Тростник не ждёт
10 июня 2026 года ransomware-группа The Gentlemen остановила два завода Mackay Sugar в Австралии, не тронув ни одной промышленной системы — хватило дыры в FortiOS. Разбираем, как это случилось и что сделать, чтобы не оказаться среди 14 700 уже вскрытых FortiGate.
Рано утром 10 июня 2026 года фермеры вокруг австралийского Маккея получили
сообщение: **немедленно прекратить уборку**.
Две из трёх мельниц Mackay Sugar, второго по величине производителя
сахара-сырца в Австралии, встали. Не котёл, не наводнение, не забастовка.
Кто-то на другом конце планеты нажал Enter.
Срезанный тростник теряет сахаристость с первой минуты. Его нельзя положить на
склад и дождаться, пока айтишники поднимут ERP. Через двое суток компания
запустила **ручное дробление** — люди делали руками то, что делают системы,
просто чтобы сырьё не сгнило.
1 300 хозяйств-поставщиков. Полторы недели простоя, которые переехали в конец
сезона — под дожди и упавшую сахаристость.
## Кто
Через шесть дней ответственность заявила **The Gentlemen** — RaaS-группировка,
отколовшаяся от Qilin после спора о невыплаченных $48 000. К июню 2026-го —
117 жертв за месяц, вторая по активности программа года. Аффилиатам платят 90%
выкупа против рыночных 70–80%. Шифровальщики работают по Windows, Linux и
ESXi.
## Как
Основной вектор — **CVE-2024-55591**, обход аутентификации в FortiOS/FortiProxy.
Не фишинг. Ваш межсетевой экран.
Группа поддерживает базу примерно из **14 700 уже проэксплуатированных
FortiGate** по всему миру и 969 проверенных учёток FortiGate VPN. Это не
список целей. Это список вскрытых дверей, ждущих своей очереди.
## Главный вывод
Следов доступа к АСУ ТП не нашли. И это самое важное.
**Чтобы остановить завод, не нужно взламывать завод.** Достаточно уронить
системы, без которых завод не знает, что ему делать: планирование, учёт
сырья, логистику, весовую. Шестерёнки крутятся — но никто не может сказать,
что в них засыпать.
Dragos за Q2 2026: 1 140 промышленных инцидентов с шифровальщиками, 65% —
производство. Виноваты не ICS-импланты, а ERP, гипервизоры, AD и VPN-шлюзы.
## Что делать
1. Закрыть CVE-2024-55591 на всех FortiGate. Включая то, что в филиале.
2. Патч ≠ чистота. Hunt на следы + ротация всех админ- и VPN-учёток.
3. MFA на VPN без исключений. Исключение и станет входом.
4. Детект: SharpADWS, Advanced IP Scanner, `netsh trace`, и высшим
приоритетом — очистка журнала безопасности (Event ID 1102).
5. Изоляция ESXi: отдельный сегмент, отключённый SSH, lockdown mode.
6. Ручной режим на 72 часа для критичного потока. Документированный и
отрепетированный.
Для объектов КИИ в Узбекистане добавьте уведомление СГБ в течение 48 часов
(Ст. 23 ЗРУ-764) — прописать в runbook **до** инцидента, а не во время.
---
Список из 14 700 позиций. Проверьте, нет ли там вас.
Если не уверены, что именно у вас на периметре и кто может им управлять, —
[запросите демо](/contact): за 15 минут разберём вашу инфраструктуру и
скажем, где может быть похожая дыра.