Журналисты, которые в последние годы оказались в экзайле в Литве, Польше, Украине и Грузии, сумели обрести относительную физическую безопасность. Но репрессии против них на этом не закончились. Article 19 исследовал, как авторитарные режимы применяют диджитал-технологии, чтобы мешать работе и жизни независимых репортёров. Рассказываем, что они обнаружили.
Unsplash: Nathan Langer
Дарья Грищук – журналистка, редакторка, специалистка по коммуникациям и контенту. Работала в независимых медиа, международных проектах и некоммерческих организациях.
Угрозы меняются: теперь злоумышленники безупречно пишут на иностранных языках
Человек – по-прежнему наиболее уязвимое звено в цепочке кибербезопасности. Большинство инцидентов связано с той или иной формой социальной инженерии – методами, которые манипулируют людьми и заставляют их раскрыть конфиденциальную информацию или выполнить действия, выгодные злоумышленнику.
Респонденты назвали фишинг самой распространённой и эффективной угрозой. Как отметил один из экспертов: «Три главные атаки – это фишинг, фишинг и фишинг».
Искусственный интеллект сделал эту форму атаки более убедительной. Один из респондентов исследования рассказал:
Подобные кампании теперь реализуют не только через привычные электронные почты. Преступники перебрались в другие каналы – Telegram, Signal и WhatsApp. Это связано с естественными изменениями способах коммуникации. А еще с тем, что в почтовых сервисах улучшаются системы безопасности.
У мессенджеров же есть уязвимость в виде сквозного шифрования.
Сквозное шифрование – метод защиты данных, при котором информация шифруется на устройстве отправителя и расшифровывается только на устройстве получателя.
Оно ограничивает возможности платформ выявлять вредоносный контент. А пользователи, в свою очередь, склонны воспринимать эти каналы как более надёжные и неформальные – и менее тщательно проверяют входящие сообщения.
Характер атак также различается в зависимости от платформы. Фишинговые атаки в Telegram часто носят массовый и универсальный характер. А атаки в Signal чаще направлены на кого-то конкретного.
Ссылки на вредоносные веб-сайты остаются распространённым методом, особенно в фишинговых кампаниях по электронной почте. Но их использование сокращается. Популярным становится так называемый ClickFix. Жертвам присылают инструкции, которые якобы нужны для изменения системных настроек или решения технической проблемы. Они выглядят вполне легитимными и поэтому работают.
Если получатель подобной инструкции следует ей, он может дать злоумышленникам больше прав в каких-то сервисах, загрузить вредоносную программу, создать исключение в системе безопасности или ослабить механизмы защиты.
Сама поддельная техническая проблема может выглядеть совершенно привычно — например, пользователям говорят решить капчу похожую на Cloudflare или Google, чтобы доказать, что они «не робот». При этом если обычно капчи находятся в браузере, тут юзерам предлагают ввести комбинацию клавиш или скопировать и вставить сгенерированную команду в терминал.
Растёт и коммерческий фишинг: поддельные уведомления о доставке посылок, фальшивые банковские оповещения, просьбы о срочной финансовой помощи и мошеннические схемы с онлайн-конкурсами. Некоторые эксперты предполагают, что режимы намеренно имитируют эти знакомые методы киберпреступности, чтобы источник атаки было сложнее установить.
Ещё одно заметное изменение – злоумышленники стали более терпеливыми. Вместо попыток немедленно получить доступ к системам, некоторые фишинговые операции разворачиваются несколько дней или даже недель.
Респонденты также отметили различия в оперативных подходах: в кампаниях против российских активистов в изгнании всё чаще используется автоматизация с применением больших языковых моделей, тогда как атаки против беларусского гражданского общества по-прежнему в большей степени зависят от действий людей-операторов.
Атаки против организаций: DDoS обошла Cloudflare
Цензура остаётся одним из основных инструментов цифровых репрессий. Власти используют различные тактики, чтобы ограничить доступ к независимой информации и нарушить работу гражданских инициатив.
