Venäjän kybervakoilu

Kyberuhat ovat keskeinen osa kansainvälistä turvallisuusympäristöä. Venäjä on Kiinaan ohella tullut tunnetuksi kybertoimijana, joka hyödyntää hakkeriryhmiä osana valtiollista strategiaansa.

Näiden ryhmien toiminta ei rajoitu vain vakoiluun, vaan ulottuu myös informaatiovaikuttamiseen ja kriittisten infrastruktuurien lamauttamiseen. Vaikka ryhmät toimivat näennäisesti itsenäisesti, monet niistä on yhdistetty suoraan Venäjän tiedustelupalveluihin, kuten GRU:hun, SVR:ään ja FSB:hen.

Venäjään yhdistetyt hakkeriryhmät muodostavat monikerroksisen ja tarkoituksenmukaisesti rakennetun kyberoperaatioverkoston. Ne toimivat osana laajempaa geopoliittista strategiaa, jossa informaatiosota ja kybervakoilu täydentävät perinteisiä sotilaallisia ja diplomaattisia keinoja.

Ryhmien toiminta osoittaa, kuinka kybertila on muuttunut valtioiden välisen kilpailun ja konfliktien uudeksi rajattomaksi kentäksi, jonka toimijoita on vaikea jäljittää. Tulevaisuudessa kyberturvallisuuden merkitys kasvaa edelleen, ja kansainvälinen yhteisö joutuu vastaamaan yhä monimutkaisempiin uhkiin, joissa valtiolliset ja epäviralliset toimijat kietoutuvat toisiinsa.

Valtiollinen ohjaus ja kyberstrategia
Venäjän kybertoiminta heijastaa maan laajempaa turvallisuusstrategiaa, jossa sotilaalliset, tiedustelulliset ja informaatio-operaatiot sulautuvat toisiinsa. Hakkeriryhmät toimivat usein valtion käsivarren jatkeena, toteuttaen tavoitteita, joita olisi perinteisin keinoin vaikea saavuttaa ilman poliittisia seuraamuksia.

Monet ryhmistä ovat saaneet nimityksiä kansainväliseltä kyberturvayhteisöltä, mutta niiden juuret löytyvät usein Venäjän tiedustelupalveluista.

APT28 (Fancy Bear) edustaa GRU:n hyökkäävää etulinjaa
APT28, tunnetaan myös nimillä Fancy Bear ja Sofacy, on yhdistetty suoraan Venäjän sotilastiedusteluun, GRU:hun. Ryhmän toiminta on aggressiivista ja sen kohteet poliittisesti strategisia.
Vuoden 2016 Yhdysvaltain presidentinvaaleihin vaikuttanut sähköpostivuoto demokraattisesta puolueesta on yksi tunnetuimmista APT28:n operaatioista. Lisäksi ryhmä on hyökännyt NATO:n, EU:n ja useiden maiden hallintojen kimppuun. Sen toimintatapa on usein avoimesti häiritsevä ja provokatiivinen.

APT29 (Cozy Bear) edustaa SVR:n hienovaraista vakoilijaa
APT29, eli Cozy Bear, toimii erilaista taktiikkaa käyttäen. Ryhmä on yhdistetty Venäjän ulkomaantiedustelupalveluun (SVR), ja sen operaatioille on ominaista hienostuneisuus ja pitkäjänteisyys.
Yksi tunnetuimmista hyökkäyksistä on SolarWinds-tapaus, jossa useiden Yhdysvaltain virastojen tietojärjestelmät vaarannettiin. Cozy Bear keskittyy enemmän salassa tapahtuvaan vakoiluun kuin avoimeen sabotaasiin.

