Почти все государственные сайты Северной Кореи оказались недоступны на протяжении 32 часов. Сбой затронул десятки официальных ресурсов, включая МИД и государственные СМИ. Американские специалисты обнаружили признаки масштабной DDoS-атаки, но установить её организаторов пока не удалось.
Проблемы начались 20 октября около 11 часов утра по местному времени. Одновременно перестали открываться 42 сайта в национальной доменной зоне .kp, включая Центральное телеграфное агентство Кореи (KCNA), газеты «Нодон синмун» и «Минчжу чосон», портал «Нэнара» и сайт авиакомпании Air Koryo. Недоступным оказался даже официальный каталог северокорейских интернет-ресурсов, через который иностранные пользователи обычно находят государственные сайты.
Масштаб сбоя оказался необычным даже для КНДР. По измерениям Pingdom, сайт KCNA оставался недоступным 19 часов из первых 24 после начала проблем. Другие ресурсы лишь изредка возвращались к работе, причём суммарная продолжительность некоторых периодов доступности не превышала 10 минут. Перебои затронули и почтовый SMTP-сервер Silibank, который смог возобновить работу всего на пять минут утром 21 октября.
Новые сведения о возможной причине появились 23 октября. Американская компания Kentik обнаружила несколько волн аномального сетевого трафика, совпавших по времени с отключениями северокорейских сайтов. Руководитель направления анализа интернета Дуг Мэдори сообщил, что резкие всплески начались примерно в 11 часов утра 20 октября, а значительная часть подозрительных подключений поступала из зарубежных сетей, в том числе из Вьетнама.
Мэдори считает характер трафика убедительным признаком DDoS-атаки. При таком нападении множество устройств одновременно отправляют запросы к серверам или сетевому оборудованию, перегружая каналы связи и вычислительные ресурсы. В результате обычные пользователи теряют доступ к сайтам, хотя сами серверы могут оставаться исправными. Однако Kentik проанализировала только часть трафика, поэтому пока нельзя однозначно связать все перебои с обнаруженной атакой.
Отдельную проблему представляет устройство северокорейской интернет-инфраструктуры. Нарушения, предположительно, затронули сеть Ryugyong-dong, которая исторически использовала подключение китайского оператора China Unicom через адресное пространство, связанное с гонконгской сетью Cenbong. С 2017 года альтернативный канал предоставлял российский оператор «ТрансТелеКом», а с 2023 года маршрутизация также задействовала дополнительную сеть на Филиппинах. Однако наличие нескольких маршрутов не предотвратило массовую недоступность сайтов.
Первоначально рассматривались и другие объяснения. Северокорейская инфраструктура зависит от нестабильного электроснабжения, поэтому отключения маршрутизаторов и коммутационного оборудования способны одновременно нарушить работу нескольких сервисов. Не исключались техническое обслуживание международных каналов и проблемы с сетевым оборудованием. Впрочем, обнаруженные Kentik синхронные всплески трафика усилили версию внешнего нападения. Ни личности предполагаемых атакующих, ни их мотивы пока не установлены.
К вечеру 21 октября ситуация нормализовалась. Согласно результатам проверки южнокорейских наблюдателей, около 19 часов по местному времени основные северокорейские сайты снова стали доступны. К 17:30 следующего дня все 42 проверенных ресурса продолжали стабильно работать. Таким образом, период повторяющихся отключений составил приблизительно 32 часа. Представители южнокорейского Министерства объединения подтвердили наличие перебоев, но не смогли назвать их причину.
Несмотря на продолжительный сбой, говорить о полном прекращении информационного обмена между КНДР и внешним миром нельзя. Центральное телеграфное агентство Кореи продолжало распространять сообщения по своим каналам даже тогда, когда публичный сайт не открывался. Недоступность государственных веб-ресурсов также не доказывает, что внутренние северокорейские сети или все международные соединения страны перестали работать.
Северная Корея уже переживала подобные инциденты. В конце 2014 года, на фоне конфликта вокруг взлома Sony Pictures и фильма о вымышленном убийстве Ким Чен Ына, северокорейский интернет на несколько часов практически полностью отключился. В начале 2022 года американский хакер Алехандро Касерес, известный под псевдонимом P4x, организовал серию атак на северокорейские сайты и почтовые сервисы. Касерес объяснял свои действия ответом на попытки северокорейских хакеров атаковать исследователей информационной безопасности.
Нынешний инцидент вновь показал уязвимость небольшой и централизованной интернет-инфраструктуры КНДР. Даже при наличии нескольких международных подключений проблемы на ограниченном числе сетевых узлов способны одновременно сделать недоступными десятки государственных ресурсов. Пока специалисты не установили конкретный механизм всех отключений, нельзя утверждать, что причиной 32-часового сбоя стала исключительно DDoS-атака.