Популярный метод – навешивание юридических статусовов «экстремист», «террорист», «иностранный агент», «нежелательная организация». Эти ярлыки ограничивают возможности редакций распространять материалы, размещать рекламу и отбивают у аудитории желание взаимодействовать с контентом.
Кроми блокировки веб-сайтов, государственные структуры добиваются перебоев в работе интернет-страниц другим способом – злоупотребляя правилами социальный сетей и платформ. Они скоординированно и массово жалуются на аккаунты в Facebook, Instagram и YouTube, отчего к этим страницам могут временно отключить доступ.
В то же время, DDoS-атаки стали более сложными. В январе 2026 года белорусские независимые расследовательские СМИ стали объектом подобной атаки. Она обошла защиту Cloudflare.
Шпионские программы вроде Pegasus, которые заражают устройства пользователей, нечасто используют против представителей гражданского общества в изгнании. Респонденты рассказали лишь о нескольких случаях. Это позволяет предположить, что такие инструменты применяют избирательно и против наиболее ценных целей.
А вот атаки, которые требуют временного физического доступа к девайсам, оказались более распространёнными. Респонденты рассказали о случаях, когда их устройства изымали на границе, во время арестов или полицейских проверок; заражали их шпионскими программами вроде Monokle и ResidentBat.
Обычно это происходит следующим образом. В полицейском участке или на границе жертву заставляют выключить телефон, позже под каким-либо предлогом (например, задавая вопросы вроде «Вы знаете этот номер телефона?» или «Вы получали электронные письма с этого адреса?») – снова вынуждают включить его, чтобы человеку пришлось ввести пароль вместо использования биометрической разблокировки. В этот момент PIN-код подсматривают через плечо или записывают на камеру.
Позже устройство забирают на несколько минут либо человека на короткое время отводят в другую комнату. Злоумышленник берёт телефон, загружает вредоносное ПО, отключает настройки безопасности, которые препятствуют установке приложений из неизвестных источников, устанавливает его и вручную предоставляет все необходимые разрешения.
Эксперты рассказали, что такие же методы всё чаще используют киберпреступники. Один из примеров – так называемый Audio ClickFix. Злоумышленники выдают себя за операторов мобильной связи и убеждают жертв установить вредоносное программное обеспечение под предлогом подключения новых услуг, например, связи 5G.
Эти атаки не такие сложные, как шпионские программы, которые спонсируют государства. Но они основаны на том же принципе: манипуляция пользователями, чтообы заставить их добровольно скомпрометировать собственные устройства.
Доверие: эксплуатируют личные и организационные связи
Кроме технических атак, злоумышленники используют доверие, личные отношения и связи журналистов и правозащитников со странами их происхождения. Эти методы используют чтобы компрометировать цифровые системы, а также подрывать доверие к ним и манипулировать общественным мнением.
Например, злоумышленники не просто распространяют ложную информацию.
«В некоторых кампаниях по дискредитации, таких как публикации российского дезинформационного сайта Underside, реальная информация, полученная посредством фишинга, смешивалась с ложной информацией, чтобы создать последовательный дискредитирующий нарратив об организациях гражданского общества», – рассказал один из респондентов.
Инструменты, которые предназначены для повышения цифровой безопасности, могут создавать дополнительные риски – если они выбраны неправильно или недостаточно хорошо изучены. Например, люди внутри Беларуси и России используют VPN для обхода цензуры; а находящиеся в изгнании используют их для доступа к государственным и банковским услугам.
Но не все VPN-сервисы надёжно защищают. Как отметил один из респондентов:
Злоумышленники эксплуатируют личные и организационные связи правозащитников. Как упоминалось выше, с помощью шпионских программ Monokle и ResidentBat преступники получают доступ к устройствам, а также возможность общаться с контактами пользователя от его имени.
Труднее всего понять, что сообщения вредоносные, когда они были присланы якобы родственниками, друзьями или коллегами, которые остаются в стране.
«Например, если они [злоумышленники] проверяют устройство и находят доказательства того, что кто-то является квир-человеком, они затем устанавливают личности людей на фотографиях, картируют сети и связи и начинают запугивать их, угрожая тюремным заключением в соответствии с законами против ЛГБТКИ+ или законами о порнографии», – рассказал один из респондентов.
