Хакеры, связанные с Казахстаном, похитили документы минобороны Таджикистана – Reuters

Что произошло

Хакерская группа Silent Lynx, которую исследователи с умеренной степенью уверенности связывают с Казахстаном, взломала систему электронного документооборота государственных органов Таджикистана. 

Как произошла кибератака

Согласно исследованию CloudSEK, опубликованному 11 ноября, хакеры использовали открытую платформу Hermes, предназначенную для работы автономных ИИ-агентов.

С её помощью злоумышленники автоматизировали значительную часть операции: от первоначальной разведки до сбора, сортировки и подготовки похищенных документов.

Исследователи обнаружили следы атаки после того, как хакеры случайно оставили один из своих серверов открытым для доступа из интернета. На нём специалисты нашли инструменты для взлома, похищенные данные и переписку оператора с ИИ-агентом.

По словам представителей CloudSEK, вместо ручного управления каждым этапом злоумышленник давал ИИ задания, после чего система самостоятельно планировала действия, запускала инструменты и готовила отчёты.

Какие документы оказались у хакеров

По данным исследователей, группа получила доступ к системе через учётную запись сотрудника железной дороги Таджикистана. Несмотря на обычные пользовательские права, эта учётная запись позволила загружать документы, адресованные другим государственным ведомствам.

Среди похищенных материалов обнаружили:

• более 2 тысяч документов, адресованных министерству обороны Таджикистана или проходивших через него;

• документы Национальной гвардии;

• материалы Государственного комитета национальной безопасности;

• сотни писем Государственного комитета по инвестициям.

Документы касались использования воздушного пространства, перемещения и назначения военнослужащих, работы военных атташе, оборонных закупок, бюджетных вопросов и сотрудничества в сфере противовоздушной обороны.

Также среди материалов были сведения о строительстве в приграничных районах, копии паспортов и других удостоверений личности.

Хакеры также проникли в систему железной дороги

Отдельно CloudSEK сообщила о взломе сети государственной железнодорожной компании Таджикистана.

По данным исследователей, злоумышленники сохраняли доступ к ней с середины августа как минимум до 10 октября 2026 года.

За это время они изучали внутренние компьютерные сети, получили административный доступ к нескольким серверам и скопировали рабочие отчёты, диспетчерские сводки и внутреннюю переписку.

Почему хакеров связывают с Казахстаном

CloudSEK связывает атаку с группой Silent Lynx, которую ранее другие специалисты по кибербезопасности также ассоциировали с Казахстаном.

В пользу этой версии, по данным исследователей, свидетельствуют несколько обстоятельств:

• оператор переписывался с ИИ-агентом на русском языке;

• активность группы приходилась на рабочее время Казахстана;

• для подключения к серверу использовались домашние интернет-соединения казахстанских провайдеров.

При этом CloudSEK оценивает вероятность связи группы с Казахстаном как умеренную. Эти признаки не позволяют установить личности участников атаки или доказать их связь с государственными структурами.

Ранее группу связывали с атаками на страны СНГ

14 октября Cisco Talos совместно с Recorded Future опубликовала исследование о хакерской группе UAT-6275, деятельность которой пересекается с Silent Lynx.

Специалисты также оценили связь группы с Казахстаном с умеренной степенью уверенности.

По их данным, хакеры атаковали государственные организации в странах СНГ, включая Таджикистан, Кыргызстан, Узбекистан, Туркменистан и Армению.

Ранее также сообщалось об атаке связанных с Казахстаном хакеров на российский нефтеперерабатывающий завод.

Что говорят власти Казахстана и Таджикистана

По информации Reuters, на момент публикации представители правительств Казахстана и Таджикистана не ответили на запросы агентства о комментариях.

Связаться с представителями Silent Lynx также не удалось. 

Таким образом, информация о причастности группы к Казахстану основана на технических данных и оценках исследователей кибербезопасности. Официального подтверждения связи хакеров с казахстанскими государственными структурами нет.