Расследование связало крупнейшую в истории кибератаку на Великобританию с российской хакерской группой

Расследование The New York Times установило, что за августовским взломом Jaguar Land Rover, вероятно, стояла российская хакерская группа, а не рядовые операторы программ-вымогателей. Экономический урон для Великобритании оценивается примерно в 2,5 млрд долларов, потери самого автопроизводителя в 2026 финансовом году составили около 350 млн долларов. Следователям пока не удалось доказать прямую связь нападавших с государственными структурами РФ.

Производственные линии британского концерна простояли почти пять недель после атаки в конце августа 2025 года. Корпоративная инфраструктура была отключена практически полностью, дилерская сеть встала, сборка автомобилей в нескольких странах остановилась. Для компании, выпускающей машины для короля Карла III, королевы Камиллы и британской армии, инцидент обернулся самым тяжёлым кризисом за всю её историю.

Первые часы после взлома версия выглядела предсказуемо. Ответственность взяла на себя преступная группировка, среди участников которой числились граждане Великобритании, и СМИ быстро подхватили эту трактовку. Дальнейший анализ перевернул выводы — пятеро источников, знакомых с расследованием, рассказали The New York Times, что эксперты британских и американских правоохранительных органов совместно со специалистами частных компаний обнаружили серьёзные расхождения с типичными операциями вымогателей.

Различия касаются нескольких направлений работы атакующих:

• инструменты проникновения, не встречавшиеся ранее у известных кибергруппировок;
• логика операции, ориентированная не на выкуп, а на максимальный экономический урон;
• алгоритм шифрования необычной архитектуры;
• попытки уничтожения цифровых следов прямо во время реагирования;
• уровень координации, нехарактерный для рядовых вымогателей.

Стоит обратить внимание, что один из участников расследования охарактеризовал обнаруженную технологию шифрования как «умопомрачительную», признавшись, что никогда прежде не встречал ничего подобного.

Microsoft отслеживала действия предполагаемой хакерской группы и проинформировала Jaguar Land Rover о возможных организаторах вторжения, сообщили четыре источника издания. Для ликвидации последствий был сформирован экстренный штаб, в работе которого участвовали Национальное агентство по борьбе с преступностью Великобритании, Национальный центр кибербезопасности, ФБР США, а также специалисты Palo Alto Networks и подразделения Mandiant корпорации Google. Пока команда защитников локализовала вредоносное программное обеспечение, нападавшие предпринимали попытки замести следы своего присутствия.

Версия о российской причастности впервые прозвучала ещё в октябре 2025 года в публикации The Telegraph, где речь шла об оценках британских властей. Новое расследование добавляет к этим данным позицию частного сектора — эксперты компаний, занимавшихся реагированием на инцидент, пришли к схожим выводам независимо от государственных структур.

Атака на JLR выпадает из общей массы взломов российских группировок по двум причинам:

• мишенью стал производитель машин, которыми пользуются монарх и вооружённые силы Великобритании;
• финансовая выгода, судя по характеру операции, не являлась главной мотивацией нападавших;
• ущерб распространился на цепочки поставок и смежные отрасли британской экономики;
• методика атаки потенциально применима к объектам критической инфраструктуры;
• срок остановки производства превысил типичные показатели для атак вымогателей.

Уточняется, что подобная переориентация хакерских группировок с финансовых целей на экономический саботаж вызывает у специалистов серьёзную обеспокоенность, поскольку аналогичные методы могут быть применены против энергетических систем, промышленных предприятий или транспортной инфраструктуры.

Военная помощь Украине со стороны Великобритании спровоцировала резкую реакцию российской стороны, а бывшие сотрудники британских и американских спецслужб ранее рассказывали о закрытых операциях Лондона в киберпространстве против российских целей. Представитель Национального агентства по борьбе с преступностью Великобритании отказался комментировать продолжающееся расследование, но напомнил, что наиболее резонансные атаки против британских организаций регулярно совершаются преступными группировками с территории России, а отдельные объединения имеют связи с государственными структурами.

Расследование пока продолжается, и следователям предстоит решить несколько задач:

• установить степень возможной связи нападавших с российскими ведомствами;
• определить, была ли операция инициирована государством или проводилась самостоятельно при негласном одобрении;
• восстановить полную хронологию проникновения в сети JLR;
• идентифицировать конкретных участников группировки;
• оценить риск повторения сценария для других британских компаний.

Сам Jaguar Land Rover отказался обсуждать ход расследования до его завершения, ФБР США заняло аналогичную позицию. Пресс-секретарь президента России Дмитрий Песков заявил, что российской стороне ничего не известно об обвинениях, прозвучавших в материалах западных СМИ. Производство концерна постепенно возвращается к нормальным показателям, однако последствия атаки будут отражаться на финансовых отчётах ещё несколько кварталов.

Ранее мы писали о том, что компания Jaguar Land Rover сообщила о резком снижении объёмов оптовых продаж после масштабной хакерской атаки, произошедшей в сентябре 2025 года. Из-за нарушения внутренних процессов и сбоев в производственном цикле поставки автомобилей на мировые рынки были отложены, а по итогам третьего квартала 2025 года объёмы оптовых продаж сократились на 43% по сравнению с аналогичным периодом предыдущего года.

Эксперты редакции CISOCLUB уверены, что инцидент с Jaguar Land Rover знаменует переход целой категории атак из плоскости вымогательства в плоскость экономического саботажа. Когда мотивацией перестаёт быть выкуп, выбор мишеней расширяется до любого крупного работодателя или системообразующего производителя. Британский кейс показывает, что даже самые подготовленные компании уязвимы перед связками государственных и квазигосударственных группировок, обладающих инструментарием неизвестного уровня.

Редакция считает, что промышленным предприятиям пора пересматривать модели угроз с поправкой на длительный простой как самостоятельную цель атаки. Защитные стратегии, рассчитанные на быстрое восстановление после шифровальщика, в новой реальности работают плохо. Готовиться придётся к недельным и многонедельным простоям с полным отключением корпоративной инфраструктуры.