ФСБ обвинила Cloudflare и Fastly в шпионаже за чиновниками: атака на интернет-инфраструктуру или новый виток 'цифрового суверенитета'

Ключевой нюанс: ФСБ не утверждает, что сотрудники Cloudflare и Fastly лично писали вирусы или напрямую управляли взломом. Речь идёт о том, что «технические возможности» этих компаний были «использованы» в операции — формулировка достаточно широкая, чтобы можно было подразумевать, что сети доставки контента (CDN), сервисы безопасности или обратного проксирования сыграли роль в краже данных или организации скрытой связи .

В качестве иллюстрации ФСБ опубликовала видеокадры офисов Cloudflare в Сан-Франциско, Fastly в Сан-Франциско и Лондоне, а также неустановленного здания в Нью-Йорке — по всей видимости, намекая на центры разработки или управления операцией . Напрямую США в заявлении названы не были, но подчёркивалось, что британские министерства, включая Министерство обороны, являлись клиентами услуг сетевой безопасности Cloudflare и Fastly . В государственных российских СМИ схему уже охарактеризовали как операцию «спецслужб США и Великобритании» .

Ни одно из обвинений не было подтверждено независимым расследованием. Ни Cloudflare, ни Fastly публично не прокомментировали конкретные обвинения. ФСБ не опубликовала ни образцов вредоносного ПО, ни сетевых логов, ни технических деталей, связывающих серверные конфигурации со шпионажем. Стоит помнить, что Министерство юстиции США ранее предъявляло обвинения самим офицерам ФСБ в организации преступных хакерских операций, включая взлом миллионов аккаунтов Yahoo . Таким образом, неподтверждённые обвинения исходят от действующей соперничающей спецслужбы.

Узнаваемый почерк: истории с Apple и другие

Это не первый случай, когда ФСБ обвиняет крупные западные технологические компании в соучастии в шпионаже. В июне 2023 года ведомство заявило, что Агентство национальной безопасности (АНБ) США якобы использовало уязвимость в iPhone для компрометации тысяч устройств граждан России и иностранных дипломатов, публично утверждая, что Apple «сотрудничала» с АНБ . Apple тогда опровергла обвинения, а никаких судебно-технических доказательств обнародовано не было. Структурное сходство очевидно: громкое бездоказательное заявление о том, что инфраструктура или софт именитой западной компании — прямой инструмент иностранной разведки, сопровождаемое видеоматериалами, но без какой-либо технической конкретики.

От технических блокировок к обвинениям в шпионаже: хроника борьбы с Cloudflare

Нынешнее обвинение в пособничестве шпионажу появилось не в вакууме, а в разгар задокументированной многолетней правительственной кампании по замедлению, блокировке и дискредитации Cloudflare.

Хронология развивалась поступательно. В октябре 2024 года Роскомнадзор заблокировал тысячи сайтов, использующих протокол Cloudflare Encrypted Client Hello (ECH) — расширение TLS, шифрующее начальное «рукопожатие» и мешающее надзорным органам понять, на какой сайт заходит пользователь . Тогда регулятор прямо заявил, что ECH «нарушает» российские нормы, регулирующие возможность контроля за трафиком.

20 марта 2025 года кампания резко ужесточилась: Роскомнадзор временно заблокировал целые подсети Cloudflare — более 500 000 IP-адресов, при этом технический эксперт «Роскомсвободы» оценивал реальный масштаб примерно в полтора миллиона адресов по разным регионам . Блокировка вызвала масштабные сбои в работе систем онлайн-банкинга (включая Сбербанк и Альфа-Банк), государственных порталов, приложений для связи и игровых сервисов, использующих инфраструктуру Cloudflare . Когда пользователи и бизнес сообщили о сбоях, Роскомнадзор списал всё на «иностранную серверную инфраструктуру» и порекомендовал российским организациям переходить на отечественных хостинг-провайдеров .