Все эти данные показывают, что цифровые транснациональные репрессии опираются не только на технические возможности, но и на систематическую эксплуатацию доверия, личных отношений и трансграничных сетей.
Кто и зачем атакует: донорские организации – особенно ценная цель
Найти ответ на этот вопрос – одна из самых серьёзных проблем. Респонденты говорят, что им не хватает времени, технических возможностей и специализированных знаний в компьютерной криминалистике, чтобы расследовать инциденты.
К тому же, как отметил один из экспертов: «Ошибки обычно совершаются до инцидента, и впоследствии их трудно выявить».
При этом участники исследования последовательно называли государственные субъекты основным источником угроз. Беларусы сообщали, что спецслужбы активно атакуют медиаорганизации, правозащитников и диаспоры. Россияние упоминали российские хакергруппы как APT28, Ghostwriter и UNC1151, Coldriver (UNC4057), Coldwastrel.
Респонденты называют другую проблему идентификации – государственные и киберпреступные операции пересекаются. Например, группа KillNet раньше предоставляла DDoS-атаки за плату, а теперь атакует Украину и страны НАТО.
Цели кибератак более ясны, чем их источники. Респонденты выделяют четыре категории информации, которую стремятся получить злоумышленники:
- Контакты и социальные связи, позволяющие картировать личные и профессиональные сети.
- Переписка и звонки, включая электронные письма и сообщения.
- Финансовая информация, особенно касающаяся источников финансирования и денежных переводов.
- Доступы: права администратора цифровых платформ и каналов коммуникации.
Эксперты называют донорские организации особенно ценными целями. Они часто располагают финансовой и отчётной документацией и конфиденциальной информацией о получателях грантов.
Несколько человек рассказали, что получали фишинговые электронные письма, в которых злоумышленники выдавали себя за доноров. Другие респонденты отметили, что обязательства по обеспечению прозрачности, например, законодательство о доступе общественности к информации в некоторых европейских странах, могут непреднамеренно раскрывать данные, которые впоследствии могут использовать вражеские субъекты.
Рекомендации: как защититься от киберугроз
Поскольку фишинг остается главной формой атак, традиционной двухфакторной аутентификации часто недостаточно. Авторы рекомендуют обязательно внедрять физические аппаратные ключи безопасности.
Нельзя выполнять инструкции, предлагающие скопировать команду в терминал или нажать комбинацию клавиш под предлогом решения «технической проблемы» или прохождения фейковой капчи («я не робот»)
Фишинг массово сместился в Telegram, Signal и WhatsApp. Нельзя доверять ссылкам с просьбами «проголосовать за ребенка» или ввести учетные данные, даже если сообщение пришло от знакомого контакта – аккаунт может быть взломан или использоваться под принуждением.
При пересечении границ или задержаниях силовики часто фиксируют PIN-код. Авторы рекомендуют закрывать экран при вводе паролей и избегать простой биометрической разблокировки в рискованных ситуациях.
Для поездок и пересечения границ советуют использовать отдельные «чистые» устройства без чувствительных аккаунтов, рабочих файлов и истории переписок.
По возможности не использовать устаревшие смартфоны и ноутбуки, которые больше не получают обновлений безопасности от производителей и не поддерживают современные функции защиты.
Не использовать бесплатные или ненадёжные VPN-сервисы.
В организациях должна действовать культура no-blame, при которой сотрудники могут безотлагательно сообщить о случайном клике по подозрительной ссылке или ошибке без страха наказания или стыда.
Переход от разовых тренингов к непрерывному сопровождению экспертами по цифровой безопасности.
При подозрении на взлом не следует сразу сбрасывать устройство до заводских настроек, так как это уничтожает логи и цифровые следы, необходимые экспертам для расследования атаки.
При компрометации аккаунта нужно изолировать связанные доступы и связаться со линиями помощи по цифровой безопасности (Digital Security Helplines / CERT).
