Кибератака на Укрпочту: анализ сбоев и риски для API

Зона поражения

Под удар попал мобильный клиент, а не публичные почтовые серверы напрямую — MX-записи и SMTP-канал «Укрпочты» в публичных отчётах не упоминаются как затронутые. Однако приложение агрегирует данные отслеживания, push-уведомления и функции авторизации клиентов, что означает компрометацию на уровне API-шлюза или связки identity provider — мобильный клиент. Разные пользователи получают разные симптомы: одни не проходят авторизацию, другие фиксируют нестабильность отдельных функций. Это типичная картина частичного отказа identity-сервиса или rate-limit'ов на стороне аутентификации.

Что проверять на своей стороне

Если ваша инфраструктура интегрируется с API «Укрпочты» или аналогичных операторов (отслеживание, уведомления, OAuth-провайдер для клиентских приложений), выполните ревизию:

• Аудит токенов доступа — отзовите долгоживущие API-ключи и JWT, выпущенные для партнёрских интеграций. Замените на short-lived токены с явным TTL.
• Проверьте исходящие SMTP-сессии — нет ли аномального роста bounce или DSN на собственный домен из источников, связанных с оператором.
• Сверьте PTR/SFP для relay-узлов, через которые почта оператора могла приходить. Любое расхождение с заявленным ASN — основание для временной блокировки.
• Зафиксируйте инцидент в SIEM: признак — всплеск 401/403 на собственный API от подсетей оператора, всплеск 5xx на webhook-эндпоинтах.

Контекст и прогноз

Атаки на государственные и логистические сервисы Украины фиксируются регулярно, и почтовый оператор крупного масштаба — приоритетная цель для DDoS, атак на цепочку поставок и компрометации учётных данных. До публикации отчёта об инциденте со стороны «Укрпочты» любые предположения о типе атаки спекулятивны. Отслеживайте официальные каналы оператора: после восстановления штатной работы компания обязана раскрыть масштаб и затронутые сегменты. До этого момента держите партнёрские интеграции в режиме read-only и не передавайте новые учётные данные клиентов через затрагиваемые каналы.