Умный МКД как киберфизическая угроза: чем взлом здания грозит его жильцам
Умный дом в России всё чаще становится не только удобством, но и киберфизической угрозой. Минстрой планирует к 2030 году перевести половину процессов в стройке и ЖКХ на ИИ, но отрасль до сих пор не закрыла базовые уязвимости IoT-устройств. По данным F6, строительство и ЖКХ занимают последнее место в индексе кибербезопасности — 4,9 балла. Эксперты предупреждают: взлом лифтов, домофонов и систем оповещения может привести к реальному вреду здоровью и имуществу. SecPost разобрался, почему «умный» многоквартирный дом (МКД) рискует стать инструментом для техногенных катастроф.
В конце августа 2026 года Минстрой РФ заявил о планах по масштабному внедрению искусственного интеллекта в сферу строительства и ЖКХ. Половина всех бизнес-процессов в этих отраслях должна лечь на плечи алгоритмов: от управления стройплощадками и коммунальной инфраструктурой до развития проекта «Умный город».
«К 2030 году мы должны 50% наших бизнес-процессов стройки и ЖКХ основывать на инструментах искусственного интеллекта. Это колоссальная цифра. Представьте, что каждое второе действие будет задействовать алгоритмы ИИ-моделей», — заявил замминистра строительства и ЖКХ РФ Константин Михайлик (цитата по «Интерфаксу»).
Однако, несмотря на растущие темпы цифровизации и амбициозные планы по их ускорению, строительная отрасль и ЖКХ буксуют в сфере кибербезопасности. SecPost разобрался, как на самом деле устроена защита IoT-устройств (Internet of Things, «интернет вещей») в российских новостройках и почему без смены парадигмы «умный дом» может превратиться в инструмент для техногенных катастроф.
«Реализация таких угроз может иметь крайне серьезные последствия»
Цифровизация ЖКХ традиционно касалась перевода в онлайн ряда клиентских услуг, вроде личных кабинетов в управляющих компаниях и ГИС ЖКХ. Риски имели информационный характер: утечка персональных данных, адресов и данных карт. С появлением и внедрением элементов IoT в контуре управления домом (IP-домофоны, умные счетчики, контроллеры лифтов) угрозы вышли за пределы информационного пространства — они уже касаются прямой физической безопасности.
В апреле директор Департамента цифрового развития Минстроя и ЖКХ РФ Николай Парфентьев, выступая на форуме ГосСОПКА, обращал внимание на то, что компрометация системы «Умный дом» позволяет хакеру отключить сигнализацию, перехватить управление камерами и микрофонами, а также атаковать контроллеры лифтов, заперев жильцов в квартирах и парализовав работу здания.
Отрасль слабо готова к подобным сценариям: согласно весеннему отраслевому индексу кибербезопасности F6 (2026 г.), строительная отрасль и ЖКХ заняли последнее место, скатившись до 4,9 балла. Эксперты F6 прямо указывали на причину: «Отрасль продемонстрировала резкий рост цифровых активов, а ИБ-процессы не успевают за расширением инфраструктуры». Ситуация, по всей видимости, имеет глубокие корни: еще в 2024 году эксперты «Лаборатории Касперского» отмечали, что количество атак через IoT-устройства в России выросло на 120%.
«Если рассматривать умный МКД с точки зрения киберфизического объекта, то можно выделить несколько ключевых угроз: утечку данных, что характерно для любых ИТ-систем, блокировку отдельных подсистем УМКД, выход из строя оборудования, порчу имущества и угрозы жизни и здоровью людей», — отмечает эксперт Kaspersky ICS CERT Владимир Дащенко.
По словам Дащенко, учитывая доступность инфраструктуры УМКД («умных» многоквартирных домов) для внешних атакующих, реализация угроз в этой сфере может иметь «крайне серьезные последствия».
Две системы, один контур: где возникают риски
УМКД можно условно разделить на две системы, поясняет в комментарии SecPost руководитель ИБ «Алисы» и Автономного транспорта «Яндекса» Борис Рютин. Первая — общедомовая: домофония, видеонаблюдение, системы управления доступом, приборы учёта, инженерная автоматика. Общедомовой контур проектируется вместе со зданием, а после его ввода в эксплуатацию обслуживается управляющей организацией и подрядчиками, говорит Рютин.
«Вторая — устройства, которые житель покупает, подключает и строит свой „умный дом“ сам или с чьей-то помощью. Они обычно связаны с его учётной записью, мобильным приложением и облачными сервисами, а их обновлением занимается производитель», — говорит эксперт.
