В 2025 году в Татарстане прошли одни из самых масштабных и жестких киберучений в истории российской энергетики. Белые хакеры получили задание любой ценой взломать топливно-энергетический комплекс республики. Условия были максимально приближены к реальной атаке: фишинговые письма, проникновение через открытый Wi-Fi, штурм внешнего периметра. Результат оказался тревожным: только половина компаний смогла отбиться и не допустить критического инцидента. Остальные — «провалились». Но именно этот стресс-тест позволил сделать ТЭК Татарстана самым защищенным в стране. Теперь опыт республики хотят распространить на всю Россию: к 2036 году кибериспытания пройдут 500 компаний.
Почему именно Татарстан и почему именно энергетика
На первый взгляд, выбор Татарстана для пилотного проекта может показаться случайным. Однако за этим стоит несколько факторов. Республика обладает одним из самых диверсифицированных топливно-энергетических комплексов в стране: здесь есть и нефтедобыча, и нефтепереработка, и генерация электроэнергии, и распределительные сети. По сути, Татарстан — это миниатюрная модель всей российской энергетики. Если система защиты работает здесь — она будет работать везде.
Но главная причина — статистика кибератак. По данным центра исследования киберугроз Solar (входит в группу «Ростелеком»), именно на предприятия топливно-энергетического комплекса приходится 35% всех кибервоздействий в стране. Это почти каждый третий инцидент. А в первом квартале 2026 года доля таких атак выросла в три раза по сравнению с аналогичным периодом прошлого года.
Почему хакеры так любят энергетику? Ответ прост: это критическая инфраструктура. Остановка нефтепровода, отключение электростанции или вывод из строя системы управления распределительной сетью могут привести не только к миллиардным убыткам, но и к техногенным катастрофам. Для злоумышленников — особенно для тех, кто работает по заказу иностранных государств, — энергетика является целью номер один.
Генеральный директор компании «Русатом – Автоматизированные системы управления» Андрей Бутко, выступая на форуме ЦИПР в Нижнем Новгороде, выделил два типа последствий кибератак на энергетику. Первый — экономический: остановка работы объекта, сбои в поставках, упущенная выгода. Второй — техногенный: вмешательство в управление приводит к аварии, которая может угрожать жизни людей и окружающей среде. Именно второй сценарий является самым страшным. И именно для его предотвращения и затевались киберучения в Татарстане.
Как проходили учения: белые хакеры в роли противника
Организаторами масштабного стресс-теста выступили министерство энергетики России, компании Innostage и Positive Technologies (ведущие российские разработчики в области кибербезопасности), а также фонд «Сайберус», специализирующийся на подготовке кадров для ИБ-отрасли.
В роли атакующей стороны выступила команда Positive Technologies. Их задача была максимально простой и одновременно сложной: взломать компании-участницы любыми способами, кроме трех жестко оговоренных ограничений.
Ограничение первое: не атаковать подрядчиков, если они не являются прямыми «дочками» целевых компаний. Почему это важно? В реальных атаках злоумышленники всё чаще проникают в крупные компании именно через их подрядчиков и поставщиков, у которых защита обычно намного слабее. Условно: хакер не ломится в бронированные двери «Газпром нефти», а взламывает маленькую фирму, которая поставляет туда канцелярию, и через неё перепрыгивает в сеть гиганта. На учениях этот вектор был временно отключен, чтобы сосредоточиться на проверке собственной защиты компаний.
Ограничение второе: не удалять серверы, на которых установлены системы защиты информации (СЗИ). Это было сделано гуманно: если бы белые хакеры уничтожали «защиту», компании просто ослепли бы и перестали видеть, что происходит в их сети. Учебная атака не должна приводить к полному коллапсу систем мониторинга.
Ограничение третье: никакой физической разведки. Хакеры не проникали в офисы, не подстерегали сотрудников в подъездах, не рылись в мусорных баках в поисках выброшенных документов с паролями. Только удаленные атаки.
Все остальные методы были разрешены. И белые хакеры использовали их по полной программе.
Фишинговые письма. Сотрудникам компаний приходили письма от имени «руководства», «клиентов», «партнеров», «госорганов». В письмах были ссылки на фальшивые сайты и вложения с вредоносным кодом. Цель — заставить человека перейти по ссылке или открыть файл, чтобы получить доступ к его рабочему компьютеру.
Атака на внешний периметр. Хакеры сканировали все внешние IP-адреса компаний, искали незакрытые порты, устаревшие версии программного обеспечения, известные уязвимости. Любая дыра в защите на границе между интернетом и корпоративной сетью становилась точкой входа.
