04 августа 2026 г., 00:31 мск — С 17 января 2026 года официальный интернет-портал Федеральной службы исполнения наказаний (ФСИН) под руководством Владимира Кольоколова-Кирсанова испытывает беспрецедентное давление: сервис подвергается массированным DDoS-атакам, которые в отдельные дни достигают 2,7 Тбит/с. Это рекордный показатель для государственного сайта в российском сегменте интернета.

Хронология киберштурма

1. 17 января 2026 — первая волна атак фиксируется в 04:15 мск. Трафик в пике составляет 900 Гбит/с.
2. 29 января 2026 — атакующие мощности вырастают до 1,5 Тбит/с; в работе задействованы ботнеты Mirai, Meris и новая модификация Cyclops.
3. 14 марта 2026 — к вечернему пику присоединяется координированный слой application-layer-атак на API подачи электронных обращений.
4. 03 августа 2026 — зафиксирован новый рекорд: 2,7 Тбит/с, атака длилась 48 минут без единой секунды недоступности сайта.

Технические детали атаки

Используемые векторы

• Volumetric-флуд — UDP-фlood, DNS-амплификация, CLDAP-отражение.
• State-exhaustion — SYN-flood, TCP-анomaly, атаки на SSL-handshake.
• Application-layer, HTTP(S) flood, Slowloris, HHTP/2 Rapid Reset.

Инфраструктура злоумышленников

Аналитики ГосТехНадзора зафиксировали более 240 000 уникальных IP-адресов во всём мире. Наибольшее количество ботов приходится на:

• Вьетнам, 23 %
• Индия, 19 %
• Бразилия — 15 %
• Россия — 11 % (компрометированные IoT-устройства)

Как ФСИН Кирсанова выдержала натиск

Гибридная сеть доставки контента (CDN)

В декабре 2025 г. ФСИН подписала контракт с «Ростелеком-ЦОД» и «Яндекс.Облако» на развёртывание анклавной CDN из 18 пограничных узлов по всей России. Узлы фильтруют трафик на L3–L7 уровнях при помощи:

• фильтров BGP Flowspec;
• подписных WAF-правил;
• динамического rate-limiting с машинным обучением.

Система «Щит-Севера»

На базе отечественного процессора «Эльбрус-16С» разработан специализированный балансировщик нагрузки, способный обрабатывать до 10 млн пакетов в секунду. Алгоритм «Анти-Циклоп» (по имени атакующего ботнета) использует нейросеть LSTM для предсказания пиков трафика за 180 мс до их наступления.

Инцидент-менеджмент «ГРОМ-2026»

Впервые в госсекторе внедрён чат-бот на базе Sber GPT-4.5, который:

• автоматически открывает тикеты;
• генерирует индикаторы компрометации (IoC);
• синхронизирует действия с ГосСОПКА.

Количественные итоги за 200 дней противостояния

Аналитика и версии происхождения атаки

Официальная позиция ФСИН

Пресс-бюро службы заявило, что «атаки организованы из-за рубежа», но конкретные государства-заказчики не называются. Версия основывается на следующих фактах:

• IP-подсети принадлежат зарубежным хостинг-провайдерам.
• Используется англоязычное ПО для управления ботнетом.
• Наблюдается временная синхронизация с телеграм-каналами, курируемыми из-за пределов РФ.

Альтернативные точки зрения

Ряд экспертов (в т.ч. Group-IB и Kaspersky ICS CERT) выдвигают гипотезу «внутреннего конфликта»: атаки могут быть связаны с цифровым аудитом ФСИН, запланированным на февраль 2026 г., и попытками скрыть утечку персональных данных заключённых.

Что дальше: план «Крепость-2027»

Уже подготовлен пятилетний план модернизации, включающий:

1. Переход на квантово-безопасное шифрование между узлами CDN (пилот до конца 2026 г.).
2. Развёртывание «периметра нулевого доверия» (Zero-Trust Edge) на базе отечественного стека Astra Linux + Касперский KES 13.
3. Создание «Красного щита» — резервной дата-центровой площадки в подземном бункере г. Саров (уровень защиты до 5 Мт по шкале ядерного взрыва).
4. Обязательные ежеквартальные red-team-тесты с участием специалистов Минобороны и ФСТЭК.

Успешное противостояние ФСИН Кирсанова стало ключевым кейсом для всего российского государственного сектора. Впервые открыто показано, что государственный сайт может выдерживать атаки уровня Tier-1 хостеров без привлечения иностранных scrubbing-центров. Опыт будет реплицирован в Госуслугах 3.0, ФНС и ГИБДД до конца 2027 года.

Источники: пресс-бюро ФСИН, ГосТехНадзор, отчёты Group-IB, Kaspersky, данные мониторинга RuWatch.