17 февраля: внутри прослушки
17 февраля 2026 года аналитики сетевой безопасности внутри Федерального бюро расследований зафиксировали аномальную активность в системе под названием DCS-3000, известной внутри бюро как Red Hook. Это несекретный компонент Digital Collection System Network — централизованной платформы ФБР для управления санкционированными судом прослушками и ордерами на наблюдение, выданными по Закону о наблюдении в сфере внешней разведки (FISA), по всем американским операторам связи. Red Hook обрабатывает данные pen register и trap-and-trace — регистрации набираемых номеров и отслеживания входящих вызовов: телефонные номера, на которые люди звонят, маршрутную информацию, раскрывающую, где вызовы начинаются и где заканчиваются, отметки времени, показывающие, когда происходит обмен сообщениями, и личности лиц, находящихся под активным федеральным расследованием.
Внутри был кто-то, кому там быть не полагалось.
Вторжение было классифицировано по Закону о модернизации федеральной информационной безопасности (FISMA) как "major incident" — «крупный инцидент», одна из самых серьёзных категорий, доступных в федеральной системе кибербезопасности, зарезервированная для взломов, компрометирующих системы национальной безопасности или персональные данные более чем 100 000 человек. ФБР уведомило Конгресс. Атрибуция, когда она появилась, не удивила никого из тех, кто следил за темой: Salt Typhoon, кибершпионская группа, связанная с Министерством государственной безопасности Китая.
То, к чему получила доступ Salt Typhoon, не было случайной подборкой данных. Это была оперативная карта американской слежки — каталог того, за кем следит ФБР, кому эти объекты звонят и как устроены расследования бюро. Для разведывательного противника это одна из самых ценных вещей, какими можно обладать. Она говорит не только о том, что известно вашему противнику, но и о том, что он пытается узнать. Если вы китайский офицер разведки, ведущий агентов на территории Соединённых Штатов, эти данные говорят вам, кто из ваших людей уже опознан, а кто остаётся невидимым. Если вы ведёте источник внутри государственного ведомства США, теперь вы знаете, значится ли номер телефона этого источника в действующем списке целей ФБР. Разведывательная ценность здесь не инкрементальная. Она катастрофическая.
Парадная дверь в систему слежки Америки была открыта, и Китай в неё вошёл.
Девять операторов связи
Взлом DCSNet не был первой операцией Salt Typhoon внутри американской инфраструктуры. Он был самой недавней.
С 2019 по 2024 год Salt Typhoon взломала девять телекоммуникационных компаний Соединённых Штатов: AT&T, Verizon, T-Mobile, Charter/Spectrum, Lumen Technologies, Consolidated Communications, Windstream и ещё две, которые публично не назывались. Масштаб кампании был исключительным. Были получены метаданные более чем миллиона пользователей — отметки времени звонков, маршрутные данные текстовых сообщений, IP-адреса источника и назначения, телефонные номера. Наибольшая концентрация скомпрометированных данных пришлась на столичный регион Вашингтона, округ Колумбия, — факт, чьи последствия для разведки в сфере национальной безопасности едва ли нуждаются в пояснении. Политический класс столицы, её лоббисты, её сотрудники аппаратов, её разведывательные чиновники — схемы их звонков, их контакты, время и продолжительность их коммуникаций — годами собирались иностранной разведывательной службой.
Вектор атаки во взломах операторов связи был тем же, который позже дал Salt Typhoon доступ к DCSNet: архитектура перехвата, предписанная Законом о содействии правоохранительным органам в области связи.
CALEA, подписанный президентом Клинтоном в 1994 году, требует, чтобы каждый оператор связи, работающий в Соединённых Штатах, встроил возможности перехвата в свою коммутационную инфраструктуру. Закон предписывает, что операторы должны быть способны выделить и передать правоохранительным органам коммуникации любого выбранного абонента по предъявлении действительного судебного постановления. На практике это означает, что каждый американский оператор связи поддерживает то, что фактически является постоянной встроенной точкой доступа для слежки, — дверью, которая существует именно для того, чтобы государство могло в неё войти.