Sandworm edustaa sabotoinnin erikoisyksikköä
Sandworm, jota kutsutaan myös nimellä Unit 74455, toimii GRU:n alaisuudessa ja tunnetaan kyberiskujen sabotoivasta luonteesta. Ryhmä on ollut vastuussa esimerkiksi Ukrainan sähköverkon kaatamisesta vuosina 2015 ja 2016 sekä NotPetya-haittaohjelman levittämisestä, joka aiheutti miljardiluokan vahingot globaalisti. Sandwormin toiminta osoittaa, miten kyberaseet voivat aiheuttaa todellista infrastruktuurista tuhoa.

Turla edustaa pitkäjänteistä vakoilijaa
Turla, tunnetaan myös nimillä Snake tai VENOMOUS BEAR, on liitetty Venäjän turvallisuuspalvelu FSB:hen. Sen operaatioille on ominaista huomaamattomuus ja tekninen kehittyneisyys. Turla on vakoillut erityisesti valtionhallinnon organisaatioita, puolustusalaa ja energia-alan yrityksiä. Ryhmän työkalut ovat usein monimutkaisia ja vaikeasti jäljitettäviä, mikä viittaa valtiolliseen taustatukeen.

KillNet edustaa epävirallista kyberaktivismia
KillNet on venäläistaustainen hakkeriryhmä, joka tunnetaan erityisesti palvelunestohyökkäyksistään (DDoS) länsimaisia valtion virastoja, yrityksiä ja infrastruktuuria vastaan. Ryhmä perustettiin arviolta alkuvuonna 2022 ja nousi laajaan julkisuuteen Venäjän hyökättyä Ukrainaan helmikuussa 2022.

KillNet eroaa monista muista kyberuhkatoimijoista siinä, että sen jäsenet esiintyvät enemmän “kansalaisaktivisteina” kuin tiedustelun ammattilaisina. Ryhmä on tehnyt useita DDoS-hyökkäyksiä länsimaisia instituutioita vastaan, mukaan lukien Suomen eduskunta ja viranomaiset.

Vaikka KillNet ei virallisesti kuulu Venäjän hallintoon, sen toiminta on johdonmukaisesti Kremlin narratiiveja tukevaa ja palvelee usein valtiollisia intressejä.

Ryhmän kohteisiin ovat kuuluneet EU-maiden ja Naton jäsenvaltioiden virastot, yritykset, terveydenhuolto, logistiikka, pankit ja kriittinen infrastruktuuri. KillNet ilmoittaa toimivansa pro-Venäjä ja anti-NATO -linjalla, usein kostona Venäjään kohdistuvista toimista tai kyberhyökkäyksistä.

Toimintatavat

Pääasiallinen hyökkäysmuoto on hajautettu palvelunestohyökkäys (DDoS).
Julkistaa uhkauksia ja propagandamateriaalia erityisesti Telegram-kanavillaan sekä toisinaan venäläisissä mediakanavissa.
On tehnyt yhteistyötä muiden pro-Venäjä-kyberryhmien, kuten Anonymous Sudan ja REvil, kanssa.
KillNet ei virallisesti kuulu Venäjän valtiollisiin kybertoimijoihin, mutta monet asiantuntijat arvioivat sen toimivan linjassa valtiollisten intressien kanssa ja mahdollisesti valtion tuella.

Uhkaukset heinä–elokuussa 2025
Venäläiset mediat (mm. Gazeta.ru ja Metro) kertoivat, että Telegram-kanava Mash julkaisi 31.7.–1.8.2025 viestin, jonka mukaan KillNet uhkasi vastaiskuilla Eurooppaa ja Ukrainaa. Uhkauksen kerrottiin liittyvän venäläislähteiden väitteisiin, joiden mukaan ukrainalaiset ja heidän länsimaiset liittolaisensa olivat osallisia 29.–30.7.2025 tapahtuneeseen kyberhyökkäykseen Venäjälle, muun muassa Aeroflotin järjestelmiin.

