Топ-5 забавных хакерских атак: школы, соцсети и умные устройства | Блог Касперского

Пять самых забавных хакерских атак — от школьных розыгрышей и угона аккаунтов брендов до взлома роботов-пылесосов и аудиокнопок светофоров.

В нашем блоге мы постоянно рассказываем о всевозможных кибератаках и их неприятных последствиях: будь то кража криптовалюты или утечки личных данных в Интернет. Однако есть и другая категория крупных взломов: когда хакеры не гонятся за наживой, а устраивают смешные и достаточно безобидные для большинства проделки просто для веселья. Сегодня мы расскажем про пять таких случаев — и поговорим о том, какой урок из них можно вынести.

Они повсюду! Когда даже светофоры разговаривают с тобой голосами Цукерберга и Маска

Весной 2025 года неизвестные взломали аудиокнопки светофоров в Кремниевой долине. Подобные аудиокнопки широко используются в светофорах на пешеходных переходах на всей территории США. Как нетрудно догадаться, предназначены они для людей с нарушениями зрения: их основная задача — воспроизводить голосовые сообщения, позволяющие плохо видящим пешеходам понять, когда можно безопасно переходить дорогу.

В нескольких городах Кремниевой долины неизвестные заменили стандартные голосовые сообщения на собственные тексты, озвученные голосами, чрезвычайно похожими на голоса вездесущих техномиллиардеров, Марка Цукерберга и Илона Маска. Видео, снятые местными жителями, показывают, как взломанные кнопки воспроизводят следующие сообщения.

Голос «Марка Цукерберга»: Это нормально испытывать дискомфорт или ощущать нарушение ваших личных границ от того, что мы насильно внедряем ИИ во все грани вашего сознательного опыта. Я просто хочу заверить вас, что вам не нужно беспокоиться, поскольку вы абсолютно ничего не можете сделать для того, чтобы это остановить.

Голос «Илона Маска»: Говорят, счастье за деньги не купишь… Наверное, это правда. Бог свидетель, я пытался. Но за деньги можно купить Cybertruck, а это довольно круто, верно?.. Черт, я так одинок.

Еще одно сообщение, записанное голосом «Маска»: Знаете, люди все время говорят, что рак — это плохо. Но вы пробовали стать раком? Это чертовски здорово! Можете называть меня Илонома, ха-ха-ха.

Голоса миллиардеров явно были сгенерированы при помощи ИИ. А вот как именно неизвестные взломали аудиокнопки светофоров, до сих пор остается неизвестным. Однако эксперты по безопасности уже отмечали, что при подключении подобных кнопок нередко используются стандартные пароли, которые никто не меняет после установки устройств.

Насколько известно журналистам, от выходки взломщиков никто, кроме гордости миллиардеров, не пострадал.

В Иллинойсе школьников учат главному: никогда не забывай Рика

В последнюю пятницу 2021 учебного года в шести школах округа Кук, штат Иллинойс, все телевизоры и проекторы в классах самопроизвольно включились. На экранах появилось сообщение: «Пожалуйста, оставайтесь на месте. Сейчас будет сделано важное объявление». Под этим тревожным сообщением отображался пятиминутный таймер обратного отсчета.

Пять минут спустя на 500 экранах одновременно включилось знаменитое видео с Риком Эстли, исполняющим песню Never Gonna Give You Up. Позже в тот же день песня заиграла еще раз по системе громкой связи школ.

За этим внезапным концертом стояли четверо американских школьников, которые в этот день провели один из самых больших рикроллов в истории. Так называется популярный интернет-розыгрыш, в котором человеку под предлогом перехода по важной или интересной ссылке подсовывают видеоклип Рика Эстли Never Gonna Give You Up (1987). Статус культового рикролл получил в далеком 2007 году после распространения на форуме 4chan.

Вернемся к нашим школьникам. Их масштабный рикролл был технологичным воплощением существующей в США традиции так называемого senior prank — по сути, это розыгрыш студентов старшего класса школы, колледжа или университета.

Однако четверо школьников из Иллинойса явно вывели традиционный школьный розыгрыш на новый уровень. Для реализации своего рикролла они эксплуатировали довольно базовые уязвимости в школьной инфраструктуре. Например, шутники получили доступ к системе, управляющей сотнями проекторов и телевизоров по всему школьному округу, благодаря тому, что дефолтные имена пользователей и пароли не были изменены после подключения.

