Хакер твърди, че е влязъл във Военногеографска служба

Хакер, който се подписва с псевдонима ByteToBreach, твърди, че е проникнал в мрежата на Военногеографската служба към Министерството на отбраната и е изнесъл данни от сървъри и бази данни. Твърдението е публикувано в хакерски форуми в даркнет заедно със скрийншотове, а самият пробив се датира към 6 август 2026 г., съобщава Kaldata. Официално потвърждение няма — нито Военногеографската служба, нито министерството са коментирали случая, така че засега това си остава недоказана претенция.

Какво твърди хакерът

Формулировката на ByteToBreach е показателна за мотивацията му: „Бързото проникване в много малка мрежа на въоръжените сили на България се оказа златна мина. Въпреки сравнително малкия размер на инфраструктурата беше събрано добро количество данни от сървъри и бази данни, файлове и информация.“

Като доказателство са публикувани няколко екранни снимки. На тях се вижда достъп до устройство с IP адрес, свързван с мрежата на Министерския съвет и конкретно с Военногеографската служба, както и визуализация на база данни със записи, които включват имена, ЕГН, потребителски имена и хеширани пароли. В извадките присъства и информация за висши военнослужещи.

За самия достъп хакерът твърди, че е използвал Metasploit срещу уязвимости в инфраструктурата на организацията — тоест не става дума за някаква екзотична техника, а за стандартен инструмент за тестове за проникване, насочен към незакърпени услуги.

Кой е ByteToBreach

Името не е ново. През юли същият псевдоним стоеше зад изтриването на данни от кадастъра на Румъния, а в началото на август — зад пробив в системи на унгарската Държавна хазна (Magyar Államkincstár), конкретно агенцията за земеделие и селско развитие MVH. Според Risky Business входната точка в Унгария е бил незакърпен сървър с Oracle WebLogic, а сценарият е комбиниран: първо източване на данни, после криптиране с уязвим ransomware щам.

Изследователите от KELA свързват псевдонима с конкретно лице — Zakaria Mahdjoub от Оран, Алжир. Самият хакер признава, че действа за лична изгода, което го поставя по-скоро в графата „финансово мотивиран“, отколкото „държавно спонсориран“. Схемата е позната: стар необновен сървър, публично известна уязвимост, готов експлойт. Същият модел видяхме и при атаките срещу SharePoint дни след публикуван PoC код.

Защо Военногеографската служба е чувствителна цел

Военногеографската служба е военно формирование извън структурата на Българската армия, юридическо лице на бюджетна издръжка със седалище в София и териториално звено в Троян. Задачата ѝ, описана на сайта на министерството, е геоинформационното осигуряване — карти, схеми, анализи на местността и цифрова информация за терена за нуждите на въоръжените сили и на структурите, отговорни за отбраната и националната сигурност.

С други думи, дори „малката мрежа“, за която говори хакерът, е част от периметъра на отбраната. А ако извадките с ЕГН и хешове на пароли са автентични, рискът не се изчерпва с изтеклите файлове: хешираните пароли се разбиват офлайн, а повторно използвани идентификационни данни отварят врати към други системи — точно както се случи при изтеклите терабайти пароли и токени от LiteLLM.

Контекстът: държавните мрежи вече са под въпрос

Случаят идва броени дни след като на 5 август Министерството на иновациите и цифровата трансформация обяви, че е установен неоторизиран достъп до част от административните мрежи в страната, като наличните данни сочат, че активността е продължила години. Пробивът е засечен при внедряването на новата национална система за киберсигурност, а по случая тече мащабно техническо разследване, съобщи БТА. Ведомството откри и адрес за въпроси: cyber@midt.government.bg.

Какво следва

Дотук имаме твърдение, скрийншотове и мълчание от институцията. Ако очаквате бърза яснота, вероятно ще се разочаровате — при подобни случаи потвърждението (или опровержението) обикновено идва след дни или седмици, а понякога изобщо не идва. Разумното поведение засега е да следите официалните съобщения на министерството и на службата, а всяка публикация на „изтекли данни“ да приемате критично, докато не бъде проверена независимо.

Ако наистина се окаже автентичен, пробивът ще е поредното напомняне, че най-често вратата не е разбита — просто е останала незаключена от години.