Venäläisten lähteiden mukaan KillNet olisi ilmoittanut seuraavaa:
”Ehdotan Euroopan unionille, että pelaamme omaa peliämme: me hyökkäämme, te puolustatte. Maanne ovat koekenttämme. En halua muistella vuosia 2022 ja 2023, jolloin Eurooppa oli lamaantunut hakkereiden hyökkäysten takia. Tätä en teille takaa. Tiimimme vain ilmoittaa teille, vastustajina, laajamittaisen kyberoperaation alkamisesta Eurooppaa ja Ukrainaa vastaan ”, totesi KillNet lausunnossaan.

Useat venäläiset uutislähteet (Gazeta.ru, Vesti.ru, NEWS.ru, LIFE.ru) viittasivat Mash-kanavan julkaisuun, jossa kerrottiin KillNetin aikovan kohdistaa ensimmäisen iskun Ranskan infrastruktuuriin. Näiden tietojen mukaan hyökkäyksen tavoitteena olisi aiheuttaa liikenteen romahdus, vaikuttaa tuotantoon ja johtaa internetin sulkemiseen. Lähteet myös väittivät, että KillNet kertoi luoneensa ”ennennäkemättömän verkkoaseen”, mutta eivät antaneet sen yksityiskohtia. Lähteet: (gazeta.ru 31.7.2025, arvamus.postimees.ee 1.8.2025)

Ghostwriter / UNC1151 edustaa Valko-Venäjän ja Venäjän yhteyksiä
Ghostwriter on kampanja, jota operoi todennäköisesti valkovenäläinen UNC1151-ryhmä, jonka epäillään saaneen tukea Venäjältä. Tämän ryhmän toiminta yhdistää kybervakoilun ja disinformaation levittämisen erityisesti Itä-Euroopan maissa. Tavoitteena on horjuttaa NATO-maiden sisäistä vakautta ja luottamusta instituutioihin.

venäläisten hakkeriryhmien hyökkäyksissä on useita tunnusomaisia piirteitä, jotka erottavat ne muiden valtioiden tai ei-valtiollisten toimijoiden hyökkäyksistä. Nämä piirteet näkyvät teknisessä toteutuksessa, kohdevalinnoissa ja jopa hyökkäysten ajoituksessa. Alla on tiivistetty keskeiset ominaisuudet:

Tunnusomaisia piirteitä venäläisten hakkerihyökkäyksissä
Hyökkäyksillä on valtiollinen koordinointi ja strateginen tavoite. Hyökkäykset palvelevat usein geopoliittisia, sotilaallisia tai diplomaattisia tavoitteita.
Esimerkiksi APT28:n ja APT29:n toiminta kohdistuu usein vaaleihin, liittoumiin (NATO, EU) ja vastustaviin hallintoihin. Hyökkäykset voivat ajoittua poliittisesti herkkiin hetkiin (esim. vaalit, sodan alut, kansainväliset huippukokoukset).

Tyypillinen piirre on monikerroksinen hyökkäysmalli. Hyökkäykset sisältävät useita vaiheita, kuten tiedonkeruu, pääsyn saanti, vakoilu/sabotaasi ja peittely. Hyökkäyksissä käytetään yleensä kehittyneitä työkaluja, mutta myös "low-tech" lähestymistapoja kuten phishing.

Hyökkäyksissä käytetään Living off the Land (LotL) -tekniikkaa ja hyödynnetään järjestelmän omia työkaluja, kuten PowerShell, WMI tai Task Scheduler, välttääkseen havaitsemisen. Tämä tekee haitallisen toiminnan vaikeasti erottuvaksi normaalista käytöstä.

Hyökkäyksiin liittyy häivytys ja harhautus, joissa pyritään hämärtämään hyökkäyksen lähde (false flag -operaatiot). Hyökkäyksissä käytetään väärennettyjä aikaleimoja, kieliasetuksia ja jopa muiden valtioiden kieliä (esim. kiina tai arabia).

