Фейкові листи «від ДТЕК» про борги за світло: CERT-UA попереджає про кібератаку UAC-0050

30 жовтня 2026 року Державна служба спеціального зв’язку та захисту інформації повідомила про нову кібератаку угруповання UAC-0050. Зловмисники розсилають електронні листи про «погашення заборгованості за електроенергію» нібито від імені бухгалтера компанії «ДТЕК Енерго». Хвилю таких листів національна команда реагування на кіберінциденти CERT-UA зафіксувала 29 жовтня 2026 року. Основною ціллю названо державні установи, але подібні листи з «боргами за світло» отримують і звичайні користувачі, тож ризик стосується також бізнесу та бухгалтерій.

Як працює атака

За даними Держспецзв’язку, схема має кілька етапів, щоб обійти базові засоби захисту:

жертва отримує лист із вкладеним PDF-файлом, у якому є посилання для «сплати боргу»;
перехід за посиланням запускає завантаження RAR-архіву з легітимного хмарного сховища;
усередині — ще один архів, захищений паролем, і текстовий файл із цим паролем;
фінальний елемент — виконуваний EXE-файл (саморозпаковуваний архів), який встановлює легальну програму віддаленого керування LiteManager.

Програма встановлюється як системна служба з автозапуском, тому зловмисники отримують стабільний прихований доступ до комп’ютера. Конфігурація містить велику кількість легітимних IP-адрес і доменів, серед яких «ховаються» справжні командні сервери хакерів, — це ускладнює виявлення атаки засобами мережевого моніторингу.

У Держспецзв’язку наголошують: атака особливо небезпечна в умовах масових обстрілів енергетичної інфраструктури та стабілізаційних і аварійних відключень, коли листи про борги за електроенергію виглядають правдоподібно.

Кого це стосується

державних установ, органів місцевого самоврядування та комунальних підприємств — основної цілі атаки;
бухгалтерій і фінансових відділів компаній, які щодня обробляють рахунки від постачальників;
ФОП і малого бізнесу, де немає окремої ІТ-служби, а пошту читає власник чи бухгалтер;
кадрових служб і офіс-менеджерів, які отримують велику кількість зовнішньої кореспонденції.

Для бізнесу наслідки зараження — це не лише витік комерційної інформації. Віддалений доступ до комп’ютера бухгалтера може означати доступ до клієнт-банку, кваліфікованих електронних підписів, Електронного кабінету платника податків і персональних даних працівників. Відповідальність за захист персональних даних, які обробляє компанія, лежить на роботодавці.

Практичні поради

Не переходьте за посиланнями в листах про «термінові борги» і не відкривайте вкладення від невідомих або неочікуваних відправників.
Не вводьте паролі для розпакування архівів, отриманих поштою, — архів із паролем у сусідньому файлі є типовою ознакою шкідливої розсилки.
Перевіряйте рахунки лише через офіційні ресурси — застосунки чи верифіковані портали постачальника послуг, а не через посилання з листа.
Обмежте права користувачів: працівники без потреби не повинні мати права адміністратора, щоб не могли встановлювати програми та служби.
Зберігайте ключі КЕП на захищених носіях або в хмарних сервісах із додатковим підтвердженням і не залишайте носії постійно підключеними.
Проведіть короткий інструктаж для бухгалтерії та офісу: покажіть приклад фішингового листа і визначте, кому повідомляти про підозрілі повідомлення.
Якщо файл уже запущено — від’єднайте комп’ютер від мережі, повідомте ІТ-фахівця, змініть паролі з іншого пристрою та за потреби зверніться до CERT-UA.

Окремо варто перевірити внутрішні документи компанії щодо захисту персональних даних і порядку дій у разі інциденту: якщо витік даних працівників чи клієнтів станеться, наявність таких процедур допоможе швидко реагувати та мінімізувати правові ризики.

Джерела:

Потрібна консультація? Юристи АО «Лобі-консалтинг» допоможуть розробити політику захисту персональних даних, порядок дій у разі кіберінциденту та внутрішні документи для роботодавця. Звертайтеся: lobby-consulting.com.