«Солар»: инфраструктура выборов выдержала тысячи DDoS-атак и более 170 млн кибернападений с ИИ на web-сервисы

ГК «Солар» совместно с «Ростелекомом» обеспечила киберзащиту систем, задействованных в проведении дистанционного электронного голосования на выборах в Госдуму, которые проходили с 18 по 20 сентября 2026 года. За три дня специалисты отразили более 3 тыс. волн DDoS-атак мощностью до 1,7 Тбит/c, заблокировали более 170 млн вредоносных воздействий на web-сервисы и предотвратили попытки проникновения злоумышленников в инфраструктуру. Мощность и количество атак превысили объемы предыдущего ЕДГ и выборов Президента в 2024 году. Основными целями стали системы электронного правительства, включая ЕСИА, инфраструктура «Ростелекома», ДЭГ и информационные ресурсы ЦИК. По оценке специалистов, воздействие осуществляли высокоорганизованные профессиональные группировки с применением инструментов искусственного интеллекта (ИИ).

Поднять щиты

Подготовка к киберзащите выборной инфраструктуры началась еще в мае: был организован оперативный штаб и введена усиленная круглосуточная эшелонированная защита ресурсов ДЭГ, ЦИК и связанных с ними систем. Основные усилия были сосредоточены на недопущении компрометации системы, в том числе подмены или раскрытия результатов голосования до завершения официальной процедуры. В обеспечении безопасности было задействовано более 900 экспертов центра противодействия кибератакам Solar JSOC, работающих в разных часовых поясах. Защита включала многоуровневую оценку защищенности ДЭГ, круглосуточный мониторинг аномалий в поведении системы и пользователей, средства блокирования атак и оперативного реагирования. Параллельно специалисты Solar AURA совместно с НКЦКИ (Национальным координационным центром по компьютерным инцидентам) отслеживали и блокировали мошеннические сайты, имитирующие ресурсы ЦИК и ДЭГ.

DDoS-атаки: удар из-за рубежа

За период выборов злоумышленники провели более 3 тыс. волн DDoS-атак. Основная мощь киберударов пришлась на инфраструктуру электронного правительства (ИЭП) - 1968 волн DDoS с максимальной мощностью 1,7 Тбит/с. На ДЭГ пришлось 135 волн мощностью до 209 Гбит/с, на ЦИК – 16 волн мощностью до 18,4 Гбит/с. Еще 420 волн мощностью до 427 Гбит/с были направлены на инфраструктуру «Ростелекома».

Самые мощные по интенсивности атаки шли из сетей недружественных стран. Источниками вредоносного трафика были IP-пространства более 30 государств, в том числе Великобритании, Украины, Бразилии, Индонезии и Индии. При этом в атаках на инфраструктуру электронного голосования среди основных стран-источников также фиксировались США, Китай, Франция, Сингапур и Армения.

Основная часть вредоносного трафика отсекалась на трансграничных маршрутизаторах «Ростелекома» и фильтрах Национальной системы противодействия DDoS-атакам (НСПА). Остаточный трафик дополнительно фильтровался магистральным комплексом защиты от DDoS-атак. Весь выявленный атакующий трафик был зафильтрован, деградации защищаемых систем не зафиксировано.

Более 170 млн воздействий на web-сервисы

В рамках защиты web-серверов было зафиксировано и заблокировано более 170 млн потенциально опасных воздействий злоумышленников, включая попытки поиска и эксплуатации уязвимостей. Под защитой находились vybory.gov.ru, сайт ЦИК и izbirkom.ru. Вредоносный трафик своевременно выявлялся и фильтровался средствами защиты информации. Фактов нанесения ущерба, нарушения доступности или деградации производительности сервисов не зафиксировано.

Атаки на телекоммуникационную инфраструктуру

Одним из основных направлений воздействия стала телекоммуникационная инфраструктура. Фиксировались попытки проникновения и закрепления в системах ДЭГ, а также воздействия на нее с использованием инфраструктуры абонентов телеком-операторов.

В пятницу, 18 сентября, в телекоммуникационной инфраструктуре была зафиксирована внешняя попытка сканирования и подбора учетных данных для доступа к коммутаторам магистральной сети передачи данных. Источники несанкционированных попыток доступа были установлены, развитие инцидента предотвращено.

После многочисленных атак, которые не привели к результату, злоумышленники также пытались воздействовать на сторонние системообразующие инфраструктуры, имеющие значимый общественный статус. В частности, под атаками оказались крупные банки и органы государственной власти.

Таким образом, по мере отражения основных атакующих воздействий злоумышленники расширяли набор целей, пытаясь создать дополнительное давление через предприятия, не связанные напрямую с электронным голосованием.

Вредоносные сайты

Еще до начала выборов специалисты сервиса Solar AURA совместно с НКЦКИ стали фиксировать появление вредоносных веб-ресурсов на тему выборов. Таким образом, с 17 по 20 сентября было выявлено несколько сотен ресурсов, предназначенных для взаимодействия с аудиторией электронного голосования. Речь идет о поддельных сайтах и страницах различных государственных сервисов на тему мероприятия. Значительная их часть была нацелена на перехват доступа к аккаунтам и сбор личных данных граждан. Все страницы были оперативно выявлены и заблокированы.

Единый штаб киберзащиты

Все мероприятия по отражению атак осуществлялись командами ГК «Солар» и «Ростелекома» в рамках общего штаба по кибербезопасности под руководством и во взаимодействии с ФСБ России, НКЦКИ, ФСТЭК России и ГРЧЦ.

Игорь Ляпунов

генеральный директор ГК «Солар»

«Три дня мы фактически находились в состоянии непрерывного киберпротивостояния: одна атака сменяла другую, менялись цели, инструменты и направления ударов. Злоумышленники одновременно пытались воздействовать на инфраструктуру электронного голосования, государственные web-сервисы и телекоммуникационные сети. Когда основные удары были отражены, атаки переносились на другие социально значимые инфраструктуры. Это была проверка на прочность всей системы – от отдельных сервисов до ключевой телекоммуникационной инфраструктуры страны. Самые мощные воздействия шли из-за рубежа, а противостояние разворачивалось сразу по нескольким направлениям. Но ни один из этих ударов не привел к нарушению работы защищаемых систем».

За три дня голосования ни одна атака не привела к недоступности или снижению производительности защищаемых ИТ-инфраструктур, задействованных в выборах.

По итогам информационной кампании, направленной на дискредитацию ДЭГ накануне выборов, проведено расследование, которое подтвердило: инфраструктура ЦИК не взломана – она находится в изолированном контуре и не доступна из интернета, посторонних вторжений в нее не было, все данные выборного процесса надежно защищены.