Hyökkäyksissä käytetään usein samaa C2-infrastruktuuria (komentopalvelimia) tai työkaluja, kuten muutkin venäläiset hakkeriryhmät, mikä viittaa koordinointiin tai yhteisiin kehittäjiin. Esimerkiksi APT28 ja Sandworm ovat molemmat GRU:n yksiköitä mutta kohdistavat erityyppisiä hyökkäyksiä.

Informaatiovaikuttaminen yhdistettynä tekniseen hyökkäykseen sosiaalisen median alustoilla yhdistetään propagandakampanjaan, kuten Ghostwriterin toiminnassa tai 2016 Yhdysvaltain vaaleissa.

Hyökkäysten aggressiivisuus (esim. Sandworm) ei pyri ainoastaan tiedon varastamiseen vaan myös tuhoamiseen ja pelotteen luomiseen. NotPetya- ja Industroyer-hyökkäykset ovat esimerkkejä selvästä sabotaasista.

Mikä on FSB:n 16. keskus?

Kyse on Venäjän turvallisuuspalvelu FSB:n valtiollisesta signaalitiedustelu- ja kyberoperaatioyksiköstä, ei tavallisesta hakkeri- tai verkkorikollisryhmästä. Sen virallinen nimi kääntyy suunnilleen muotoon Centre for Radio-Electronic Intelligence by Means of Communication, lyhenne TsRRSS, ja se tunnetaan myös tunnuksella sotilasyksikkö 71330.

Yksikön tehtäviin kuuluvat viestiliikenteen sieppaaminen, salauksen purkaminen ja käsittely sekä ulkomaisten kohteiden tekninen tunkeutuminen. Sen historiallinen tausta ulottuu KGB:n 16. päähallintoon. Neuvostoliiton hajottua toimintoja siirrettiin FAPSI-virastoon, ja FAPSI:n lakkauttamisen jälkeen vuonna 2003 sen signaalitiedustelutoimintoja siirrettiin FSB:lle, mikä muodosti nykyisen 16. keskuksen perustan.

Keskuksen toimintaa ei pidä sekoittaa esimerkiksi SVR:n Cozy Bear/APT29 -ryhmään, GRU:n Fancy Bear/APT28 -ryhmään tai GRU:n Sandwormiin. Ne kuuluvat Venäjän eri tiedusteluorganisaatioihin.

KGB 16. osasto tekninsen tiedustelun kylmän sodan ase
Kylmän sodan aikana suurvaltojen välinen kamppailu ei rajoittunut sotilaalliseen varustautumiseen tai näkyvään diplomaattiseen vastakkainasetteluun. Yhä tärkeämmäksi muodostui tieto: kuka tiesi vastustajansa suunnitelmista ensimmäisenä, kuka pystyi murtamaan salattuja viestejä ja kuka hallitsi uusinta viestintäteknologiaa. Neuvostoliitossa teknisen tiedustelun keskeiseksi toimijaksi nousi vuonna 1973 perustettu KGB 16. osasto. Sen tehtävänä oli siepata viestintää, murtaa salauksia ja hankkia poliittisesti, sotilaallisesti sekä teknisesti arvokasta tietoa ulkomaisista kohteista.

KGB puheenjohtaja Juri Andropov ymmärsi radiotiedustelun kasvavan merkityksen. Hänen johdollaan perustettu 16. osasto rakensi toimintansa aiempien KGB teknisten yksiköiden pohjalle. Osaston vastuulle annettiin ulkomaisten edustustojen viestinnän kuunteleminen, radiolähettimien paikantaminen, salattujen viestien tulkitseminen sekä tekninen tunkeutuminen suurlähetystöihin ja muihin ulkomaisiin kohteisiin. Samalla osasto keräsi ulkomailta tietoja hallitusten ja asevoimien viestintäverkoista.