Вместо государства в неё вошла Salt Typhoon.
Тридцатилетнее предупреждение
CALEA был спорным с самого момента, когда его предложили. Когда администрация Клинтона продвигала этот закон в 1993 и 1994 годах, коалиция технологических компаний, правозащитных организаций и исследователей безопасности выдвинула конкретное возражение: любая возможность перехвата, встроенная в телекоммуникационную инфраструктуру, неизбежно станет мишенью для противников. Чёрный ход, доказывали они, не проверяет полномочий. Это структурная уязвимость, и любой достаточно изощрённый атакующий рано или поздно её найдёт и использует.
ФБР, Министерство юстиции и их союзники в Конгрессе отмахнулись от этих предупреждений. Архитектура перехвата будет надлежащим образом защищена, говорили они. Средства контроля доступа не допустят несанкционированного использования. Выгоды законного доступа к криминальным коммуникациям перевешивают теоретические риски.
Тридцать лет спустя Министерство государственной безопасности Китая предоставило эмпирическую проверку этой теории. Результаты недвусмысленны.
Технический механизм взлома поучителен. Salt Typhoon не понадобилось взламывать шифрование. Ей не понадобилось вскрывать пароли или эксплуатировать уязвимости нулевого дня в основном коммутационном оборудовании операторов. Она скомпрометировала коммерческого поставщика услуг для интернет-провайдеров — одну из сторонних компаний, оказывающих операторам инфраструктурные услуги, — и через этот доступ добралась до предписанных CALEA точек доступа для перехвата. Чёрный ход не был потайным лазом в укреплённой стене. Это была дверь в стене, с замком, и кто-то вскрыл замок.
В этом фундаментальная проблема предписанного доступа: безопасность системы зависит не только от безопасности самой двери, но и от безопасности каждого поставщика, подрядчика, субподрядчика и канала обслуживания, который к ней подключён. В современной телекоммуникационной сети такая цепочка поставок включает сотни компаний. Точкой входа может стать любая из них. Salt Typhoon нашла одну. Следующий атакующий найдёт другую.
Это наблюдение не ново. Это центральный вывод эпохальной работы 1997 года "The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption", подписанной практически всеми крупными фигурами криптографического исследовательского сообщества. В работе делался вывод, что встраивание государственного доступа в коммуникационную инфраструктуру порождает уязвимости, которые невозможно адекватно смягчить. Двадцать девять лет спустя эта работа читается уже не как предупреждение, а как пророчество.
Предупреждение директора
Драматическую иронию взлома DCSNet трудно переоценить.
В 2024 году директор ФБР Кристофер Рэй свидетельствовал перед Конгрессом, что китайские кибероперации представляют собой определяющую угрозу для американской критической инфраструктуры. Он предупреждал, что связанные с Китаем хакеры заранее закрепились внутри систем США — энергосетей, объектов водоочистки, телекоммуникационных сетей — в рамках того, что он описал как подготовку к возможному конфликту. Предупреждения были жёсткими, конкретными и мрачными.
Чего Рэй не раскрыл на тех слушаниях и что стало публичным лишь после его ухода — так это то, что на момент его показаний Salt Typhoon уже взломала инфраструктуру CALEA у нескольких операторов США. ФБР предупреждало Америку о китайском проникновении в критические системы, пока его собственная система слежки уже была скомпрометирована.
Преемник Рэя Каш Пател подтвердил взлом DCSNet после вступления в должность, но публично не затронул структурный вопрос: если юридически предписанная архитектура перехвата и была поверхностью атаки, должна ли эта архитектура продолжать существовать?
Конструкция сокрытия
В феврале 2026 года сенатор Мария Кантуэлл, старший член от партии меньшинства в Комитете Сената по торговле, публично заявила, что AT&T и Verizon блокируют публикацию отчётов о безопасности, связанных со взломами Salt Typhoon. Операторы этого не отрицали. Они отказались от комментариев.
