії, 6% — Китаю. Однак 65% випадків залишаються неатрибутованими, хоча демонструють ознаки координації з інфраструктурами, повʼязаними з Москвою чи Пекіном. Обидві держави активно використовують приховані мережі, щоб зберегти «правдоподібне заперечення» своєї причетності і ускладнити розслідування.

Лідером за обсягами контенту залишається платформа X — на неї припадає 88% зафіксованих публікацій. Telegram домінує серед аудиторій Східної Європи, зокрема України, тоді як Facebook широко використовується для операцій, спрямованих на конкретні африканські країни.

ШІ перетворився на стандартний інструмент дезінформації

Одним із ключових висновків звіту стало різке зростання використання штучного інтелекту у FIMI-операціях. Якщо 2024 року ШІ застосовувався у 41 задокументованому інциденті, то 2025-го — вже у 147, тобто зростання становить близько 259%. Загалом ШІ-інструменти задіювалися у кожному четвертому виявленому інциденті.

Генеративні моделі використовуються для масового виробництва текстового контенту на кількох мовах одночасно із застосуванням уніфікованих шаблонів. Синтетичне аудіо перейшло від експериментального формату до стандартного прийому у виробництві відео — зокрема з клонуванням голосів реальних осіб. ШІ-відео, що видають себе за справжніх людей, стають дедалі переконливішими: їх активно використовували під час молдовських виборів.

Показово, що деякі поширені ШІ-інструменти самі перетворюються на обʼєкт маніпуляцій. Зокрема, підозрюється, що проросійська мережа Portal Kombat («Правда») цілеспрямовано «засмічує» простір низькоякісним багатомовним контентом, щоб вплинути на навчальні дані великих мовних моделей і впровадити фейки до їхніх баз знань. Незважаючи на масштаб, більшість ШІ-генерованого контенту 2025 року залишалася низькоякісною — зловмисники надавали перевагу кількості над якістю, через що органічне залучення аудиторії лишалося низьким.

Україна — головна мішень: три стратегічні наративи Кремля

Четвертий рік поспіль Україна залишається основною мішенню російського інформаційного впливу. Аналітики EEAS виокремили три ключові цілі Кремля:

• зниження міжнародної підтримки України. Євросоюз та його керівництво зображуються такими, що «нагрівають руки» на війні та прагнуть її затягнути. Мережа Storm-1516 поширювала постановочні відео з відповідними наративами, тоді як Doppelgänger публікував GIF-анімації та карикатури, що зображали фінансову допомогу Україні «марнуванням коштів».
• подання України як агресора. Офіційні канали Кремля, Фонд боротьби з несправедливістю (R-FBI) та підконтрольні ЗМІ регулярно просували наратив про те, що Україна разом із західними партнерами нібито здійснює провокаційні «операції під хибним прапором» — зокрема щодо атаки дрона на захисний саркофаг Чорнобиля або залізничних диверсій у Польщі.
• звинувачення українських біженців у злочинах. Під час президентських виборів у Польщі та парламентських виборів у Німеччині мережі Operation Overload і Storm-1516 поширювали сфабриковані документи про нібито втручання українців у виборчі процеси та приписували біженцям терористичну діяльність.

Українська аудиторія цілеспрямовано отримує контент, покликаний формувати «втому від війни» та підривати довіру до підтримки з боку ЄС. Паралельно африканська аудиторія — переважно франко- і англомовна — отримує матеріали, що зображають Україну співучасницею терористів у Сахелі, а росію — стабілізуючою силою.

Вибори як мішень: триетапний сценарій Кремля

У 2025 році росія атакувала виборчі процеси у Німеччині, Польщі, Румунії, Молдові, Чехії та Кот-дʼІвуарі. Звіт фіксує повторювану триетапну схему:

1. Перший етап — за кілька місяців до виборів — полягає у дискредитації проєвропейських кандидатів через звинувачення у корупції, зловживанні владою, проблемах зі здоровʼям або «підпорядкуванні Брюсселю». Ця тактика застосовувалась щодо Майї Санду і Дорина Речана у Молдові, а також Олафа Шольца, Роберта Габека і Фрідріха Мерца у Німеччині.
2. Другий етап — під час виборчої кампанії — передбачає розпалювання внутрішніх розбіжностей: у Німеччині це була тема міграції, у Польщі — антибіженські настрої, у Молдові — звинувачення у цензурі, страх перед «неминучою війною з росією» та економічні претензії до уряду.
3. Третій етап — безпосередньо перед голосуванням та у день виборів — спрямований на підрив довіри до виборчого процесу й заохочення до абстенціонізму. У Німеччині та Польщі поширювався контент про нібито заплановані теракти у день виборів.

Вірменія — наступна: «молдовський сценарій» переїжджає на Кавказ

Аналітики EEAS прогнозують, що Вірменія залишатиметься одним із головних обʼєктів атак щонайменше до парламентських виборів у червні 2026 року. Єреван ухвалив закон про початок процесу вступу до ЄС, підписав мирну угоду з Азербайджаном без участі Москви і заморозив участь у Організації договору про колективну безпеку (ОДКБ). Росія реагує розгортанням FIMI-інфраструктури, яка раніше працювала проти Молдови.