Osasto oli rakenteeltaan laaja ja pitkälle erikoistunut. Sen eri yksiköt vastasivat esimerkiksi koodien murtamisesta, siepattujen viestien kääntämisestä, aineiston analysoimisesta ja tärkeimpien tietojen välittämisestä Neuvostoliiton johtajille. Salausten purkamisessa käytettiin aikansa tehokkaimpiin neuvostoliittolaisiin tietokoneisiin kuulunutta Bulat-järjestelmää. Teknisen tiedon lisäksi työ vaati kielitaitoa, matemaattista osaamista ja kykyä arvioida, millä tiedoilla oli todellista poliittista tai sotilaallista merkitystä.

Erityisen huomion kohteena olivat Yhdysvallat ja niiden liittolaiset. KGB pyrki keräämään tietoa amerikkalaisista salausmenetelmistä, diplomaattisesta päätöksenteosta ja uusista asejärjestelmistä. New Yorkissa, Washingtonissa ja San Franciscossa toimineet kuuntelupisteet seurasivat esimerkiksi viranomaisten radio-, puhelin- ja faksiliikennettä. Sieppausten avulla Neuvostoliitto sai tietoja korkea-arvoisten poliitikkojen matkoista, neuvotteluista ja henkilökohtaisista ominaisuuksista. Myös näennäisesti arkisia keskusteluja analysoitiin, sillä niiden uskottiin paljastavan jotakin poliitikkojen luonteesta, ihmissuhteista ja päätöksentekotavoista.

Poliittisen tiedustelun ohella 16. osasto hankki runsaasti sotilaallista ja teknistä tietoa. Siepatut viestit koskivat muun muassa ballistisia ohjuksia, risteilyohjuksia ja uusia sotilaslentokoneita. Amerikkalaisten tutkimuslaitosten ja puolustusteollisuuden yritysten faksiliikennettä seuraamalla saatiin tietoja lentokoneiden, sukellusveneiden ja ohjusjärjestelmien suunnittelusta. Tällainen tiedustelu saattoi säästää Neuvostoliitolta huomattavasti tutkimukseen ja tuotekehitykseen tarvittavaa aikaa ja rahaa.

KGB tekninen tiedustelu ei perustunut ainoastaan viestien vastaanottamiseen kaukaa. Osasto käytti myös salakuuntelulaitteita, joita asennettiin ulkomaisten edustustojen koneisiin, rakennuksiin ja viestintäjärjestelmiin. Laitteita pyrittiin asentamaan jo ennen kuin ne saapuivat suurlähetystöihin. Esimerkiksi kuljetuksen aikana avattuihin laatikoihin voitiin sijoittaa muokattuja elektronisia osia, jotka näyttivät tavallisilta mutta välittivät salaisia tietoja KGB kuuntelupisteisiin.

KGB harjoitti laajalti niin sanottujen "vikalaitteiden" asentamista ulkomaisten edustustojen laitteisiin sekä Neuvostoliitossa että sen ulkopuolella. Tämä tehtiin tiiviissä yhteistyössä seuraavien KGB:n erityisesti perustettujen yksiköiden kanssa:

1. pääosaston (tiedustelu) operatiivisten laitteiden osasto,
16. osaston 1. yksikkö (radiotiedustelu),
Operatiivisen ja teknisen osaston 2. osasto (salaus).

Tämänkaltainen onnistunut operaatio toteutettiin 1970-luvulla, kun Permin valtion turvallisuuspalvelun ja erikoistuneen teknisen osaston asiantuntijat onnistuivat salakuuntelemaan Moskovan Japanin suurlähetystön uusia salauslaitteita. Salakuuntelulaitteet asennettiin, kun salauslaitteita sisältävää konttia kuljettanut kuorma-auto ylitti Neuvostoliiton ja Suomen välisen rajan ja oli matkalla Neuvostoliiton pääkaupunkiin.

Vuonna 1972 Suomen Moskovan-suurlähetystössä käytetystä kaukokirjoittimesta löydettiin neuvostotiedustelun asentama vakoilulaite. Laite oli todennäköisesti asennettu junakuljetuksen aikana, kun kaukokirjoitinta vietiin kuriiripostina Suomesta Moskovaan.

