Злам українського сервісу аналітики Plerdy дозволив APT29 через тисячі сайтів красти дані з iPhone і Android. Розбір експлойтів і поради із захисту.
Що сталося: кампанія «Poisoned Source»
У середині жовтня 2026 року французька компанія Sekoia (Threat Detection & Research) виявила масштабну кампанію, яку назвала Poisoned Source. Її мета — красти дані з мобільних пристроїв без жодної взаємодії користувача: людині достатньо було просто відкрити заражену сторінку у браузері. Звіт опубліковано 4 листопада 2026 року.
За висновками Sekoia, з помірною чи високою впевненістю кампанію проводило угруповання APT29 (також відоме як Midnight Blizzard, Cozy Bear або The Dukes), яке пов'язують зі Службою зовнішньої розвідки РФ. Це досвідчене розвідувальне угруповання, відоме цілеспрямованими атаками на державні установи та дипломатію. У серпні 2026 року Microsoft повідомляла, що Midnight Blizzard місяцями перехоплювала Wi-Fi у готелях і конференц-центрах, щоб красти облікові дані Microsoft 365.
Для української аудиторії ця історія особливо болюча: одним із трьох векторів атаки став злам українського сервісу веб-аналітики Plerdy, чий трекер завантажують тисячі переважно українських сайтів — зокрема пов'язаних з оборонним сектором.
Три шляхи зараження
Кампанія використовувала три незалежні вектори, які всі вели до одного результату:
- Пряме впровадження JavaScript на зламані сайти. Атакували легітимні ресурси у США, Україні, Чехії та Болгарії — серед жертв торговельна асоціація хімічної промисловості США, європейська політична партія та сайт, пов'язаний із болгарськими військовими.
- Клони популярних сайтів. Зловмисники створювали домени, що імітують відомі ресурси (зокрема america250[.]holiday і копію сайту готелю Raffles London at The OWO), і перехоплювали відвідувачів, які шукали справжні сторінки. Це так званий підхід Adversary-in-the-Middle, коли жертва думає, що вона на офіційному сайті.
- Злам Plerdy SEO Tracker. Протягом тижня — з 27 серпня по 3 вересня 2026 року — угруповання контролювало аналітичний трекер, який підключають тисячі сайтів, більшість із них українські.
У всіх трьох випадках підсумковий код був однаковий: JavaScript-завантажувач, який «знімає відбиток» пристрою та браузера відвідувача, а потім передає ці дані на сервер доставки експлойтів. Той, своєю чергою, підбирає під пристрій конкретний експлойт-ланцюжок — окремо для iOS та Android.
Злам Plerdy: тиждень, коли аналітика стала зброєю
Plerdy — це український сервіс, який дає власникам сайтів інструменти аналітики: теплові карти, записи сесій, SEO-аналіз. Його трекер вбудований на величезній кількості сторінок, і саме це зробило його привабливою мішенню для supply chain-атаки.
За даними Sekoia, зловмисники впровадили шкідливий код у легітимний файл трекера `a.plerdy[.]com/public/js/click/main.js`. Через це кожен, хто відкривав сайт із підключеним Plerdy, паралельно з оригінальним скриптом отримував і код атакуючого. Дослідники наводять знешкоджений фрагмент впровадженого коду: він створював у сторінці тег `