Хибні тривоги 1 листопада: що сталося

Допис про кібератаку на додаток «Повітряна тривога» зі сповіщеннями: «22:47 Радіаційна небезпека!»

Що сталося

Увечері 1 листопада, з 22:47 до 22:54 за київським часом, через кібератаку на інфраструктуру застосунку «Повітряна тривога» майже по всій Україні почали надходити хибні сповіщення. За нашими підрахунками, за ці кілька хвилин було оголошено 122 фейкові тривоги: 103 повітряні, а також 5 про радіаційну небезпеку, 5 про хімічну загрозу, 5 про вуличні бої та 4 про артобстріли.

Жодної реальної небезпеки цих типів не було. Невдовзі у Повітряних силах ЗСУ підтвердили, що застосунок «Повітряна тривога», імовірно, зазнав ворожого втручання, і заспокоїли, що радіаційної загрози немає.

Хибні тривоги в історії тривог м. Києва: вуличні бої, хімічна загроза, радіаційна небезпека

Втім, сама по собі поява таких сповіщень не обов’язково означає технічний злам серверів чи самої системи. У подібних випадках не можна виключати соціальну інженерію, наприклад компрометацію облікового запису когось із чергових адміністраторів, які мають доступ до пульта вмикання тривог.

Офіційних заяв щодо причин збою наразі немає. Команда застосунку зі свого боку веде розслідування.

Заява розробників застосунку «Повітряна тривога» після інциденту: вибачення, розслідування ще триває

Чому ці тривоги з’явилися на нашій мапі?

Застосунок «Повітряна тривога» є офіційним джерелом даних про тривоги: інформацію в нього передають відповідальні оператори в обласних військових адміністраціях. Далі вона поширюється через офіційний API застосунку, і наша мапа отримує її автоматично. Цим самим джерелом користуються й інші сервіси. Оскільки наша система обробляє ці сигнали автоматично в реальному часі, хибні сповіщення одразу відобразилися і на alerts.in.ua.

Хронологія подій

Щойно ми помітили аномальні сповіщення, ми почали звіряти ситуацію з іншими офіційними каналами (Повітряних сил та ОВА) і вручну очищати мапу від фейкових тривог. Згодом проблему усунули й на боці офіційної системи.

Ось як усе відбувалося за даними нашої системи (час київський):

  • 22:47 — з’явилася перша хибна тривога (про радіаційну небезпеку).
  • 22:54 — зафіксовано останню хибну тривогу. Одночасно з цим почалася DDoS-атака на наш сайт alerts.in.ua.
  • 23:19 — ми почали прибирати хибні тривоги з мапи та історії.
  • 23:47 — від офіційної системи почали масово надходити сигнали відбою.
  • 00:03 — ми остаточно видалили всі хибні записи.
  • 00:05 — оголошено першу справжню повітряну тривогу після інциденту.
  • 01:52 — команда застосунку написала про поступове повернення до роботи.

Що зараз із мапою

Відображення повітряних тривог працює у штатному режимі. Мапа руху цілей наразі ще відновлює роботу і запрацює трохи згодом.

Невелике прохання

Через цей збій ми отримали низку негативних відгуків у магазинах застосунків. Якщо наша мапа вам допомагає, будемо дуже вдячні за вашу оцінку в Google Play та App Store. Для нас це важлива підтримка.

Джерела

What Happened

On the evening of November 1, between 22:47 and 22:54 Kyiv time, a cyberattack targeting the infrastructure of the “Air Alert” (Povitriana Tryvoha) app triggered false notifications across almost all of Ukraine. According to our records, 122 fake alerts were issued within those few minutes: 103 air raid alerts, plus 5 for radiation danger, 5 for chemical threats, 5 for street fighting, and 4 for artillery shelling.

None of these threats were real. Shortly afterward, the Air Force of Ukraine confirmed that the “Air Alert” app had likely experienced enemy interference and assured the public that there was no radiation threat.

False alerts in the alert history for Kyiv: street fighting, chemical threat, radiation danger

However, the appearance of such alerts does not necessarily mean the core system itself was hacked. In situations like this, social engineering cannot be ruled out — for instance, compromising the account of one of the administrators responsible for triggering alerts.

There are no official statements on the cause of the incident yet. The app’s team is carrying out an investigation on its side.

Statement from the developers of the Air Alert app after the incident: an apology, and the investigation is still ongoing

Why Did These Alerts Appear on Our Map?

The “Air Alert” app is the official source of alert data: the information is sent to it by responsible operators in regional military administrations. It is then distributed through the app’s official API, and our map receives it automatically. Other services rely on the same source too. Because our system processes these signals automatically in real time, the false alerts immediately appeared on alerts.in.ua as well.

Timeline

As soon as we noticed the anomalous alerts, we began cross-checking the situation against other official channels (the Air Force and regional administrations) and manually clearing the fake alerts from the map. Later, the issue was resolved on the official system’s side as well.

Here is how events unfolded according to our system (Kyiv time):

  • 22:47 — the first false alert appeared (radiation danger).
  • 22:54 — the last false alert was recorded. At the same time, a DDoS attack was launched against alerts.in.ua.
  • 23:19 — we began removing the false alerts from the map and history.
  • 23:47 — mass all-clear signals started arriving from the official system.
  • 00:03 — we finished removing the last of the false records.
  • 00:05 — the first real air raid alert after the incident was declared.
  • 01:52 — the app’s team wrote that the app was gradually returning to service.

Current Status

Air raid alerts are working normally. The moving targets map is still being restored and will be back online shortly.

A Small Request

Because of this incident, we received a number of negative reviews in the app stores. If our map helps you, we would be very grateful for your rating on Google Play and the App Store. It means a lot to us.

Sources (in Ukrainian)