CyberXero: ИИ-агенты Claude Code и утечка данных 2026
Коротко: 6 октября 2026 года исследователи SOCRadar раскрыли операцию хакерской группы CyberXero, которая развернула до 51 специализированного ИИ-агента на базе Claude Code от Anthropic в связке с инструментом пентеста PentAGI и Cobalt Strike. С их помощью злоумышленники автоматизировали разведку и взлом сайтов, а в целевой кампании против украинской энергетики и ЖКХ похитили более 628 тысяч записей — адреса, номера лицевых счетов, IP-адреса и журналы доступа абонентов теплосети Харькова. Одно автоматизированное сканирование за 61 секунду проверило 4708 целей и развернуло 32 веб-шелла.
Что сделала CyberXero
CyberXero — русскоязычный брокер первоначального доступа (IAB), который одновременно вёл два параллельных направления атак. Первое — массовое и полностью автоматизированное: сканирование тысяч сайтов на WordPress и в e-commerce в поисках уязвимых админ-панелей, с последующей продажей доступа другим киберпреступникам. Второе — точечное и управляемое оператором вручную: целевая разведка и кража данных у организаций украинской энергетики и ЖКХ, включая попытки разведки против семи энергокомпаний, в том числе национального оператора энергосети.
Как работали ИИ-агенты
По данным SOCRadar, на рабочей станции оператора было настроено до 51 специализированного агента Claude Code — каждый отвечал за свой этап атаки: разведку, поиск уязвимостей, эксплуатацию, закрепление в системе. Агенты подключались через API ИИ-провайдера к системе автоматизированного пентеста PentAGI и дальше — к серверу Cobalt Strike Team Server для управления заражёнными узлами. Важная деталь: модель неоднократно отказывалась выполнять явно вредоносные задачи, и операторам приходилось переформулировать запросы, чтобы обойти встроенные ограничения безопасности.
Что именно украли
Подтверждённая утечка затронула четыре украинские организации: крупнейший массив — 564 073 записи абонентов харьковской теплосети (адреса, номера лицевых счетов) и ещё 213 340 записей из журналов доступа с таймстемпами и IP-адресами. Всего — более 628 тысяч записей конкретных людей, часть из которых живёт в городе на активной линии фронта, что делает утечку особенно чувствительной.
Почему это важно не только для Украины
История показывает две вещи сразу. Во-первых, автоматизированные атаки на WordPress и e-commerce через ИИ-агентов — это уже не единичный случай, а масштабируемая модель: одно сканирование за минуту проверяет тысячи сайтов. Если ваш сайт или аккаунт на похожей CMS, проверка актуальности паролей и плагинов становится не разовой задачей, а регулярной гигиеной. Во-вторых, для обычного пользователя риск в другом: чем больше сервисов (включая коммунальные и энергетические) хранят ваши адрес, номер счёта и историю обращений, тем выше шанс, что эти данные окажутся в одной из таких утечек — независимо от того, насколько аккуратно ведёте себя лично вы. Разобраться, что делать, если ваш аккаунт уже скомпрометирован, поможет статья как защитить аккаунт от взлома.
Как снизить риск лично вам
- Используйте разные пароли для разных сервисов — поможет менеджер паролей, чтобы не запоминать их вручную и не переиспользовать.
- Включите двухфакторную аутентификацию везде, где есть коммунальные, энергетические или банковские личные кабинеты.
- Если получаете звонок или сообщение от «энергосбыта» или «теплосети» с просьбой подтвердить данные — не называйте ничего в ответ, перезвоните по номеру с официальной квитанции.
- Если держите сайт на WordPress или аналогичной CMS — обновляйте плагины и движок без задержек: именно устаревшие админ-панели стали точкой входа в автоматизированной части этой кампании.
Сама утечка произошла на стороне атакованных организаций, и ни один VPN не остановил бы взлом их серверов. Но когда вы сами входите в личный кабинет энергокомпании, банка или почты через кафе, аэропорт или отельный Wi-Fi, шифрование трафика через LiMP VPN закрывает соседний риск — перехват логина и пароля на уровне чужой сети. Тарифы — от 69 ₽/мес, подробности на странице цены.