Wi-Fi из неконтролируемой зоны. Атакующие пытались подключиться к корпоративным Wi-Fi-сетям из общедоступных мест — кафе, бизнес-центров, парковок, расположенных рядом с офисами. Если сеть была плохо защищена, этого оказывалось достаточно.
Каждая компания-участница заранее определила для себя «нежелательное событие» — ту критическую точку, достижение которой означало бы, что атака увенчалась успехом. Для одной компании это могло быть получение доступа к системе управления технологическими процессами. Для другой — кража базы данных клиентов. Для третьей — отключение системы мониторинга. Белые хакеры знали эти критерии и стремились их достичь.
Результаты: половина не выдержала
Учения продолжались несколько дней. Компании готовились: кто-то отменял отпуска ИТ-специалистам и срочно возвращал их на рабочие места, кто-то в пожарном порядке внедрял дополнительные средства защиты прямо с колес. Уровень стресса был максимальным. Потому что, в отличие от формальных проверок, здесь был реальный противник — живые хакеры, которые не действуют по шаблону и способны на нестандартные ходы.
Итог, озвученный на сессии ЦИПР директором по анализу защищенности Positive Technologies Дмитрием Серебрянниковым, оказался тревожным, но не катастрофическим.
В половине компаний белые хакеры достигли «недопустимого события».
Иными словами, каждая вторая компания в Татарстане, если бы это была реальная атака, потерпела бы серьезный киберинцидент: данные были бы украдены, системы — выведены из строя или зашифрованы вымогателями.
Но вторая половина компаний выстояла. Они отразили атаки, не дали хакерам пройти к критическим системам и доказали, что их защита работает.
Конкретные названия компаний-победителей и компаний-провалившихся не разглашаются. Модератор сессии, заместитель министра энергетики России Эдуард Шереметцев, подчеркнул: «По результатам Татарстана есть официальный секретный документ, кто имеет допуск, может ознакомиться». Это сделано намеренно — чтобы не позорить отставших и не создавать для них репутационные проблемы. Важно другое: все без исключения компании получили детальный разбор своих ошибок.
Как учились на ошибках: методика закрытия брешей
Ключевой элемент учений — не сам факт взлома, а работа над ошибками. Как только белые хакеры достигали «нежелательного события» в какой-либо компании, они немедленно (в ходе учений, а не после) выходили на связь с ее ИБ-командой и шаг за шагом рассказывали: «Вот как мы вошли. Вот через какую дыру. Вот какие команды выполняли. Вот где вы нас не заметили».
После этого компания получала точные рекомендации: какой патч установить, какое правило файервола добавить, как изменить настройки системы обнаружения вторжений, как обучить сотрудников не попадаться на конкретный тип фишинга.
И большинство компаний, даже те, кто «провалился», тут же закрывали бреши прямо в процессе учений. Некоторые успевали настолько быстро, что белые хакеры, вернувшись через день, обнаруживали, что прежний путь входа уже заблокирован, и им приходилось искать новые.
«Все компании — молодцы, отбивались достойно, противодействие было постоянно. Это были настоящие учения! По итогам, когда бреши были закрыты, отрасль ТЭК Татарстана стала самой защищенной среди всех остальных регионов страны. Проект нужно развивать дальше», — резюмировал Серебрянников.
Что дальше: от пилота к системе до 2036 года
Татарстанский «пилот» не остался разовым мероприятием. По словам директора по развитию бизнеса Innostage Дениса Толпейкина, он лёг в основу стратегического направления в области цифровой трансформации ТЭК до 2036 года.
План амбициозный. В ближайшие пять лет кибериспытания должны пройти 100 компаний топливно-энергетического комплекса по всей России. А к 2036 году — уже 500 компаний.
Какие именно регионы следующими примут удар белых хакеров — пока держится в секрете. Шереметцев лишь обронил, что перечень регионов «уже определен, их несколько», а компаний «много». Названия не раскрываются намеренно: минэнергию беспокоит, что преждевременная публичность может привлечь внимание реальных злоумышленников к компаниям, которые ещё не прошли проверку. Кроме того, ведомство хочет сохранить соревновательный эффект: компании не должны знать, кто из коллег уже «защищён», а кто ещё нет.
Но учениями дело не ограничится. Одновременно регуляторы и игроки рынка работают над созданием системы, которая будет отслеживать сценарии взлома нескольких компаний разом в рамках одной отрасли. Это важно, потому что самые разрушительные атаки последних лет — например, атака вируса-шифровальщика NotPetya в 2017 году — наносили ущерб не одной компании, а десяткам одновременно, используя общие уязвимости в типовом программном обеспечении.