Подобным же образом ученики смогли войти в школьную систему аудиооповещения. В этом случае настройкой явно занимался ответственный человек. Поскольку в руководстве пользователя системой было написано, что надо заменить пароль, этот человек его дисциплинированно поменял… на пример пароля, указанный в том самом руководстве, естественно, опубликованном в Интернете. Заодно команда взломщиков обнаружила учетную запись с правами администратора в этой системе, паролем к которой было слово password(пароль).

Отдельно стоит отметить, насколько ответственно взломщики подошли к делу. Перед проведением рикролла команда шутников подготовила двадцатишестистраничный отчет и сразу после инцидента отправила его администраторам. В отчете школьники подробно описали свои действия и дали рекомендации по обеспечению кибербезопасности школ. Кроме того, после завершения рикролла написанный шутниками скрипт вернул системы школьного оборудования в исходное состояние.

Мы всегда знали — восстание машин начнется с роботов-пылесосов

В прошлом году в Сети появились сообщения о серии взломов китайских роботов-пылесосов Ecovacs DEEBOT X2 в разных городах США. Шутники захватывали контроль над перемещением устройств, а также выкрикивали нецензурные фразы через встроенные динамики пылесосов. Помимо этого, они могли наблюдать за жизнью владельцев роботов через их встроенные камеры.

А началась эта история, по всей видимости, на хакерской конференции DEF CON 32, где исследователи кибербезопасности Деннис Гизе (Dennis Giese) и Брейлин Лютки (Braelynn Luedtke) представили свой доклад Обратная разработка и взлом роботов Ecovacs. В этом докладе они описали обнаруженные ими уязвимости в роботах-пылесосах и газонокосилках Ecovacs, а также способы их эксплуатации. В рамках своего исследования они смогли получить дистанционный доступ к микрофонам и камерам устройств и возможность управлять их перемещением. Мы уже рассказывали подробно об их работе в нашем посте Взлом роботов-пылесосов Ecovacs.

Кстати, во время выступления на DEF CON исследователи и сами стали жертвой розыгрыша хакеров: кто-то из зрителей смог перехватить контроль над презентационным кликером и несколько минут потешался над выступающими, невпопад пролистывая слайды их презентации.

Гизе и Лютки ответственно сообщили о найденных ими уязвимостях производителю. Инженеры Ecovacs попытались их закрыть, но без особенного успеха. Ну а далее, вероятнее всего, докладом вдохновились неизвестные техноэнтузиасты, которые через несколько месяцев после публикации смогли воссоздать методы атаки и провели серию нападений на чужие роботы-пылесосы. Например, в рамках одной из таких атак в Калифорнии робот гонялся по всему дому за хозяйской собакой, одновременно выкрикивая непристойности.

Точное число пострадавших от серии взломов остается неизвестным, ведь можно предположить, что не во всех случаях шутники проявляли себя явным образом — они могли просто наблюдать за жизнью владельцев пылесосов. Единственный острый вопрос, который у нас остается, — будут ли газонокосилки Ecovacs следующими?

 «Звездный час» хакеров Lizard Squad — дефейс бесплатный редизайн сайта Lenovo

Еще один случай, когда за шуточной атакой стояли школьники, произошел с Lenovo. Десять лет назад веб-сайт производителя компьютеров был взломан, а пользователей, пытающихся на него войти, перенаправляли на слайд-шоу с фотографиями скучающих подростков — предположительно самих хакеров — под песню Breaking Free (в русской озвучке «Наш звездный час») из «Классного мюзикла».

При нажатии на слайд-шоу пользователь попадал в аккаунт хакерской группировки Lizard Squad в соцсети, которая тогда еще носила название Twitter. А в исходном коде страницы взломщики оставили сообщение с иронией в адрес администраторов ресурса: «Новый и улучшенный дизайн сайта Lenovo при участии Райана Кинга и Рори Эндрю Годфри». Эти двое ранее уже упоминались среди предполагаемых участников Lizard Squad.

В основе этой атаки лежал DNS hijacking: хакеры изменили DNS-записи для домена lenovo.com, в результате чего все пользователи, пытавшиеся попасть на официальный сайт компании, автоматически перенаправлялись на поддельную страницу, контролируемую шутниками.