Последствия значительны. Если операторы скрывают от Конгресса свои оценки безопасности, ни законодатели, ни общество не могут в полной мере оценить ни степень компрометации, ни достаточность мер по устранению, ни то, удалена ли Salt Typhoon из сетей, в которые она проникла. Исследователи безопасности, изучавшие эти взломы, предупреждают, что Salt Typhoon, вероятно, остаётся внутри телекоммуникационных сетей США, — что группа выстроила механизмы устойчивого доступа, которые не были полностью выявлены или удалены. Отказ операторов опубликовать свои отчёты о безопасности делает независимую проверку невозможной.
Есть ещё и вопрос электронной почты сотрудников Конгресса. Следователи указывали, что через компрометации операторов связи Salt Typhoon, возможно, получила доступ к почтовым ящикам сотрудников аппаратов Конгресса. Если это подтвердится, это будет означать, что китайская разведывательная служба получила доступ не только к информации ФБР о целях слежки, но и к внутренним коммуникациям законодательного органа, отвечающего за надзор за этой слежкой.
72 члена Конгресса, подписавшие письмо с призывом расследовать закупки данных федеральными ведомствами без судебных ордеров, теперь сталкиваются с более неудобным вопросом: собственная, юридически предписанная государством инфраструктура слежки, возможно, дала иностранному противнику доступ к их собственным коммуникациям. Инстанция, которой поручена подотчётность, не может получить отчёты о безопасности. Инстанция, которая построила чёрный ход, не может определить, кто через него прошёл. Операторы, которых взломали, блокируют расследование собственного взлома. Каждый слой системы, спроектированной для надзора, отказывает одновременно с остальными.
Слежка, которую можно купить
Взлом Salt Typhoon драматичен, потому что в нём фигурируют засекреченные системы прослушки, хакеры, действующие в интересах государства, и самые чувствительные оперативные данные ФБР. Но доклад, опубликованный за день до этой статьи — 11 апреля 2026 года — Citizen Lab при Университете Торонто, вскрывает нечто структурно более тревожное: систему слежки незачем взламывать, если её можно купить.
В докладе описан инструмент под названием Webloc, разработанный израильской разведывательной фирмой Cobwebs Technologies и продаваемый теперь компанией Penlink после слияния 2023 года. Webloc отслеживает перемещения, местоположения и личные характеристики владельцев устройств по 500 миллионам устройств, используя данные, которые мобильные приложения собирают якобы в рекламных целях: геолокационные пинги, схемы перемещений, домашние адреса, места работы и вплоть до трёх лет исторических данных о местоположении. Ордер не требуется. Судебное постановление не требуется. Взлом не требуется. Требуется только заказ на закупку.
Список клиентов охватывает американские правоохранительные органы: ICE, вооружённые силы США, Департамент общественной безопасности Техаса, окружные прокуратуры города Нью-Йорка, полицию Лос-Анджелеса, полицейское управление Далласа, полицию Балтимора, полицию Тусона, полицию Дарема, Элк-Гроув, округ Пинал и подразделение Министерства внутренней безопасности в Западной Виргинии. Одно только ФБР заплатило 27 миллионов долларов за 5000 лицензий на Locate X от Babel Street — сопоставимый продукт. Webloc работает через 198 активных серверов: 126 в Соединённых Штатах, 32 в Нидерландах, 17 в Сингапуре, 8 в Германии, 8 в Гонконге и 7 в Великобритании.
Эта инфраструктура держится на простой экономической логике: бесплатным приложениям нужна выручка, выручка приходит от рекламы, реклама ценнее, когда она таргетирована, а таргетинг требует данных о местоположении. Вся глобальная экосистема рекламных технологий — миллиарды долларов годовой выручки — построена на непрерывном сборе и продаже ровно тех данных, которые нужны разведывательным ведомствам для ведения слежки. Рекламная индустрия не просто сделала слежку возможной. Она построила инфраструктуру, оптимизировала её под масштаб и сделала доступной всякому, у кого есть бюджет. Государству не нужно предписывать чёрные ходы, чтобы отслеживать своих граждан. Индустрия рекламных технологий уже построила парадный вход, и он открыт для каждого покупателя.
Венгрия голосует сегодня под слежкой
Международный охват этих инструментов не теоретический. Сегодня — 12 апреля 2026 года — Венгрия проводит выборы под тем, что, возможно, является самым подробно задокументированным аппаратом слежки, когда-либо развёрнутым против собственного электората европейской демократии.
Cobwebs Technologies — та же компания, что построила Webloc, — завершила продление лицензий с венгерской внутренней разведкой в марте 2026 года, за считаные недели до выборов. Венгрия стала первым подтверждённым государством — членом ЕС, применившим Webloc против собственного населения. Исследователи говорят, что это применение вопиюще нарушает Общий регламент ЕС по защите данных. Никаких мер принуждения принято не было.
Слежка идёт глубже, чем отслеживание через рекламные технологии. Лидер оппозиции Петер Мадьяр утверждает, что правительство Орбана применило Candiru — шпионское ПО военного класса, созданное другой израильской фирмой, — против его партии «Тиса». Журналисту-расследователю Сабольчу Паньи перед выборами предъявили обвинение в шпионаже. Попытки правительства построить собственную систему OSINT-слежки — проект стоимостью в миллионы евро под названием Quvasz, который возглавлял бывший полковник контрразведки Тамаш Берки и который связан с Анталом Роганом, руководителем канцелярии премьер-министра, курирующим одновременно разведку и пропаганду, — обернулись техническим провалом, и вместо этого правительство закупило проверенные инструменты на частном рынке слежки. The Washington Post сообщила, что Россия предлагала инсценировать покушение, чтобы повлиять на исход выборов. Задокументировано, что российские дезинформационные операции идут параллельно с аппаратом слежки.
Вот что производит рынок слежки: инструменты, созданные для правоохранительных органов в демократиях, продаются разведывательным службам, которые разворачивают их против оппозиционных партий, журналистов и избирателей в день голосования. Та же технология Cobwebs, отслеживающая 500 миллионов устройств для американских полицейских управлений, отслеживает венгерских граждан, когда те идут на участки.
Великобритания строит следующую поверхность атаки
Эта закономерность распространяется и на другие демократии, которые не просто закупают инструменты слежки, а встраивают инфраструктуру слежки в ткань публичного пространства.
В начале 2026 года Великобритания объявила, что расширит развёртывание распознавания лиц в реальном времени с 10 мобильных фургонов до 50 и распределит их по всем полицейским силам Англии и Уэльса. Правительство выделило 26 миллионов фунтов на национальную систему распознавания лиц, 11,6 миллиона фунтов конкретно на технологию распознавания лиц в реальном времени и 115 миллионов фунтов на три года на Национальный центр ИИ в полицейской деятельности. Это расширение — часть правительственной «белой книги» о полицейских реформах, которая предусматривает создание «британского ФБР» — Национальной полицейской службы. О расширении объявили до того, как завершились собственные 12-недельные общественные консультации правительства по использованию распознавания лиц. Подрядчик, NEC Corporation, — та же фирма, чьи технологии связывали с операциями в Израиле.
Великобритания — ещё и та страна, которая вручила Apple секретное уведомление о технических возможностях по Закону о следственных полномочиях: предписание, которое заставило Apple 21 февраля 2025 года отозвать Advanced Data Protection у британских пользователей, устранив сквозное шифрование данных iCloud. В феврале 2026 года Signal объявила, что уйдёт из Швеции, а не станет исполнять предлагаемый закон, требующий доступа через чёрный ход к зашифрованной переписке. Это заявление поняли как прямое высказывание о Salt Typhoon: вот что бывает, когда предписывают чёрные ходы.
Великобритания строит одновременно общенациональную сеть биометрической слежки и правовую рамку, которая принуждает компании ослаблять шифрование. Восемьдесят процентов британцев сказали социологам, что им «комфортно» с использованием распознавания лиц полицией, — но лишь 55 процентов доверяют полиции применять его «ответственно». Этот разрыв между комфортом и доверием и есть то пространство, в котором инфраструктура слежки расширяется прежде, чем подотчётность её нагонит. Великобритания строит следующий DCSNet — централизованную инфраструктуру слежки с предписанными точками доступа, которая, если история о чём-то говорит, рано или поздно будет скомпрометирована теми же противниками, за которыми её задумывали следить.
Архитектура проблемы
Первый порыв после взломов Salt Typhoon — потребовать более надёжной защиты: более строгих средств контроля доступа, более тщательной проверки поставщиков, улучшенного мониторинга инфраструктуры перехвата. Это разумные меры, и часть из них будет реализована. Но они лечат симптом, а не болезнь.
Болезнь архитектурная. Любая система, поддерживающая постоянную точку доступа для правоохранительных органов, поддерживает постоянную точку доступа для всякого, кто способен скомпрометировать средства контроля доступа. История компьютерной безопасности на этот счёт недвусмысленна: средства контроля доступа отказывают. Они отказывают из-за человеческой ошибки, из-за компрометации цепочек поставок, из-за уязвимостей нулевого дня, из-за инсайдерских угроз и потому, что достаточно обеспеченные противники — такие как разведывательная служба национального государства — вложат столько, сколько потребуется, чтобы найти самое слабое звено.
Позиция ФБР всегда состояла в том, что законный доступ необходим. Постановления о прослушке служат законным правоохранительным целям. Санкционированная судом слежка срывала террористические заговоры, разрушала преступные организации и давала доказательства, которые обеспечивали обвинительные приговоры в делах, где никаких других доказательств не существовало. Эти утверждения не выдуманы. Вопрос, поднятый Salt Typhoon, не в том, есть ли у прослушки ценность, а в том, не превышает ли архитектурная цена поддержания всеобщей способности к перехвату во всей телекоммуникационной инфраструктуре ту выгоду, которую получают правоохранительные органы, — и не оказывается ли, что платит эту цену не ФБР, а каждый американец, чьи метаданные были собраны, каждый объект слежки, чья личность была раскрыта, и каждая разведывательная операция, скомпрометированная, когда Китай прошёл через дверь, существования которой потребовал CALEA.
Единственная система связи, которую нельзя взломать через предписанный чёрный ход, — та, у которой предписанного чёрного хода нет.
Инструменты, у которых нет парадной двери
Сквозное шифрование, при котором ключи держат только участники общения, устраняет ту централизованную точку доступа, которую эксплуатировала Salt Typhoon. Компрометировать архитектуру перехвата не получится, потому что никакой архитектуры перехвата нет. Signal использует сквозное шифрование по умолчанию для каждого сообщения и каждого звонка. Сервер никогда не держит открытый текст. Судебное постановление, вручённое в отношении инфраструктуры Signal, не даёт ничего полезного, потому что инфраструктуре Signal нечего полезного выдать. Когда в 2021 году большое жюри истребовало у Signal записи, компания выдала два элемента данных: дату создания аккаунта и дату его последнего подключения. Это было всё, что у Signal было.
Децентрализованные сети связи идут дальше. Tor распределяет трафик по тысячам ретрансляторов, которыми управляют добровольцы, так что ни один узел не может наблюдать одновременно и источник, и получателя соединения. Нет никакой центральной коммутационной инфраструктуры, где можно было бы установить оборудование перехвата. Модель CALEA, где оператор поддерживает постоянную возможность прослушки в центральной точке перехвата, архитектурно невозможна в сети, где центральной точки перехвата нет.
Децентрализованные VPN-архитектуры вроде URnetwork маршрутизируют соединения через сети резидентных узлов, а не через централизованную серверную инфраструктуру. Нет единственного оператора, которому можно вручить судебное постановление, нет центрального коммутационного узла, где можно установить предписанное CALEA оборудование, нет стороннего поставщика, компрометация которого даёт атакующему доступ ко всей сети. Архитектура распределена по замыслу. Тот вид централизованного перехвата, который предписывает CALEA — и который эксплуатировала Salt Typhoon, — геометрически невозможен в сети, где трафик идёт через тысячи независимых узлов без централизованной точки агрегации.
Это не теоретические архитектуры. Они существуют. Они работают. Ими пользуются миллионы людей. И они удаются именно потому, что их построили без той функции, которой правительство США требовало тридцать два года: двери, через которую государство могло бы войти. Salt Typhoon доказала: когда вы строите дверь, вам не дано выбирать, кто через неё пройдёт.
Урок, который политика не усвоила
Взлом DCSNet группой Salt Typhoon должен был закрыть спор о предписанных чёрных ходах. Он дал окончательное эмпирическое доказательство того, о чём сообщество безопасности предупреждало тридцать два года: предписанная точка доступа была обнаружена и использована противником, скомпрометировав те самые операции слежки, которые она должна была обслуживать. Чёрный ход не сделал Америку безопаснее. Он сделал американские разведывательные операции видимыми для Китая.
Но политика движется не со скоростью доказательств. По состоянию на апрель 2026 года никаких серьёзных законодательных усилий по отмене или реформе CALEA нет. ФБР публично не пересмотрело свою позицию по предписанному доступу. AT&T и Verizon блокируют отчёты о безопасности, которые позволили бы Конгрессу понять полный масштаб взлома. Операторы продолжают поддерживать свою архитектуру перехвата, потому что этого требует закон. Великобритания расширяет собственную инфраструктуру слежки. Венгрия разворачивает инструменты слежки на базе рекламных технологий против своего электората в день выборов. А Salt Typhoon, по словам исследователей, отслеживающих её операции, вероятно, остаётся внутри сетей, которые скомпрометировала.
Рекламная индустрия построила параллельную систему слежки, которая отслеживает 500 миллионов устройств вообще без какого-либо законодательного предписания — на одном рыночном стимуле собирать и продавать данные о местоположении. Правительства, десятилетиями требовавшие чёрных ходов в зашифрованные коммуникации, теперь оказались перед реальностью, в которой рекламная экосистема построила нечто более всеохватное, чем всё, что когда-либо произвёл CALEA, и это доступно любому покупателю с заказом на закупку.
Парадная дверь по-прежнему открыта. Чёрный ход по-прежнему предписан. Единственные коммуникации, которые Китай не смог перехватить, — те, которые изначально никогда нельзя было перехватить: зашифрованные от конца до конца, направленные через децентрализованную инфраструктуру, переданные по сетям, где чёрный ход никогда не строили.
Вопрос не в том, случится ли следующий взлом. Вопрос в том, изменится ли что-нибудь до того, как он случится.
Источники: уведомления ФБР Конгрессу и отчёты об инцидентах по FISMA (февраль—апрель 2026 года); заявления в Комитете Сената по торговле (сенатор Кантуэлл, февраль 2026 года); материалы Nextgov и Politico о взломе DCSNet/Red Hook; материалы Bloomberg, NBC News и Wikipedia о компрометации операторов связи группой Salt Typhoon (2019—2026); доклад Citizen Lab "Webloc" (11 апреля 2026 года) о слежке на базе рекламных технологий Cobwebs/Penlink; материалы VSquare, OCCRP, Bloomberg и Washington Post об аппарате слежки правительства Орбана в Венгрии и выборах апреля 2026 года; Biometric Update, The Gazette и Al Jazeera о расширении распознавания лиц в Великобритании; заявление Signal об уходе (Швеция, февраль 2026 года); письмо членов Конгресса о закупках данных без судебных ордеров (72 подписавших); оценки исследователей кибербезопасности относительно устойчивого доступа Salt Typhoon; Abelson et al., "The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption" (1997).