Зіставлення кампаній проти Санду та прем’єр-міністра Вірменії Нікола Пашиняна виявляє разючу схожість. Обох лідерів звинувачують у «моральній розпусті» (зокрема, поширювалися безпідставні звинувачення в експлуатації неповнолітніх), корупції та «служінні іноземним інтересам». Окремий наратив — ризик втрати суверенітету: для Молдови це «поглинання Румунією», для Вірменії — «турецько-азербайджанська загроза». Контент нерідко розповсюджується не вірменською чи румунською, а англійською та іншими мовами Західної Європи, що свідчить про ціль ширшу за локальний електорат.

Активність мережі Storm-1516 щодо Вірменії зафіксована ще з квітня 2025 року — більш ніж за рік до дати виборів. Після завершення молдовських виборів обидва основні ІМН (Storm-1516 та Operation Overload) переорієнтували зусилля на вірменський напрямок.

Основні мережі дезінформації: від Doppelgänger до Spamouflage

Звіт детально описує активність провідних інформаційно-маніпуляційних наборів (ІМН). Doppelgänger — операція під управлінням санкціонованих ЄС організацій Social Design Agency та Struktura — спеціалізується на імітації легітимних медіа (Der Spiegel, Le Point, Die Welt) і 2025 року розширила аудиторію на івритомовні спільноти. Storm-1516 (також відомий як CopyCop або False Façade) є єдиним ІМН, здатним генерувати органічне залучення та проникати в справжні публічні дискусії: його контент набирає від 5 000 до 4 мільйонів переглядів.

Portal Kombat («Правда»), що видає себе за агрегатор новин, щодня поширює близько 10 000 статей через 101 сайт із основним доменом news.pravda.com. Мережа цілеспрямовано розробляє наративи для етнічних і регіональних меншин — зокрема для жителів Країни Басків, Республіки Сербської та Балкан. Operation Overload (Матрьошка) у 2025 році суттєво наростила обсяги, виробляючи до 20 відео на день — загалом понад 700 за рік. Половина її продукції була спрямована проти Вірменії та Молдови.

На китайському напрямку Spamouflage активно застосовував ШІ для вдосконалення тактики імітації: мережа маніпулювала відео за допомогою ШІ-інструментів, щоб «підкладати» висловлювання реальним дисидентам. Мережа Paperwall здійснила найбільше за всю свою історію розширення — додала 108 нових доменів, охопивши 40 нових країн контентом 15 мовами. Частина цього контенту перекладається з російськомовних державних ЗМІ.

«Плейбук стримування»: як ЄС планує підняти ціну дезінформації

Ключовою новацією четвертого звіту став «Плейбук стримування FIMI» — структурований механізм для переходу від реактивного реагування до проактивного тиску на організаторів інформаційних операцій. Концепція спирається на принцип «ланцюга знищення» (kill chain): якщо атаку розкласти на окремі фази — від фінансування і побудови інфраструктури до виробництва та поширення контенту, — на кожному етапі можна застосовувати цілеспрямовані контрзаходи.

Плейбук передбачає чотири групи інструментів. Санкції спрямовані проти осіб і організацій, причетних до FIMI, — заморожуючи активи і обмежуючи доступ до послуг. У межах правоохоронного напрямку кримінальне законодавство та судові рішення дозволяють вилучати сервери, закривати домени і порушувати кримінальні провадження. Цифрове регулювання — зокрема Акт про цифрові послуги (DSA) — зобовʼязує платформи видаляти акаунти та контент, що порушують правила. Нарешті, побудова стійкості суспільства: медіаграмотність, стратегічні комунікації та розвиток спроможностей громадянського суспільства поступово знижують ефективність маніпуляцій.

У 2025 році ЄС застосував санкції проти близько 50 фізичних та юридичних осіб у рамках режиму дестабілізуючої діяльності росії — серед них Social Design Agency, Tigerweb і Джон Марк Дуган. У ході операції SIMCARTEL правоохоронці заарештували сімох кіберзлочинців і ліквідували мережу з 49 мільйонів фейкових акаунтів у соціальних мережах та месенджерах.

Прогнози на 2026 рік: більше грошей, більше атак

Бюджет росії на державні ЗМІ у 2026 році зросте до 146,3 млрд рублів (близько 1,56 млрд євро) — на 7% більше, ніж у 2025-му. Аналітики прогнозують посилення активності в інформаційному просторі Балтійського регіону та Арктики. Третій саміт росія — Африка стане майданчиком для нарративів про «багатополярний світ» і деградацію Заходу. Вибори у країнах ЄС — Словенії, Угорщині, Болгарії, Кіпрі, Естонії, Швеції, Латвії та Данії — можуть зіткнутися з аналогічними схемами втручання.

Звіт також фіксує подальше закручування гайок всередині самої росії: більш ніж 1 000 осіб і організацій потрапили під дію законодавства про «іноземних агентів» та «екстремізм», а опозиція до війни дедалі частіше переслідується як «виправдання тероризму». Нещодавно введено штрафи навіть за пошук «екстремістського» контенту в інтернеті.

