Власти США обязали гражданские федеральные ведомства удалить программные продукты Acronis из своих информационных систем до 27 января 2027 года. Новые закупки уже запрещены, а причиной стали опасения за безопасность государственного оборудования и данных.
Министерство внутренней безопасности США выпустило соответствующее распоряжение ещё 31 июля, однако официально опубликовало документ только 30 октября. Запрет распространяется на швейцарскую Acronis AG, американские подразделения Acronis Inc. и Acronis SCS, а также связанные компании. Ведомства должны исключить продукцию разработчика из действующих и будущих закупок, включая каталоги разрешённого программного обеспечения.
Главная претензия американских властей связана с уровнем доступа, который получают инструменты резервного копирования и киберзащиты. Продукты Acronis могут работать с правами администратора или root, получая доступ к критически важным компонентам информационных систем. В распоряжении говорится, что подобные возможности создают существенные риски для государственных сетей. При этом документ не содержит доказательств обнаружения вредоносного кода или шпионских функций.
Решению предшествовала многолетняя проверка, начавшаяся ещё во время первого президентского срока Дональда Трампа и продолжавшаяся при следующих администрациях. По словам двух бывших американских чиновников, знакомых с расследованием, власти изучали возможное влияние российских инвесторов, участие разработчиков из России в сопровождении программного кода Acronis и меры защиты от угроз, связанных с поставщиками программного обеспечения.
Американские чиновники пытались выяснить, могла ли иностранная сторона влиять на деятельность компании через акционеров, руководство или инженерные подразделения. Отдельное внимание уделялось рискам для цепочки поставок, поскольку доступ к исходному коду, процессам сборки и обновлениям теоретически позволяет вмешиваться в работу программ, установленных у заказчиков. Однако собеседники, знакомые с расследованием, не сообщили о конкретных доказательствах существования закладок, передающих сведения российским властям.
Основанием для запрета стала рекомендация Федерального совета по безопасности закупок, который оценивает риски иностранных поставщиков для государственных информационных систем. Документ предусматривает исключения для отдельных ведомств, если немедленный отказ от продуктов Acronis мешает выполнять критически важные задачи. Запрос на исключение следовало подать в течение 60 дней после подписания распоряжения, обосновав необходимость дальнейшего использования программ.
До завершения перехода на альтернативные решения американским ведомствам предложили усилить контроль сетевого трафика, расширить регистрацию событий безопасности и внимательнее отслеживать возможную передачу конфиденциальных данных за пределы инфраструктуры. Агентство CISA может оказывать техническую помощь организациям, которым не хватает собственных ресурсов для выполнения распоряжения. Требования затрагивают также информационные системы, которые подрядчики обслуживают от имени федеральных ведомств.
Запрет относится к гражданским ведомствам исполнительной власти. Системы Министерства обороны и разведывательного сообщества регулируются отдельными полномочиями. Ранее ограничения в отношении Acronis уже вводились для государственных структур, отвечающих за оборону и разведку. Новый приказ расширяет запрет на гражданский сегмент федеральной инфраструктуры, где продукцию компании использовали, в частности, Управление по борьбе с наркотиками и Национальное управление океанических и атмосферных исследований США.
Acronis основали в Сингапуре в 2003 году, позднее компания разместила штаб-квартиру в швейцарском Шаффхаузене. Значительная часть инженерных и исследовательских подразделений исторически находилась в Москве. Для российского рынка Acronis также сотрудничала с юридически самостоятельной компанией Acronis Infoprotection, которая адаптировала программный код под местные требования, включая российские стандарты шифрования, и поставляла решения государственным организациям и предприятиям.
После начала военных действий на Украине в 2022 году Acronis объявила о прекращении работы в России и переместила часть технических специалистов в Болгарию, Сингапур и Израиль. В 2025 году шведский инвестиционный фонд EQT получил контрольный пакет акций. Сооснователь компании Сергей Белоусов, также известный как Serg Bell, покинул исполнительное руководство.
Представитель Acronis подчеркнул, что с 15 мая 2025 года контроль над группой принадлежит шведскому инвестору, а совокупная доля западных инвестиционных компаний, включая CVC Capital Partners, Springcoast Partners и BlackRock, превышает 75%. По утверждению Acronis, сделку одобрил американский Комитет по иностранным инвестициям CFIUS, который проверяет приобретение американских активов иностранными инвесторами на предмет угроз национальной безопасности. Компания не уточнила, намерена ли оспаривать распоряжение Министерства внутренней безопасности.
В отличие от ограничений против «Лаборатории Касперского», которые в 2024 году распространились на коммерческий рынок США, нынешний запрет не лишает Acronis права продавать программное обеспечение американским частным компаниям и обычным пользователям. Однако решение закрывает поставщику доступ к значительной части федерального рынка и может затронуть подрядчиков, которые применяют продукты Acronis при обслуживании государственных заказчиков.