Кроме того, по итогам татарстанского пилота была разработана методика оценки защищенности объектов критической информационной инфраструктуры (КИИ) ТЭК. В ближайшее время её опубликуют для всех заинтересованных компаний. Методика сочетает базовую оценку защищенности (аудит, тестирование на проникновение) с механизмом кибериспытаний — то есть учений с живым противником.
Цель, как её сформулировал Серебрянников, звучит просто, но амбициозно: «Сделать так, чтобы низкоквалифицированный злоумышленник не смог проникнуть в компанию». Потому что если защита держится против «школьника со скачанным скриптом», профессиональный хакер всё равно может её обойти. Но задача государства — поднять уровень безопасности настолько, чтобы массовые атаки с использованием типовых инструментов перестали быть эффективными.
Новые требования к руководителям: экзамен по кибербезопасности
На сессии прозвучало ещё одно предложение, которое может кардинально изменить отношение к кибербезопасности в российской энергетике. Генеральный директор «Русатом – Автоматизированные системы управления» Андрей Бутко напомнил, как обстоят дела в атомной энергетике.
«Любой руководитель раз в три года сдает экзамен в Ростехнадзоре на право допуска эксплуатации объекта [энергетики]», — сказал Бутко. И предложил распространить эту практику на кибербезопасность. То есть руководитель объекта КИИ ТЭК должен раз в три года сдавать экзамен, подтверждающий, что он понимает природу киберугроз, знает, как организуется защита, и несет персональную ответственность за безопасность.
Шереметцев назвал инициативу «хорошей». Если она будет реализована, это станет серьёзным изменением: сейчас ответственность за кибербезопасность часто неформально возложена на ИТ-директора или начбека, а генеральный директор может оставаться в неведении. Экзамены заставят первых лиц вникать в проблематику.
Слабые места отрасли: как не ударить по самым уязвимым
Директор по развитию бизнеса Innostage Денис Толпейкин и генеральный директор «ИКС Безопасность» Александр Ковалевский подняли ещё один важный вопрос: неравномерность защищенности.
Крупные компании — «Газпром», «Лукойл», «Россети» — могут позволить себе многомиллиардные бюджеты на кибербезопасность, лучших специалистов и современные решения. А маленькие предприятия в регионах, без которых тоже невозможно функционирование отрасли, часто имеют скромные бюджеты и минимальные штаты ИБ-специалистов. И именно они становятся самой лёгкой мишенью для хакеров.
Злоумышленники будут атаковать самые слабые места. Поэтому задача минэнерго — не только проверять сильных, но и выявлять слабых. Ковалевский предложил создать на уровне министерства ситуационный центр, который будет заниматься «инвентаризацией» — то есть составлением карты защищенности всех предприятий ТЭК, выявлением самых уязвимых и приоритетной помощью им.
Опыт минтранса, где такие отраслевые центры кибербезопасности уже работают, показывает, что это эффективно. Не нужен «суперцентр» с тысячами сотрудников. Нужен орган, который координирует, видит общую картину и принимает решения, кому нужна помощь в первую очередь.
Выводы: почему это важно для всех
Простому человеку, живущему в Казани или Набережных Челнах, может показаться, что киберучения на предприятиях энергетики — это что-то далёкое и не касающееся его повседневной жизни. Но это не так.
Когда зимой в квартире становится холодно из-за того, что перестала работать котельная — это результат не только технической неисправности, но и, возможно, кибератаки. Когда светофоры перестают работать на перекрёстке — это может быть следствием взлома. А если атаке подвергнется нефтеперерабатывающий завод — последствия могут быть катастрофическими.
Учения в Татарстане показали две вещи. Первая: угроза реальна. Половина компаний не смогла отбиться даже от белых хакеров, которые играли по правилам и не использовали самые опасные методы вроде атак через подрядчиков. Вторая: проблему можно решить. Те компании, которые прошли через кибериспытания, закрыли бреши и получили опыт отражения реальных атак, теперь являются самыми защищёнными в стране.
И главное — этот опыт собираются распространить на всю Россию. 500 компаний к 2036 году — это амбициозно, но, судя по результатам татарстанского пилота, абсолютно реалистично.
Теперь осталось дождаться следующего этапа. И, возможно, через несколько лет, когда в каком-нибудь регионе объявят о новых учениях, местные энергетики уже не будут смотреть на них с ужасом — они будут знать, что это шанс стать сильнее. А хакеры, настоящие, будут искать другие цели. Потому что ломиться в дверь, которая выдержала проверку белыми хакерами, — занятие бесперспективное.