Самая продолжительная и технически изощрённая атака началась 9 июня 2025 года, когда крупнейшие российские интернет-провайдеры — «Ростелеком», «Мегафон», «Вымпелком», МТС и МГТС — запустили общефедеральное замедление (throttling) всего трафика, проходящего через Cloudflare . Замедление работало хирургически: конечное устройство пользователя успевало загрузить лишь первые 16 килобайт любого веб-ресурса, после чего соединение прерывалось . Для современного браузера 16 КБ — это максимум один HTTP-заголовок и несколько начальных строк текста; этого катастрофически мало для загрузки скриптов, стилей или полноценной страницы. В результате миллионы сайтов под защитой Cloudflare фактически исчезли для пользователей на территории России, хотя при поверхностной проверке сети создавалась иллюзия доступности .

Cloudflare официально подтвердила факт замедления 26 июня 2025 года, назвав его воздействием на государственном уровне, неподконтрольным компании . Внутренние данные компании показали, что ограничение на 16 КБ применялось одновременно через несколько механизмов, включая инжектирование пакетов и ограничение скорости — что указывает на скоординированное управление, а не на случайный сбой сети . Правозащитная организация Freedom House и независимые интернет-мониторы зафиксировали, что совокупный трафик Cloudflare из России существенно снизился, а сбои совпали по времени с внесением Роскомнадзором Cloudflare в реестр «организаторов распространения информации» . Этот реестр является механизмом надзора, который обязывает включённые в него компании хранить данные российских пользователей на локальных серверах и по требованию передавать ФСБ ключи для дешифровки. За отказ следовать этим правилам вводится обязательное замедление или полная блокировка сервисов — ровно то, что и наблюдается с июня 2025 года.

Последовательность наглядна: сначала точечный запрет на конкретный протокол шифрования (октябрь 2024), затем блокировка целых сетевых диапазонов (март 2025), и наконец, технический контроль, применяемый для бессрочной деградации всего сервиса Cloudflare (июнь 2025 года и далее). Заявление ФСБ от 2 июня 2026 года о шпионаже добавляет к уже запущенной кампании технического подавления нарратив о преступном сговоре.

Курс на «цифровой суверенитет» и полный контроль

Давление на Cloudflare и Fastly — лишь часть гораздо более масштабного, многолетнего государственного проекта по установлению полного внутреннего контроля над российской интернет-инфраструктурой. В официальной риторике это называют «цифровым суверенитетом».

Новое законодательство обязывает операторов связи устанавливать государственное оборудование глубокого анализа пакетов (Deep Packet Inspection — DPI), известное как система «Технические средства противодействия угрозам» (ТСПУ). Эта система даёт ФСБ возможность отслеживать, фильтровать и замедлять трафик на сетевом уровне . Операторы, не зарегистрированные в Роскомнадзоре или не соблюдающие требования ФСБ о предоставлении данных, сталкиваются с крупными штрафами и ограничением деятельности.

В сентябре 2025 года был введён «реестр социально значимых сервисов» — так называемый «белый список», изначально включавший 57 одобренных государством сайтов: государственное агентство РИА Новости, крупные банки, портал Госуслуги, отечественные соцсети (ВКонтакте, Одноклассники), отдельные сервисы Яндекса . Эти ресурсы гарантированно сохраняют доступность во время любых сетевых сбоев и тестовых отключений интернета. Любой иностранный сервис, не попавший в этот список, может быть отключён в любой момент.

Параллельно государство настойчиво борется с шифрованными коммуникациями и инструментами обхода блокировок. К началу 2026 года Роскомнадзор ограничил сотни VPN-приложений и протоколов . В августе 2025 года были введены ограничения на голосовые и видеозвонки в Telegram и WhatsApp, а вскоре последовали и прямые ограничения на сам Telegram .

Траектория однозначна. Подход эволюционировал от точечных блокировок сайтов десятилетней давности к массированной DPI-фильтрации, и далее — к нынешней фазе, когда целые западные провайдеры доставки контента и сетевой инфраструктуры планомерно деградируют, отключаются или подвергаются официальным уголовным обвинениям. Цель — такое интернет-пространство в России, где весь трафик полностью доступен для инспекции ФСБ, а у иностранной инфраструктуры нет никаких операционных позиций .

Заявление от 2 июня 2026 года против Cloudflare и Fastly — последний поворот в этом проекте. Это неподтверждённое обвинение в шпионаже, выдвинутое против тех самых компаний, чью инфраструктуру Россия уже два года целенаправленно делает недоступной для собственных граждан.