Gdzieś w Kijowie mężczyzna siada do laptopa. Nie ma munduru. Nie ma karabinu. Ma terminal, lista celów przyszła godzinę temu przez Telegram. Za oknem wyją syreny przeciwlotnicze. On otwiera narzędzie do ataków DDoS i zaczyna.
Gdzieś pod Moskwą, w budynku bez tabliczek, inny człowiek patrzy w ekran przez szósty miesiąc z rzędu. Czeka. Jego malware od miesięcy siedzi uśpiony w serwerach ukraińskiego operatora telekomunikacyjnego. Jeszcze nie czas.
Obaj walczą w tej samej wojnie. Żaden nie jest żołnierzem w rozumieniu prawa.
Żeby zrozumieć cyberfront ukraińskiej wojny, trzeba cofnąć się o kilkanaście lat. Rosja nie zaczęła hakować Ukrainy w lutym 2022 roku. Zaczęła co najmniej w 2013.
W grudniu 2015 roku mieszkańcy zachodniej Ukrainy obudzili się bez prądu. Nie była to awaria techniczna. Była to demonstracja. Hakerska jednostka znana dziś pod nazwą Sandworm — działająca w strukturach rosyjskiego wywiadu wojskowego, GRU, jako Jednostka 74455 — przez wiele miesięcy cierpliwie infiltrowała systemy sterowania ukraińskich elektrowni. Kiedy nadszedł właściwy moment, po prostu wyłączyła światło. Ponad 230 000 ludzi zostało bez prądu na kilka godzin.
Rok później to samo. Tym razem użyto narzędzia nazwanego później Industroyer — pierwszego publicznie potwierdzonego malware'u stworzonego specjalnie do komunikacji z systemami przemysłowymi zarządzającymi sieciami energetycznymi. Industroyer potrafił rozmawiać z elektrownią w jej własnym języku. Wyłączyć ją jak przełącznik.
Sandworm nie wybierał ofiar przypadkowo. Badacze bezpieczeństwa, śledząc kod ich kolejnych narzędzi — BlackEnergy, GreyEnergy, Industroyer, NotPetya — znaleźli w nim coś nieoczekiwanego: odwołania do powieści Franka Herberta Diuna. Nazwy kluczy szyfrujących: arrakis02, houseatreides94, BasharoftheSardaukars. Hakerzy, którzy gasili światło milionom ludzi, podpisywali swój kod cytatami z science fiction. To pozwoliło analitykom połączyć ze sobą ataki rozłożone na lata.
Latem 2017 roku Sandworm zrobił coś, czego prawdopodobnie sam się nie spodziewał.
Jego broń, zaprojektowana jako atak na ukraińską infrastrukturę krytyczną, uciekła poza granice Ukrainy i pożarła świat.
NotPetya wyglądała jak oprogramowanie ransomware — na zainfekowanych komputerach pojawiała się wiadomość z żądaniem 300 dolarów w bitcoinach w zamian za odszyfrowanie danych. Tyle że był to kamuflaż. NotPetya nie szyfrowała danych po to, żeby je oddać. Niszczyła je bezpowrotnie. Klucz do odszyfrowania nie istniał. Cały mechanizm płatności był atrapą.
Wirus dostał się do globalnej sieci przez aktualizację popularnego ukraińskiego oprogramowania księgowego M.E.Doc — używanego obowiązkowo przez firmy działające na ukraińskim rynku. Przez tę furtkę NotPetya w ciągu kilku godzin rozlała się po sieciach korporacyjnych całego świata.
Duński gigant żeglugowy Maersk, kontrolujący około 20% światowego transportu kontenerowego, w jedną noc stracił dostęp do wszystkich 45 000 komputerów i 4000 serwerów. Systemy rezerwacji przestały działać. Portowe terminale na całym świecie — w Rotterdamie, Mombasa, Los Angeles — stanęły. Dziesiątki tysięcy ciężarówek zostało odprawionych z kwitkiem. Łańcuchy dostaw, od których zależy połowa globalnego handlu, zerwały się jak nitka.
Farmaceutyczny koncern Merck stracił dane produkcyjne — przez kilka tygodni nie mógł wytwarzać niektórych leków. Jego straty szacowano na 870 milionów dolarów. Firma przez lata procesowała się z towarzystwem ubezpieczeniowym Ace American, które odmówiło wypłaty odszkodowania, powołując się na klauzulę wyłączającą "działania wojenne". Sąd ostatecznie orzekł na korzyść Merck — bo NotPetya była dziełem obcego państwa, ale Merck nie był jej celem.
Łączne straty: ponad 10 miliardów dolarów. Doradca Białego Domu ds. bezpieczeństwa Tom Bossert powiedział wtedy: "To było jak użycie bomby nuklearnej, żeby odnieść małe taktyczne zwycięstwo". Lekkomyślność na skalę, której nie powinno się tolerować w żadnej społeczności narodów.
Ukraina była poligonem. Reszta świata dostała rykoszetem.