Erityisen kunnianhimoinen operaatio kohdistui Yhdysvaltain uuden Moskovan-suurlähetystön rakentamiseen. Rakennuksen rakenteisiin sijoitettiin kuuntelulaitteita jo rakennusvaiheessa. Tavoitteena oli muuttaa koko rakennus tekniseksi tiedonkeruujärjestelmäksi. Myös kirjoituskoneisiin asennettiin laitteita, jotka pystyivät tallentamaan kirjoituskoneen osien liikkeet. Näiden liikkeiden perusteella voitiin päätellä, mitä koneella oli kirjoitettu, ja tiedot voitiin lähettää KGB kuuntelupisteeseen.

Merkittävä osa toiminnasta tapahtui Neuvostoliiton rajojen ulkopuolella. Kuuban Lourdesiin perustetusta kuuntelukeskuksesta pystyttiin seuraamaan Yhdysvaltojen satelliitti- ja mikroaaltoviestintää. Samanlaisia keskuksia rakennettiin Vietnamiin, Etelä-Jemeniin ja Neuvostoliiton omalle alueelle. Lisäksi kauppalaivaston aluksia käytettiin liikkuvina tiedustelualustoina. Näin 16. osasto pystyi keräämään tietoa monista eri suunnista ja yhdistämään sen laajaksi kokonaiskuvaksi.

Neuvostoliitto teki teknisessä tiedustelussa yhteistyötä muiden sosialististen maiden kanssa. Vuonna 1979 toimintansa aloittanut SOUD-järjestelmä yhdisti Neuvostoliiton ja useiden liittolaismaiden elektronisen sekä avaruudesta tapahtuvan tiedustelun. Järjestelmän avulla kerättyjä tietoja käsiteltiin Moskovassa ja Berliinissä. Yhteistyö tehosti tiedonkeruuta, mutta samalla Neuvostoliitto halusi säilyttää valvonnan siitä, mitä menetelmiä liittolaiset käyttivät ja mihin kohteisiin niiden toiminta suuntautui.

KGB 16. osaston keräämät tiedot jaettiin vain pienelle joukolle Neuvostoliiton korkeimpia johtajia. Tietojen arvo perustui niiden ajankohtaisuuteen ja salaisuuteen. Salatun diplomaattisen kirjeenvaihdon lukeminen saattoi antaa lähes saman hyödyn kuin ulkomaisen diplomaatin värvääminen vakoojaksi. Tiedustelutietojen käyttöön liittyi kuitenkin myös ongelmia. KGB pystyi itse valitsemaan, mitkä tiedot päättäjille välitettiin ja miten niitä tulkittiin. Näin KGB vaikutti siihen, millaisen kuvan Neuvostoliiton johto sai ulkomaailmasta ja oman valtionsa tilanteesta.

KGB 16. osaston historia osoittaa, kuinka keskeiseksi teknologia muodostui kylmän sodan tiedustelussa. Perinteisten vakoojien rinnalle nousivat insinöörit, matemaatikot, kielitieteilijät ja tietokoneasiantuntijat. Tietoa hankittiin kuuntelemalla radioliikennettä, murtamalla salauksia ja asentamalla huomaamattomia laitteita vastustajan viestintäjärjestelmiin. Samalla osaston toiminta kertoo tiedustelun eettisesti ongelmallisesta puolesta: yksityisiä keskusteluja, diplomaattista viestintää ja tieteellistä tutkimusta pyrittiin hyödyntämään ilman kohteiden suostumusta.

