В III квартале 2026 г. специалисты Curator, провайдера решений в области кибербезопасности и доставки контента, зафиксировали аномально большое число глобальных BGP-инцидентов — 11 утечек маршрутов и один BGP-перехват. Об этом CNews сообщили представители Curator.

При этом в целом число уникальных автономных систем, совершавших BGP-перехваты, продолжает снижаться: в третьем квартале их стало на 38,2% меньше, чем годом ранее. В Curator связывают эту динамику с распространением RPKI ROA — механизма, позволяющего предотвращать значительную часть подобных инцидентов.

В отчетном периоде специалисты Curator зафиксировали показательный случай: злоумышленники провели BGP-перехват, который формально прошел проверку RPKI ROA — механизма, который должен такие перехваты предотвращать. Инцидент стал частью supply chain-атаки на клиентов компании Softaculous, разработчика платформы Virtualizor. Злоумышленники анонсировали более специфичный маршрут к части адресного пространства хостинг-провайдера Hetzner, где размещались ресурсы Softaculous, включая сервер обновлений Virtualizor. Из-за особенностей настройки ROA для этого адресного пространства поддельный маршрут оказался RPKI-валидным и беспрепятственно распространился по интернету. Это позволило злоумышленникам перехватить часть трафика Softaculous, выпустить на свое имя действительный TLS-сертификат для доменов компании и распространить вредоносное обновление Virtualizor среди части клиентов компании.

«RPKI ROA — один из самых эффективных механизмов защиты от BGP-перехватов, и в целом по рынку он действительно резко снижает их число. Но этот случай показывает: сама по себе валидность маршрута с точки зрения RPKI не гарантирует его легитимность, если при настройке ROA для конкретного адресного пространства существуют особенности конфигурирования. Для атаки на цепочку поставок достаточно воспользоваться одной такой недоработкой», — сказал генеральный директор Curator Дмитрий Ткачев.

Снижение числа уникальных автономных систем, совершавших BGP-перехваты, в Curator связывают как раз с ускоренным внедрением RPKI ROA в течение года. При этом число автономных систем, ответственных за утечки маршрутов — проблему, против которой RPKI ROA не защищает, — снизилось всего на 6,4% год к году. Профильные механизмы для борьбы с утечками (RFC 9234 и ASPA) пока находятся лишь на начальных стадиях внедрения, поэтому прогресса здесь ждать рано.

«Разные классы BGP-угроз сейчас движутся в противоположных направлениях: перехваты становятся реже благодаря RPKI, а утечки маршрутов — нет, потому что инструменты защиты от них все еще не стали массовыми. И даже там, где защита работает, остается риск, связанный с особенностями конфигурирования, которыми может воспользоваться целенаправленная атака — как в случае с Virtualizor. Злоумышленники пользуются и тем, что защита от утечек маршрутов не применяется, и особенностями настройки RPKi ROA», — сказал Дмитрий Ткачев.

• Школа Роста CNews — короткие онлайн-программы по востребованным ИТ-компетенциям