900 ИБ-специалистов, ФСБ и ФСТЭК отбили 3 тысячи волн кибератак на инфраструктуру выборов

ГК «Солар» совместно с «Ростелекомом» обеспечила киберзащиту систем, задействованных в проведении дистанционного электронного голосования на выборах в Госдуму, которые проходили с 18 по 20 сентября 2026 года. Это следует из заявления компании.

«За три дня специалисты отразили более 3 тыс. волн DDoS-атак мощностью до 1,7 Тбит/c, заблокировали более 170 млн вредоносных воздействий на web-сервисы и предотвратили попытки проникновения злоумышленников в инфраструктуру. Мощность и количество атак превысили объемы предыдущего ЕДГ и выборов Президента в 2024 году. Основными целями стали системы электронного правительства, включая ЕСИА, инфраструктура «Ростелекома», ДЭГ и информационные ресурсы ЦИК», — говорится в сообщении.

По оценке «Солар», воздействие осуществляли высокоорганизованные профессиональные группировки с применением инструментов искусственного интеллекта (ИИ).

Подготовка к киберзащите выборной инфраструктуры началась еще в мае, рассказали в «Солар»: был организован оперативный штаб и введена усиленная круглосуточная эшелонированная защита ресурсов ДЭГ, ЦИК и связанных с ними систем. Основные усилия были сосредоточены на недопущении компрометации системы, в том числе подмены или раскрытия результатов голосования до завершения официальной процедуры.

В обеспечении безопасности было задействовано более 900 экспертов центра противодействия кибератакам Solar JSOC, работающих в разных часовых поясах. Защита включала многоуровневую оценку защищенности ДЭГ, круглосуточный мониторинг аномалий в поведении системы и пользователей, средства блокирования атак и оперативного реагирования.

Параллельно специалисты Solar AURA совместно с НКЦКИ (Национальным координационным центром по компьютерным инцидентам) отслеживали и блокировали мошеннические сайты, имитирующие ресурсы ЦИК и ДЭГ.

За период выборов злоумышленники, по подсчетам «Солар», провели более 3 тыс. волн DDoS-атак. Основная мощь киберударов пришлась на инфраструктуру электронного правительства (ИЭП) — 1968 волн DDoS с максимальной мощностью 1,7 Тбит/с. На ДЭГ пришлось 135 волн мощностью до 209 Гбит/с, на ЦИК – 16 волн мощностью до 18,4 Гбит/с. Еще 420 волн мощностью до 427 Гбит/с были направлены на инфраструктуру «Ростелекома».

Самые мощные по интенсивности атаки шли из сетей недружественных стран. Источниками вредоносного трафика были IP-пространства более 30 государств, в том числе Великобритании, Украины, Бразилии, Индонезии и Индии. При этом в атаках на инфраструктуру электронного голосования среди основных стран-источников также фиксировались США, Китай, Франция, Сингапур и Армения.

Основная часть вредоносного трафика отсекалась на трансграничных маршрутизаторах «Ростелекома» и фильтрах Национальной системы противодействия DDoS-атакам (НСПА). Остаточный трафик дополнительно фильтровался магистральным комплексом защиты от DDoS-атак. Весь выявленный атакующий трафик был зафильтрован, деградации защищаемых систем не зафиксировано.

В рамках защиты web-серверов было зафиксировано и заблокировано более 170 млн потенциально опасных воздействий злоумышленников, включая попытки поиска и эксплуатации уязвимостей. Под защитой находились vybory(.)gov.ru, сайт ЦИК и izbirkom(.)ru. Вредоносный трафик выявлялся и фильтровался средствами защиты информации.

«Фактов нанесения ущерба, нарушения доступности или деградации производительности сервисов не зафиксировано», — утверждают в «Солар».

Одним из основных направлений воздействия стала телекоммуникационная инфраструктура. Фиксировались попытки проникновения и закрепления в системах ДЭГ, а также воздействия на нее с использованием инфраструктуры абонентов телеком-операторов.

В пятницу, 18 сентября, в телекоммуникационной инфраструктуре была зафиксирована внешняя попытка сканирования и подбора учетных данных для доступа к коммутаторам магистральной сети передачи данных. Источники несанкционированных попыток доступа были установлены, развитие инцидента предотвращено.

После многочисленных атак, которые, как утверждают в «Солар», не привели к результату, злоумышленники также пытались воздействовать на сторонние системообразующие инфраструктуры, имеющие значимый общественный статус. В частности, под атаками оказались крупные банки и органы государственной власти.

Таким образом, по мере отражения основных атакующих воздействий злоумышленники расширяли набор целей, пытаясь создать дополнительное давление через предприятия, не связанные напрямую с электронным голосованием.

Еще до начала выборов специалисты сервиса Solar AURA совместно с НКЦКИ стали фиксировать появление вредоносных веб-ресурсов на тему выборов. Таким образом, с 17 по 20 сентября было выявлено несколько сотен ресурсов, предназначенных для взаимодействия с аудиторией электронного голосования. Речь идет о поддельных сайтах и страницах различных государственных сервисов на тему мероприятия. Значительная их часть была нацелена на перехват доступа к аккаунтам и сбор личных данных граждан. Все страницы были выявлены и заблокированы, утверждают защитники.

Все мероприятия по отражению атак осуществлялись командами ГК «Солар» и «Ростелекома» в рамках общего штаба по кибербезопасности под руководством и во взаимодействии с ФСБ России, НКЦКИ, ФСТЭК России и ГРЧЦ.

«Три дня мы фактически находились в состоянии непрерывного киберпротивостояния: одна атака сменяла другую, менялись цели, инструменты и направления ударов. Злоумышленники одновременно пытались воздействовать на инфраструктуру электронного голосования, государственные web-сервисы и телекоммуникационные сети. Когда основные удары были отражены, атаки переносились на другие социально значимые инфраструктуры. Это была проверка на прочность всей системы – от отдельных сервисов до ключевой телекоммуникационной инфраструктуры страны. Самые мощные воздействия шли из-за рубежа, а противостояние разворачивалось сразу по нескольким направлениям. Но ни один из этих ударов не привел к нарушению работы защищаемых систем», — заявил гендиректор ГК «Солар» Игорь Ляпунов.

По итогам информационной кампании, направленной на дискредитацию ДЭГ накануне выборов, было проведено расследование, которое, по данным «Солар», подтвердило, что инфраструктура ЦИК не взломана – «она находится в изолированном контуре и не доступна из интернета, посторонних вторжений в нее не было, все данные выборного процесса надежно защищены».

SecPost ведет реестр кибератак на российские компании и госорганизации. К сентябрю 2026 года число атак, информация о которых стала публичной в 2026 году, превысило 30.