Риски возникают на стыке этих двух систем: как предупреждали в Минстрое, в уже построенных домах злоумышленник может взломать самое слабое личное устройство, перейти через него в локальную сеть главного сервера здания и оттуда атаковать контроллеры лифтов и систем оповещения.
По мнению Рютина, одним из наиболее реалистичных и массовых сценарииев несанкционированного доступа связан с аккаунтом пользователя, а не с самой техникой. Пользователю угрожает компрометация учетной записи из-за фишинга, переиспользованных паролей, доступа к почте — при этом сами устройства работают штатно, выполняя команды того, кто получил права.
Ситуацию может усугублять и «наследственный» доступ — за несколько лет использования, доступы получают члены семьи, гости.
«А в новостройке с предустановленным умным домом привязки могут существовать ещё до вселения — у застройщика, интегратора или монтажной организации, которые настраивали систему. Современные системы обычно позволяют выдавать права другим пользователям, но про отзыв часто забывают: при переезде, смене арендатора или продаже квартиры привязки нередко остаются», — говорит эксперт.
Цифровые заброшки: почему умные дома некому обслуживать
По данным на 2022 год, большинство российских «умных» новостроек после ввода в эксплуатацию превращаются в «цифровые заброшки». Внедренные девелоперами решения не обслуживаются в полной мере управляющей компанией и не используются в полной мере жителями. Этому статусу, по данным «Лаборатории цифровизации жилья», соответствовало порядка 99% домов, писала «Российская газета».
«Остро стоит вопрос и подготовки кадров, которые могут работать в цифровой системе управления объектами, причем уровень квалификации должен расти постоянно, потому что компании должны будут научиться работать еще и с цифровой моделью объекта», — отмечал тогда руководитель Комиссии по цифровизации Общественного совета при Минстрое, президент Национального объединения организаций в сфере технологий информационного моделирования (НОТИМ) Михаил Викторов.
Этот запрос сохраняется и до сих пор. В МТС считают, что одним из требований к усилению киберустойчивости в умных МКД остается повышение квалификации кадров в ЖКХ — «цифровому зданию нужны специалисты, умеющие с ним работать». Аналогичные пожелания и у Дащенко из Kaspersky ICS CERT.
«В первую очередь необходимо, чтобы застройщики и управляющие компании осознавали важность защиты таких сложных киберфизических систем, как УМКД. Застройщикам следует закладывать киберустойчивость ещё на этапе проектирования здания, а управляющим компаниям — обеспечивать дальнейшее сопровождение и поддержку систем защиты», — считает эксперт.
Как защищают умные дома: опыт Яндекса и МТС
В «Яндексе» обеспечивают безопасность IoT-систем не через функцию, а через процесс, который охватывает весь жизненный цикл, говорит Рютин. Устройство запускает только ПО производителя — что отсекает целый класс сценариев с подменой прошивки. Также минимизируются данные, покидающие устройство, — часть обработки выполняется локально.
«Умные колонки Яндекса, например, распознают слово-активацию непосредственно на устройстве, и передача начинается только после обращения пользователя: постоянная передача всего аудиопотока на сервер технически избыточна и для основной работы не требуется. Исключение — сценарий Радионяни. Принцип общий — чем меньше данных уходит наружу, тем меньше поверхность, требующая защиты», — говорит Рютин.
Рютин приводит кейс из практики компании, который демонстрирует эффективность выстроенного процесса. В BootROM процессоров Amlogic, которые стоят в устройствах «Яндекса», обнаружилась возможность обойти доверенную загрузку через заводской режим USB. BootROM зашит в процессор и программно не обновляется, то есть исправить сам код нельзя, поясняет эксперт.
«Для уже проданных устройств пришлось искать обход: через служебный микроконтроллер на каждое устройство выставили уникальный USB-пароль, закрывающий доступ к уязвимому коду. Это и есть доставка исправления на весь флот в самом неудобном её варианте», — говорит Рютин.
В МТС, которая поставляет комплексные цифровые решения для умных многоквартирных домов (МКД), объединяя оборудование и программное обеспечение для жителей и управляющих компаний, делают ставку на сетевую сегментацию.
«Базовые принципы: разделение сетей, чтобы инженерные системы, видеонаблюдение и сервисы для жителей работали изолированно друг от друга; шифрование данных; централизованное управление доступами», — говорит представитель компании.
Читайте также
