Бомба с доставкой на дом: как новая тактика врага использует наши слабости

В конце июня Зеленский объявил о некой "операции по оказанию влияния" и пообещал "40 дней ада" для России. Важно, что исполнителем названа не армия, а СБУ — спецслужба, которая стоит за серией терактов внутри страны против общественных деятелей, политиков и стратегических объектов. Игнорировать такую угрозу нельзя: противник учится и приспосабливается к нашим ошибкам.

Царьград в новом расследовании показывает, как это работает на примерах. Ниже приводим краткое изложение.

Утечка данных

За последние годы мы привыкли к комфорту в сфере онлайн-торговли, особенно повлияла на это пандемия ковида. Всё больше людей заказывают доставку, будь то еда или смартфон. Потенциально становясь жертвами террористов.

Проблема — утечки данных торговых сервисов. По оценкам аналитиков InfoWatch, Россия в числе лидеров по утечкам информации из торговых организаций. Основной канал — Сеть (более 95% утечек), но и небольшая доля утечек из облаков и ЦОДов опасна: одна взломанная база способна выдать массив персональных данных миллионов пользователей.

Маркетплейсы и интернет‑магазины особенно уязвимы: на них приходится свыше половины инцидентов в 2021–2024 годах. Хакеры берут CRM‑системы, где хранятся базы покупателей, аналитика и интеграции. Украденные данные попадают к конкурентам, мошенникам и разведкам; последние представляют государственную угрозу — из баз легко выделить нужных персон: военных, чиновников, их семьи, зарегистрированные на маркетплейсах.

Всё реально

Свежий пример: покушение на доктора политических наук, первого главу МГБ ДНР, полковника Андрея Пинчука. 12 июня у его дома взорвалась мина в момент, когда он принимал доставку от "Озона". По его рассказу, операция по ликвидации началась ещё в декабре: злоумышленники пытались выяснить адреса и время пребывания. В марте сигналом послужила странная списанная сумма с "премиума" сервиса — знак взлома аккаунта. Диверсанты получили доступ к аккаунту, знали о двух доставках и ждали второй, чтобы активировать взрыв — курьер отметил посылку как "доставленную" и это сработало как сигнал.

Технически им помог бывший сотрудник Пинчука, который указал "мёртвые зоны" системы наблюдения, а также взлом системы управления подстанцией: на час был небольшой блэкаут, в течение которого с шестикамерной записи вырезали 32 минуты. Меньше случайностей не получилось — полковник успел выйти навстречу курьеру и тем самым сорвал задуманный сценарий.

Схемы использования доставки разнообразны, но сводятся к двум основным сценариям:

"Чудесная подмена". Курьер не в курсе: злоумышленники получают доступ к аккаунту и отслеживают, когда и кто получит заказ. Пока курьер едет, на месте готовят засаду, закладывают устройство и ждут сигнала о передаче посылки. Вариант — подмена посылки в пути, но он сложнее.

"Киллер под видом курьера". Исполнитель — сам доставщик. Трудоустройство фиктивно или реальное, маскировка проста: курьеров в униформе не запоминают, их тысячи. Такой вариант использовали при нескольких попытках терактов и покушений: нападение на генерал‑лейтенанта Владимира Алексеева (февраль 2026), попытка взрывов по адресам офицеров Минобороны (июль 2024) и отравление в Армавире (октябрь 2023), где через курьера пытались принести отравленные угощения. В деле Кириллова исполнители также работали в службе доставки.

Откуда берутся данные? Адреса, графики доставки и имена получателей аккумулируются в базах маркетплейсов и курьерских служб — и регулярно "утекают". Крупные инциденты уже были: утечка базы "Озона" в 2019 (почти полмиллиона аккаунтов) и сообщения о компрометации пользователей "Вайлдберриз" в 2023 году. Сервисы доставки тоже фигурируют в утечках. Формально закон №242‑ФЗ требует хранить персональные данные внутри страны, и многие платформы инвестируют в собственные ЦОДы. Но проекты дорогостоящие: часть объявленных дата‑центров заморожена, компании арендуют мощности и расширяют зарубежное присутствие. "Озон" в 2024–2025 годах размещал тендеры на аренду серверов в ряде стран, включая и сомнительные локации. Это вызывает вопросы: кто контролирует зарубежные сервера, кто имеет доступ к данным и насколько они защищены от проникновения разведок?

Саму уязвимость компании признают. Типичный пример из сети — звонок от "оператора", знающего имя, отчество и состав заказа, который подтверждает передачу курьеру — явный признак того, что данные доступны посторонним. Это не просто нарушение приватности: в конкретных случаях такие сведения стали триггером для терактов и покушений.

Что с того?

Маркетплейсы, которые упростили повседневную жизнь, при этом стали "троянским конем": собирают адреса, телефоны, геолокации и платёжные данные — и оказываются уязвимыми. Враг уже использует эти "окна возможностей" для ликвидации наших генералов и терактов.

Возможный выход, который обсуждается в расследовании, — перевод маркетплейсов под государственный контроль или их национализация. Это непопулярный шаг, но аргумент прост: безопасность государства важнее сверхприбылей частных игроков.

Плюсы: строгая проверка курьеров, централизованная защита баз данных на уровне, близком к требованиям для гостайны, запрет зарубежных серверов в сомнительных юрисдикциях. Минусы: сервисы будут работать медленнее, коммерческая часть пострадает, и есть риск повторить ошибку с "гос‑заменой" популярных продуктов — когда попытка подменить массовый сервис государственным решением привела к ухудшению сервиса.

Итог: угроза реальна и меняет правила игры. Пока частные маркетплейсы приносят сверхприбыли и курьер выходит из лифта с пакетом, по ту сторону экрана может сидеть не алгоритм рекламы, а киллер, действующий по расписанию. Ответ на такую проблему требует серьёзных решений по защите данных, кадровому контролю служб доставки и, возможно, изменения модели управления цифровой инфраструктурой.