Судя по всему, эта атака была проведена как протест против легкомысленного отношения производителя компьютеров к безопасности и защите пользователей его устройств. Незадолго до нее выяснилось, что компания Lenovo продавала ноутбуки с предустановленным вредоносным ПО под названием Superfish. Из-за этого пользователи, купившие зараженные устройства, были потенциально уязвимы для перехвата их данных и атак типа «человек посередине». Вот вроде бы и нехорошо, а вроде бы и за дело…

Верните мне мой 2013-й — когда Twitter-аккаунты еще взламывали не ради криптоскама

В последние годы взломы аккаунтов известных людей и крупных компаний в социальной сети X регулярно приводят к распространению разнообразных мошеннических схем с криптовалютами от их лица. Но так было не всегда. В прошлом десятилетии популярные профили в тогда еще Twitter чаще угоняли для забавы, а не для мошенничества.

Например, в феврале 2013 года неизвестные взломали аккаунт Burger King и опубликовали в нем сообщение следующего содержания: «Нас только что купил McDonald’s! Ищите McDonald’s в своем районе» (We just got sold to McDonalds! Look for McDonalds in a hood near you).

Помимо этого, фото профиля Burger King в Twitter было заменено на логотип McDonald’s, а в описании профиля появилось сообщение: «Нас только что купил McDonald’s, потому что воппер провалился». Также в описании появилась фраза с орфографической ошибкой — FREDOM IS FAILURE (свобода — это провал) — и нерабочая ссылка на пресс-релиз.

В течение часа взломщики продолжали публиковать все более возмутительные сообщения в угнанном профиле Burger King, после чего Twitter заблокировал аккаунт. Компания McDonald’s при этом в своем настоящем профиле выразила поддержку конкуренту и на всякий случай уточнила, что не имеет никакого отношения к взлому.

Несколько лет спустя, в августе 2017-го, группировка OurMine взломала Twitter-аккаунт футбольного клуба «Реал Мадрид». В аккаунте клуба хакеры заявили о переходе в «Реал Мадрид» всем известного Лионеля Месси, игравшего на тот момент за главного соперника клуба — «Барселону».

Пост собрал 2800 лайков и 3100 ретвитов. Группировка также опубликовала серию твитов, в которых взяла на себя ответственность за взлом. В одном из них говорилось: «Интернет-безопасность — это полный провал, и мы это доказали». И ведь не поспоришь.

Урок, который можно вынести из этих взломов: береги пароль смолоду

Пожалуй, главный урок, который можно вынести из этих интернет-проделок: использование слабых, а уж тем более предустановленных паролей — верный способ отдать контроль над устройством, аккаунтом или онлайн-ресурсом в лучшем случае в руки интернет-шутников. Именно слабые пароли подвели администраторов городской инфраструктуры и школ, да и взломы Twitter-аккаунтов вполне могут оказаться связаны с легкомысленным подходом к парольным политикам.

В нашем блоге мы уже не раз рассказывали о том, как создать надежный пароль. Но напоследок повторим несколько элементарных правил парольной гигиены:

• Пароли должны быть не менее 16 знаков в длину — а лучше еще длиннее, если это позволяет сервис.
• При создании пароля полезно использовать прописные и строчные буквы, цифры и специальные символы.
• Нежелательно включать в пароль легко угадываемые вещи вроде осмысленных слов или дат. И уж точно не стоит использовать в нем слово password.
• В идеале пароль должен быть случайным.
• Для каждого сервиса необходимо создавать новый, уникальный пароль.

Любой современный пользователь, разумеется, регистрируется в десятке, а то и сотне сервисов. Поэтому запомнить длинные и уникальные пароли для каждого из них не представляется возможным. Справиться с этим и защититься не только от розыгрышей, но и куда более серьезных последствий, поможет Kaspersky Password Manager.

Вдобавок приложение автоматически проверит все ваши пароли на уникальность и поможет создать по-настоящему надежные и случайные комбинации символов. Так что при использовании Kaspersky Password Managerнеобязательно держать в голове всякие сложные правила — менеджер паролей все сделает за вас. Помимо паролей, Kaspersky Password Manager умеет хранить и синхронизировать между устройствами токены двухфакторной аутентификации и ключи доступа (passkeys). Эту новую технологию беспарольного доступа к сайтам и сервисам мы подробно разобрали в Полном руководстве по использованию ключей доступа в 2025 году.

01.07.2025