Teknisen tiedustelun merkitys ei ole kadonnut kylmän sodan päättymisen jälkeen. Viestinnän digitalisoituminen on muuttanut käytettyjä välineitä, mutta perusajatus on säilynyt. Valtiot pyrkivät edelleen sieppaamaan viestintää, murtamaan suojauksia ja hankkimaan teknologista etumatkaa. KGB 16. osasto oli oman aikansa esimerkki organisaatiosta, joka yhdisti laajat resurssit, tieteellisen osaamisen ja poliittiset tavoitteet. Sen toiminta osoittaa, että modernissa valtakamppailussa tieto voi olla yhtä merkittävä ase kuin ohjukset, lentokoneet tai kokonaiset armeijat.

Miksi nimiä on niin monta?
Berserk Bear, Energetic Bear, Crouching Yeti, Dragonfly, Ghost Blizzard ja Static Tundra ovat eri turvallisuusyritysten ja viranomaisten käyttämiä seurantatunnuksia. Ne eivät välttämättä tarkoita täsmälleen samaa henkilöjoukkoa tai kaikkia 16. keskuksen toimintoja.

FBI on kuvannut Berserk Bearia ja Dragonflyta erillisiksi mutta toisiinsa liittyviksi toimintaklustereiksi. Cisco Talos arvioi Static Tundran todennäköisesti Energetic Bearin alaryhmäksi.

Käytännössä FSB:n 16. keskus on organisaatiotason attribuutio, kun taas muut nimet kuvaavat havaittuja kampanjoita, työkaluja tai osittain päällekkäisiä operaattoriryhmiä.

Mitä yksikkö tavoittelee?
Yksikön pääpaino on ollut:

pitkäaikaisessa vakoilussa ja tiedonkeruussa
kriittisen infrastruktuurin kartoittamisessa
vaikeasti havaittavan pysyvän pääsyn rakentamisessa
pääsyn hankkimisessa sellaisiin järjestelmiin, joita voitaisiin käyttää myöhemmin myös häirintään.

Kohteisiin ovat kuuluneet energia-, tietoliikenne-, puolustus-, rahoitus-, terveydenhuolto- ja julkishallinto-organisaatiot sekä teollisuusautomaatiojärjestelmien valmistajat. Yksikön toimintaa on havaittu ainakin vuodesta 2010 lähtien.

Yhdysvaltain vuoden 2022 syytteessä kolme yksikön FSB-upseeria yhdistettiin vuosien 2012–2017 Dragonfly/Havex-operaatioihin. Syytteen mukaan haittaohjelmia levitettiin muun muassa teollisuusautomaatio-ohjelmistojen päivitysten kautta yli 17 000 laitteeseen. Myöhemmässä vaiheessa yli 3 300 käyttäjää yli 500 organisaatiossa joutui kohdennetun tietojenkalastelun kohteeksi, ja kampanja ulottui yli 135 maahan. Syytteet ovat oikeudellisia väitteitä, eivät tuomioita.

Keskukseen on liitetty myös erittäin kehittynyt Snake-vakoiluhaittaohjelma, jota viranomaiset arvioivat käytetyn lähes kahden vuosikymmenen ajan. Snake-infrastruktuuria löydettiin yli 50 maasta muun muassa hallintojen, tutkimuslaitosten ja toimittajien verkkoihin kohdistuneissa operaatioissa.

FSB:n operaattorit etsivät internetistä laitteita, joissa on:

SNMPv1 tai SNMPv2 käytössä
oletusarvoisia tai heikkoja SNMP-yhteisömerkkijonoja
Cisco Smart Install -toiminto avoinna
vanhoja haavoittuvuuksia, kuten CVE-2018-0171
käytöstä poistuneita laitteita, joihin ei enää saa tietoturvapäivityksiä.

Hyökkääjät voivat käskeä reititintä kopioimaan asetustiedostonsa ja lähettämään sen TFTP- tai FTP-palvelimelle. Asetuksista voidaan saada salasanoja, SNMP-tunnisteita, verkkorakennetta ja muita tietoja, joiden avulla tunkeutumista jatketaan. Joissakin tapauksissa asetuksia on muutettu uusien käyttäjätilien, Telnet-yhteyksien tai muun pysyvän pääsyn luomiseksi.

