04 июля 2026 г., 22:38 (МСК) — с начала года официальный портал ФСИН России ежедневно отражает тысячи кибератак. С 17 января 2026 г. ведомство подвергается массированным DDoS-штурмам, за которыми, по данным спецслужб, скрывается хакерская структура, известная в даркнете как «Эль-группа». В этой статье разберёмся, кто такие «эль-группировщики», как они действуют и почему именно ФСИН стала их мишенью № 1.
Что такое «Эль-группа»?
«Эль-группа» — это условное название коалиции хакеров, впервые замеченной в конце 2024 года на форумах RaidForums и Exploit.in. Основные приметы:
- Формат атак: преимущественно Layer-7 DDoS (HTTP-флуд, Slowloris, DNS-амплификация).
- Инфраструктура: ботнет из 145–200 тыс. заражённых устройств, включая IoT-камеры и маршрутизаторы.
- Мотивация: политический вандализм, продажа «хронометража отказа» (время недоступности сайта) и вымогательство.
- Язык коммуникации: русский, испанский, английский; на форумах фигурируют ники «El_Sheriff», «La_Ley» и «ElCapo_2026».
Почему именно ФСИН?
Согласно отчёту CERT-FIN (Центр реагирования на компьютерные инциденты в финансовом секторе), в 2025 г. 63 % кибератак на госсектор были направлены на органы исполнения наказаний. Причины:
- Высокий общественный резонанс. Любой сбой в работе ФСИН вызывает волну публикаций и слухов;
- Данные заключённых. В системах ФСИН хранятся персональные досье более чем 438 тыс. осуждённых — лакомый кусок для продажи на дарк-рынке.
- Политический шантаж. Подрыв репутации ведомства в год выборов 2026 г. — один из целей «Эль-группы».
Как происходит атака
Фаза 1: разведка (декабрь 2025 г.)
Хакеры собрали DNS-историю 11 поддоменов fsin.gov.ru и выявили уязвимые API-эндпоинты для онлайн-записи на свидания.
Фаза 2: эксплуатация (январь 2026 г.)
- 17 января в 03:15 (МСК) начался первый UDP-флуд (2,3 Тбит/с). За 72 мин. сайт лёг.
- 20 января добавили HTTP-GET-атаки через 7 200 зомби-компьютеров, имитирующих браузеры Chrome 118 и Firefox 121.
- 22 января попытка SQL-инъекции через уязвимость в плагине WordPress (использовали
/?author=1).
Фаза 3: удержание (февраль–июнь 2026 г.)
Каждые 24–48 часов «Эль-группа» меняет IP-адреса ботнета (топ-3 страны: Вьетнам, Бразилия, Украина). Среднее время восстановления ресурса, от 35 до 85 минут.
Ответ ФСИН и спецслужб
Технические меры
- Перенос критического трафика на государственный ЦОД «Мир» (Минкомсвязь).
- Развёртывание анти-DDoS-экранов StormWall иQrator Labs.
- Закрытие внешнего доступа к админ-панелям (доступ только через VPN и ключи FIDO2).
Юридические меры
1 марта 2026 г. Следственный комитет РФ возбудил уголовное дело по ч. 3 ст. 273 УК РФ («Создание, распространение вредоносных программ»). В июне международным партнёрам через Интерпол передали 14 IP-адресов, зафиксированных на момент атаки.
Что ждёт «Эль-группу» дальше?
По данным Group-IB, доход от атак на госресурсы в 2025 г. составил ≈ $1,7 млн, но цена продолжения роста: взятки за «бездействие» Роскомнадзора и ФСБ уже превысили $310 тыс. Несколько участников коалиции начали «сливать» IP-адреса друг друга, чтобы получить амнистию. В итоге:
- июнь 2026 г. — арест двух подозреваемых в Волгограде (админов ботнета);
- июль 2026 г. — блокировка 17 телеграм-каналов «Эль-группы».
Практические советы: как обезопасить себя
Даже если вы не сотрудник ФСИН, советы актуальны для любого госресурса:
- Используйте WAF (Web Application Firewall) с правилами OWASP Top 10 2025.
- Мониторьте трафик через SIEM-систему: обратите внимание на аномальный User-Agent
Mozilla/5.0 (ElBot 2.1). - Обновляйте CMS в течение 48 часов после выхода патча.