Более 2500 жертв и терабайты секретов: хакеры взяли главные ключи к мировой ИТ-индустрии
Глобальная атака на цепочку поставок компьютерных программ привела к утечке секретных данных более чем 2,5 тысячи организаций по всему миру. Среди пострадавших оказались мировые гиганты технологической, аэрокосмической и финансовой отраслей.
Что произошло
Как сообщает издание TechRadar, причиной масштабной утечки стал шлюз с открытым исходным кодом LiteLLM, который преобразует API-вызовы для более чем 100 больших языковых моделей в единый формат, совместимый с OpenAI. Сам инструмент LiteLLM злоумышленники из финансово мотивированной группировки TeamPCP напрямую не взламывали. Вместо этого 24 марта 2026 года они провели атаку на известную уязвимость в сканере безопасности Trivy от компании Aqua Security.
Автоматизированная система LiteLLM загрузила модифицированный пакет Trivy без проверки цифрового идентификатора. Вредоносная программа получила привилегии администратора сервера и установила специальное ПО для кражи данных.
В результате киберпреступники получили доступ к ключам облачных сервисов, ключам SSH, токенам Kubernetes, переменным окружения и ключам доступа к провайдерам искусственного интеллекта.
Кто оказался под ударом
По данным аналитиков из компаний CloudSEK и Hudson Rock, злоумышленники собрали учетные данные более 2,5 тысячи организаций и 434 тысяч конвейеров непрерывной интеграции и развертывания. В список пострадавших попали такие большие компании, как Cisco, Samsung, Salesforce, Amazon Web Services, Airbus U.S. Space & Defense, Thales Group, Deutsche Bahn, Munich Re и London Stock Exchange Group.
Эксперты компании Hudson Rock проанализировали массив данных объемом 195 терабайт и опубликовали архив размером 153 гигабайта.
Специалисты отмечают, что такая атака представляет гораздо большую угрозу безопасности, чем обычная утечка данных, ведь хакеры получили универсальный доступ ко многим защищенным системам без необходимости взламывать их по отдельности.
Почему угроза сохраняется до сих пор
Спустя почти 5 месяцев после первоначального проникновения похищенные данные по-прежнему представляют реальную опасность для инфраструктуры многих предприятий.
Некоторые из похищенных цифровых ключей до сих пор остаются действительными,
– говорит независимый исследователь в области кибербезопасности Кевин Бомонт.
Такая ситуация сохраняется несмотря на публичные заявления пострадавших организаций о полной замене скомпрометированных ключей на новые. В настоящее время аналитические компании запустили специальные онлайн-инструменты проверки доменов, чтобы компании могли самостоятельно оценить собственные риски и защитить свои секреты.