Britannia yhdisti joulukuussa 2025 Puolan energiaverkkoon kohdistuneen hyökkäyksen FSB:n 16. keskukseen. Britannian NCSC:n mukaan onnistunut hyökkäys olisi voinut katkaista sähköt noin 500 000 ihmiseltä. Kyse on virallisesta valtioattribuutiosta; kyberoperaatioiden tekninen attribuointi sisältää aina jonkin verran epävarmuutta.

16. keskus on yksi Venäjän pitkäikäisimmistä ja teknisesti kyvykkäimmistä kybertoimijoista. Sen erityispiirre on kiinnostus verkon perusinfrastruktuuriin, kuten reitittimiin, palomuureihin, teollisuusverkkoihin ja niitä hallitseviin järjestelmiin. Pääsy reitittimeen tarjoaa hyvän näköalapaikan liikenteen seuraamiseen ja mahdollistaa jatkohyökkäykset ilman, että työasemien haittaohjelmasuojaukset välttämättä havaitsevat toimintaa.

FSB:n onnistuneet kyberhyökkäykset eivät aina perustu salaisiin nollapäivähaavoittuvuuksiin. Monet hyökkäysvektorit perustuvat vuosia vanhoihin laitteisiin, avoimiin hallintaportteihin sekä SNMP:n oletusasetuksiin. Siksi tärkeimmät torjuntatoimet ovat SNMPv3:n käyttö, SNMPv1/v2:n poistaminen, Cisco Smart Installin sulkeminen, hallintaliikenteen rajaaminen erilliseen verkkoon sekä elinkaarensa päässä olevien laitteiden korvaaminen.

Tärkeimmät välittömät toimet
Yrityksen tulee tarkistaa tässä järjestyksessä:

Poista SNMPv1 ja SNMPv2 käytöstä. Ota käyttöön SNMPv3 authPriv vahvalla tunnistautumisella ja salauksella.
Poista Cisco Smart Install käytöstä.
Estä internetistä hallintaportit, elleivät ne ole ehdottoman välttämättömiä:
UDP 69, TFTP
TCP 4786, Smart Install
UDP 161/162, SNMP
TCP/UDP 10161/10162, SNMPv3.
Salli hallintaliikenne ACL-säännöillä vain erillisistä hallintalaitteista tai hallintaverkosta.
Päivitä reitittimien ohjelmistot ja korvaa elinkaarensa päässä olevat laitteet.
Käytä yksilöllisiä salasanoja. Cisco-laitteissa suositus on salasanatyyppi 8; tyyppejä 0, 4 ja 7 tulee välttää.
Hälytä epätavallisista paikallisista käyttäjätileistä, paikallisilla tunnuksilla kirjautumisesta ja SNMP Set -pyynnöistä.

Mitä lokitiedoista kannattaa etsiä?
SNMP-pyynnöt, jotka käyttävät Ciscon asetusten kopiointiin liittyviä OID-tunnuksia:

1.3.6.1.4.1.9.9.96.1.1
1.3.6.1.4.1.9.9.96.1.1.1.1.5

Jälkimmäiseen voi sisältyä palvelimen osoite, johon asetustiedosto lähetetään. Myös tiedostonimet kuten config.bkp ja output.txt voivat olla tutkinnassa hyödyllisiä havaintoja.

Tärkeä tulkinta
FSB:n toimijat eivät välttämättä tarvitse uusia nollapäivähaavoittuvuuksia. He hyödyntävät ennen kaikkea:

vanhoja protokollia
oletustunnuksia
internetiin avoimia hallintapalveluja
päivittämättömiä tai tuen ulkopuolella olevia verkkolaitteita
vanhoja tunnettuja haavoittuvuuksia, kuten CVE-2018-0171 ja CVE-2008-4128.