Замість висновку: FIMI — це проблема безпеки, а не комунікацій

Автори звіту наголошують: FIMI слід розглядати не як комунікаційну проблему, а як питання безпеки зі структурованим ланцюжком постачання. Суто реактивного підходу недостатньо. Запропонований «Плейбук стримування» спрямований на те, щоб зробити інформаційні операції фінансово невигідними, операційно складними та репутаційно ризикованими для їхніх організаторів.

Реалізація цієї стратегії вимагає тісної координації між державами — членами ЄС, правоохоронними органами, платформами та громадянським суспільством. Поки маніпуляції в інформаційному просторі залишаються малоризикованим і дешевим інструментом, вони будуть незмінно присутні в арсеналі гібридної війни.

Ця стаття Інформаційна зброя росії та Китаю: EEAS зафіксувала 540 FIMI-інцидентів у 2025 році раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Російська влада офіційно заблокувала доступ до популярного месенджера WhatsApp. Як повідомляє Financial Times, сервіс, яким користувалися близько 100 мільйонів росіян, був видалений з онлайн-каталогів та фактично стертий з російського сегмента інтернету.

Перехід на «державний клон»

Основною причиною блокування називають бажання Кремля пересадити користувачів на вітчизняний додаток під назвою Max. За даними експертів, цей сервіс є нешифрованим клоном китайського WeChat, що дозволяє спецслужбам РФ безперешкодно стежити за листуванням громадян.

У компанії Meta (власник WhatsApp) уже прокоментували це рішення:

«Сьогодні російський уряд спробував повністю заблокувати WhatsApp, щоб змусити користувачів перейти до державного додатка для стеження. Спроба ізолювати понад 100 мільйонів людей від приватного та безпечного спілкування — це крок назад, який лише погіршить безпеку людей у росії».

Масштабна зачистка інформпростору

WhatsApp став не єдиною жертвою цифрової цензури. Одночасно з ним:

• Було остаточно видалено месенджер Telegram.
• Обмежено доступ до YouTube (користувачі повідомляють про критичне уповільнення або повну непрацездатність сервісу).
• Раніше під заборону потрапили інші продукти Meta — Facebook та Instagram.

Причини та наслідки

Процес підготовки до блокування почався ще у 2025 році, коли компанію Meta визнали в РФ «екстремістською організацією». Володимир Путін видав директиву щодо обмеження засобів зв’язку з «недружніх країн», які запровадили санкції проти росії.

Попри заяви влади про те, що внутрішні додатки захистять росіян від шахрайства, навіть серед прихильників режиму зростає невдоволення. Зокрема, жителі прикордонних регіонів скаржаться, що через блокування Telegram та WhatsApp вони втратили доступ до оперативних сповіщень про повітряні тривоги та рух безпілотників.

Ця стаття У росії остаточно заблокували WhatsApp: 100 мільйонів користувачів залишилися без зв’язку раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Російський військовий суд заочно засудив речника Meta Енді Стоуна до шести років позбавлення волі за “публічний захист тероризму”, повідомляє Reuters. Як повідомляється, адвокат Стоуна просив про виправдання і планує подати апеляцію на вирок.

Через кілька місяців після того, як російська влада оголосила його в розшук і почала кримінальне розслідування, в лютому московський суд видав ордер на арешт Стоуна за кількома звинуваченнями, пов’язаними з тероризмом. Суд послався на нібито “сприяння терористичній діяльності, публічні заклики до здійснення терористичної діяльності, публічне виправдання тероризму або пропаганду тероризму, а також публічні заклики до здійснення екстремістської діяльності”.

Цей захід був прийнятий після того, як у березні 2022 року, на початку повномасштабного вторгнення в Україну, cлідчий комітет росії розпочав перевірку щодо Meta. Він стверджував, що Стоун підбурював до екстремістської діяльності після того, як зняв “заборону на заклики до насильства проти російських військових на своїх платформах”. Приблизно в той же час Стоун заявив, що Meta “тимчасово” дозволяє деяким постам, які раніше були б видалені за підбурювання до насильства, залишатися на своїх платформах, але зазначив, що компанія все одно буде забороняти “достовірні заклики до насильства проти російського цивільного населення”.

У будь-якому випадку, малоймовірно, що Стоун дійсно проведе час за ґратами в росії, якщо тільки він не поїде туди або в країну, яка має з нею договір про екстрадицію. Нерідкі випадки, коли людину звинувачують або засуджують (часто за злочини, пов’язані зі шпигунством або хакерством) в іншій країні, але вона ніколи не стикається з цими наслідками.

Росія визнала Meta екстремістською організацією. Вона заблокувала доступ до Facebook та Instagram невдовзі після початку вторгнення в Україну у 2022 році.

https://cybercalm.org/yak-cyberpolice-boretsya-zrosijskymy-hakeramy/

Ця стаття Російський суд заочно засудив речника Meta до 6 років ув’язнення раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня