Є незручна правда, яку в Брюсселі, Берліні та Парижі досі вимовляють пошепки: Європа не має власного бойового досвіду в кіберпросторі. Вона має чудові регуляції, гарні агентства, розумні стратегії – і майже нульовий досвід безперервної роботи проти першокласного державного противника, який намагається не вкрасти у вас дані, а вимкнути вам світло посеред зими.
Україна має цей досвід. Понад 10 років поспіль. Щодня. І це формулює питання, винесене в заголовок, інакше, ніж його звикли ставити. Не «як ЄС допомогти Україні встояти», а «що Європа втрачає, ставлячись до України виключно як до отримувача допомоги, а не як до носія унікальної бойової компетенції».
Бо кіберщит – це не стіна, за якою ховаються. Це людина з досвідом, яка знає, звідки прилетить наступний удар, бо вже відбила сотню попередніх.
Докладно про те, чому досвід українських фахівців з кібербезпеки має стати частиною оборонної стратегії ЄС та які незручні запитання Європі варто поставити собі, Mind розповів Денис Цвайг, кіберстратег, співзасновник Black Vault, CEO DeHealth Technologies, CTO руху Energy Nation.
Дозволю собі одну рамку, бо без неї текст перетвориться на каталог страшилок.
Найкорисніша модель, яка пояснює те, що ми реально спостерігаємо в кіберпросторі, – це теорія кіберпостійності (Cyber Persistence Theory). Її суть неприємна для будь-якого політика: у кіберпросторі немає «миру» і немає стабільної рівноваги.
Держави перебувають у постійному контакті одна з одною. Середовище майже неможливо зруйнувати цілком – але кожна окрема система в ньому відкрита. А отже, раціональний противник діє не епізодично, а весь час, нижче порогу, за який спрацьовує Стаття 5 НАТО. Він не «нападає». Він повільно перетягує умови безпеки на свій бік, і одного дня ви прокидаєтесь у світі, де він уже всюди.
З цього випливає простий висновок, який Європа ще не засвоїла на рівні бюджетів: якщо ви плануєте кіберзахист під кризи, ви недофінансуєте те, що насправді важливо – щоденну роботу. І якщо ви міряєте успіх кількістю залатаних дірок та оброблених тікетів – ви рахуєте не те.
Запитання, на які варто відповідати, інші. Ми формуємо середовище чи лише реагуємо? Чи можемо втримати доступ до того, що нам цінне? Чи можемо не пустити туди противника? Це питання рівня кампанії, а не інциденту. І Україна вже десять років відповідає на них під вогнем.
Перш ніж перейти до атак, варто зрозуміти мотив – бо без нього захист завжди буде сліпим.
Росія використовує кіберпростір для примусу: вимкнути, залякати, зламати волю до спротиву. Китай – для позиціювання: тихо зайти у критичну інфраструктуру й роками сидіти, нічого не чіпаючи, до потрібного дня. Північна Корея – банально для грошей: красти криптовалюту, щоб фінансувати ракетну програму. Три різні логіки, три різні відомства, три різні почерки.
Але мета в усіх трьох одна: отримати асиметричну перевагу дешевше, ніж її дає звичайна армія. Кіберпростір – єдине поле, де бідна країна може бити по багатій, а велика – готувати майбутній удар, не роблячи жодного пострілу й не залишаючи слідів, за які доведеться відповідати.
Це не «додатковий вимір» війни. Це найдешевша її форма. І саме тому вона нікуди не зникне – ні після перемир'я в Україні, ні після будь-яких санкцій.
Далі – кілька кейсів. Я свідомо подаю їх не суцільною хронікою, а як уроки, бо кожен із них Європа або вже дістала, або дістає примусово.
Грудень 2015-го. Перший в історії підтверджений збій енергомережі через код. Хакерське угрупування Sandworm (російський військовий підрозділ кібервійни 74455 у складі ГРУ) вимкнуло близько 30 підстанцій трьох обленерго через BlackEnergy (шкідливе програмне забезпечення для віддаленого доступу та виконання команд) і KillDisk (програма знищення даних з неможливістю їх відновлення). Без світла – приблизно 230 тис. людей, від години до шести. А врятувало нас тоді що? Аналог. Оператори фізично сіли в машини, поїхали на підстанції й перемкнули все руками, бо SCADA була в руках противника. Запам'ятайте цю деталь – повернемося до неї.
Грудень 2016-го. Industroyer. Уже не руками – повністю автоматизована атака, що знеструмила п'яту частину Києва на годину. Це був тест зброї, яка вміє напряму «розмовляти» з промисловими протоколами підстанцій. Прототип того, що Захід побачить у себе через десятиліття.
2017-й. NotPetya. Запущений через українське бухгалтерське ПЗ, він став найбільшою кібератакою в історії: понад 160 країн, близько мільярда доларів збитків. І ось перший урок для Європи, оплачений чужими грошима: атака на Україну не залишається в Україні. Рахунок тоді отримали Maersk, Merck, Mondelēz, FedEx. Кіберзброя не зупиняється на кордоні Шенгену – вона взагалі не знає, що такий кордон існує.
24 лютого 2022-го, приблизно за годину до вторгнення. Viasat / KA-SAT. Wiper AcidRain (програма, яка робить непридатними супутникові модеми / роутери, видаляючи їхнє програмне забезпечення) виводить з ладу десятки тисяч супутникових модемів. Цілили в українське командування. А зачепило пів Європи: у Німеччині близько 5800 вітрогенераторів Enercon втратили дистанційне керування, тисячі абонентів у Франції, Угорщині, Греції, Італії та Польщі залишилися без зв'язку на тижні.
Тобто європейська критична інфраструктура вже постраждала від війни проти України – у перший же ранок. Більшість європейців просто цього не помітила, бо це були «всього лише» вітряки й супутниковий інтернет.
Квітень 2022-го. Industroyer2. Sandworm спробував повторити 2016-й проти високовольтних підстанцій – під удар потрапляли понад два мільйони людей з купою додаткових wiper'ів (тип шкідливого програмного забезпечення, єдина мета якого – незворотне знищення даних на комп'ютері або пристрої) для ускладнення відновлення. Зупинили. До настання ефекту. Дозрілий захист уміє ламати кіл-чейн усередині середовища, а не лише оплакувати наслідки.
12 грудня 2023-го. «Київстар». Найбільший оператор, 24,3 млн абонентів. Sandworm сидів у мережі щонайменше з травня, повний доступ отримав приблизно в листопаді. А потім за лічені години знищив ядро: тисячі віртуальних серверів, понад 4000 фізичних, усі бекапи. Кілька днів без зв'язку, місцями не працювало оповіщення про повітряну тривогу, відновлення коштувало близько $90 млн.
Глава кіберпідрозділу СБУ сказав тоді фразу, яку варто повісити в кабінеті кожного європейського регулятора: це попередження всьому Заходу, що недоторканних немає.
І ще одна деталь, про яку забувають: військовий зв'язок не впав, бо жив на окремих системах. Сегментація – це не пункт аудиту. Це різниця між «незручно» і «катастрофа».
Січень 2024-го. Львівтеплоенерго. Sandworm залишив без опалення й гарячої води понад 600 будинків Львова в мороз – частина операції проти близько 20 підприємств тепло-, водо- й енергопостачання в десяти областях. А зайшли вони через спільного підрядника. Європі з її нескінченними ланцюгами вендорів варто прочитати це речення двічі: вас зламають не через вас, а через того, кому ви довірили обслуговування.
А далі – найважливіше. У 2024-му CERT-UA обробив 4315 інцидентів – на ~70% більше, ніж роком раніше. Але кількість критичних атак різко впала. Тиск зріс – шкода зменшилася. Ось такий вигляд має кіберстійкість, виміряна в бою, а не в презентації.
У першій половині 2025-го противник перейшов на тактику «вкрав і втік» – швидко витягти дані й піти, бо тривалу присутність утримувати стало надто дорого. Коли противник змінює власну поведінку через ваш захист – це і є той результат, який треба вимірювати замість кількості закритих CVE.
Тут західні огляди зазвичай зупиняються, і це помилка. Бо найцінніше, що дала Україна, – доказ, що демократія теж уміє грати в наступ, не перетворюючись на ГРУ.
У 2024-му ГУР і СБУ системно працювали по російських банках, провайдерах, аеропортах, держустановах. Але найкращий, на мій смак, кейс – операція 256-го кіберпідрозділу, бо це чистий tradecraft, а не «вибух».
Росіяни масово контрабандили Starlink через Центральну Азію й Туреччину, щоб коригувати удари дронів. Коли SpaceX увела обов’язкову реєстрацію за паспортом і заблокувала чужі термінали, російські підрозділи в полі «осліпли» – і кинулися шукати українців, готових зареєструвати термінал за крипту. Наші видали себе за кіберзлочинців, відкрили телеграм-канал і за допомогою ШI-бота поетапно витягли дані з понад 2600 окупантів – від серійних номерів до GPS-координат. Координати штабів і позицій операторів дронів передали українським військовим.
Жодного «вирішального удару». Доступ, обман, накопичена перевага. Саме такою є кіберсправа, коли її роблять професіонали, – і саме цього досвіду в Європі катма.
Україна – єдина держава у світі, яка пройшла повний цикл сучасної кіберкампанії. Від шпигунства й інформаційних операцій – через атаки на енергетику, телеком і супутниковий зв'язок – до ударів по військових системах. І при цьому держава встояла: вибори проводилися, «Дія» працювала, бюджетники отримували виплати, армія керувалася.
Ні Ізраїль, ні США, ні Британія такого циклу не проходили. У них є блискучі фрагменти – окремі операції, окремі інциденти, окремі навчання. Повної кривої, від першого вторгнення до утримання держави під багаторічним безперервним тиском, немає ні в кого. Тільки в нас.
Я називаю це бойовою кіберстійкістю (Combat Cyber Resilience) – здатністю держави зберігати працездатність під одночасним тиском кібероперацій, інформаційних атак і кінетичної війни. Це не «відновлення після інциденту» з підручника.
Підручник передбачає, що після удару настає пауза, у якій ти відновлюєшся. Бойова кіберстійкість – це коли відновлюватися доводиться тоді, коли тебе ще б'ють і коли поруч прилітає ракета. Цього не навчають на курсах. Цьому навчає тільки війна. І зараз у світі є лише одна держава з повним курсом за плечима.
Поставлю їх прямо, бо саме вони відповідають на запитання, чому досвід українських фахівців з кібербезпеки має стати частиною оборонної стратегії ЄС.
1. Якщо завтра Sandworm повторить сценарій «Київстар» проти великого оператора в Німеччині чи Франції – ви впевнені, що відновите мережу швидше, ніж це зробили ми за кілька днів, без готового аналогового резерву й без досвіду піднімати «ядро» з нуля під вогнем?
2. Якщо завтра хакерське угруповання Китаю Volt Typhoon активує доступи, які роками тихо накопичував у вашій енергетиці, воді й телекомі, – хто конкретно у вашій країні має практичний досвід реагування на кампанію такого класу, а не на навчальну вправу з гарним сценарієм?
3. Якщо північнокорейський «інженер» під чужим іменем уже пів року сидить у вашому R&D-відділі – ви дізнаєтеся про це від власної служби безпеки чи з листа від ФБР?
Якщо чесна відповідь хоч на одне із цих запитань – «не знаю», то ось вам і пояснення, навіщо потрібен український досвід. Не з ввічливості до союзника. З власного інстинкту самозбереження.
Росія перестала вдавати, що цілить лише в нас. 29–30 грудня 2025-го Sandworm атакував енергосистему Польщі – дві ТЕЦ і систему керування відновлюваною генерацією, з новим wiper'ом DynoWiper. Блекаут зупинили, але час вибрали з хірургічною символічністю: рівно десята річниця першої атаки на українську мережу.
Того ж 2025-го проросійські хакери кілька годин крутили засувками на норвезькій дамбі, ламали опалення на заводі у Швеції, різали підводні кабелі в Балтиці (історія з танкером Eagle S – лише один епізод із приблизно 11 пошкоджених кабелів від початку 2024-го). Близько 170 російських суден «вешталися» біля вітропарків і трубопроводів, глушіння GPS закривало аеропорти, у Фінляндії хтось фізично заходив на 11 водних об'єктів.
Це все – та сама логіка постійної дії нижче порогу. ЄС у грудні 2025-го відповів санкціями проти ГРУ-юнітів. Санкції, на жаль, не латають уразливості.
Китай грає тихо й у довгу. Його хакерське угруповання Volt Typhoon роками сидить у критичній інфраструктурі – енергетика, вода, транспорт, телеком, нічого не крадучи й не ламаючи, просто передпозиціонуючись під майбутній конфлікт і ховаючись за легальними інструментами системи.
Ще одне угрупування Salt Typhoon залізло в телекоми понад 80 країн. У листопаді 2025-го глава австралійської розвідки прямо говорив про спроби китайських груп зайти у критичну інфраструктуру країни.
Для Європи окремий нерв – енергетика: понад 200 ГВт із приблизно 338 ГВт сонячної потужності ЄС тримається на китайських інверторах із дистанційним доступом. Литва вже законодавчо рубає цей доступ для великих установок. Решта Європи поки що сподівається на найкраще. Sandworm уже показав нам, чим закінчується ця надія.
Північна Корея монетизує кібернапрям. Lazarus краде крипту на ракети – у лютому 2025-го ФБР підтвердило викрадення $1,5 млрд з біржі Bybit. WannaCry (північнокорейський вірус-вимагач 2017 року, що паралізував британську NHS і понад 150 країн). А ще КНДР масово влаштовує «фахівців» із фейковими особистостями в західні компанії: європейський бізнес наймає північнокорейську розвідку через власний HR і навіть не підозрює про це.
Три актори, три мотиви, одна спільна риса: усі працюють постійно, і всі вже не «десь там», а у дворі Європи.
Свіжий витік документів кафедри «спецпідготовки» МДТУ ім. Баумана показав, як росія конвеєрно готує кадри для наступальних кібероперацій – з практикою, написанням власної малварі, семінарами з пропагандистських кампаній і прямим рекрутингом у Sandworm. Західні медіа охрестили це «Департаментом воєнних злочинів». Заголовок ефектний, фрейм – хибний.
Бо правда в тому, що такі системи будують усі серйозні держави. І США, і Британія, і Китай, і Ізраїль. Питання не в тому, аморально це чи ні, – питання в тому, хто робить це більш системно й перестав цього соромитися.
І ось тут у Європи проблема: вона досі плутає моральний шок від самого факту існування кіберконкуренції з оборонною стратегією. Україна цієї розкоші – соромитися – не має. Тому український досвід є ще й антидотом до головної європейської хвороби: ілюзії, що достатньо ухвалити гарну директиву, аби тебе не чіпали.
Саме тому український досвід є настільки незручним для західних стратегів. Він руйнує комфортну ідею, що кібербезпека – це передусім питання відповідності стандартам і регуляціям. Український досвід показує протилежне: під час реальної кампанії виживають не найкраще сертифіковані організації, а найкраще адаптовані.
Архітектура співпраці вже є, і вона непогана: Талліннський механізм (з грудня 2023-го мобілізовано понад 200 млн євро, 13+ країн-донорів, ЄС і НАТО спостерігачами, проєктний офіс у Києві), кібердіалоги ЄС – Україна, робоча угода з ENISA й оперативна з Європолом, доступ до Резерву кібербезпеки ЄС, NIS2, Cyber Solidarity Act. Україна тим часом створює окремі Сили кібероперацій як рід військ.
Проблема не в наявності механізмів, а в напрямку потоку. Сьогодні все це сконструйовано як допомога, що тече в Україну. Це потрібно. Але це лише половина рівняння – і не найцінніша.
Я б змінив ось що:
Європа звикла бачити Україну східним форпостом. Метафора зручна, але хибна. Форпост – це місце, яке першим приймає удар і гине, щоб виграти час тим, хто позаду.
Україна – не форпост. Україна – лабораторія майбутньої війни. Саме тут росія вперше вимкнула енергомережу рядком коду. Саме тут уперше вдарили по супутниковому зв’язку в перші години вторгнення. Саме тут відпрацювали поєднання кіберудару, дезінформації та ракет в одну злагоджену операцію. І саме тут – як побічний, оплачений кров’ю результат – з’явився найбільший у світі практичний досвід протидії всьому цьому.
Росія використала Україну як полігон. Це був її задум. Але результат виявився іншим: Україна стала лабораторією кіберстійкості, якої сьогодні потребує вся Європа.
У XXI столітті безпека визначатиметься не лише кількістю танків, літаків і ракет. Вона визначатиметься здатністю держави продовжувати функціонувати тоді, коли противник уже всередині її мереж. Україна знає, як це робити.
Питання лише в тому, чи готова Європа вчитися – до того, як їй доведеться складати цей іспит самостійно.