Шпигунське ПЗ LightSpy: Як китайський інструмент стеження вразив 13 країн, 117 серверів — і був викритий через замовлення в KFC

5 серпня 2026 року компанія з кібербезпеки Arctic Wolf Networks опублікувала звіт, який розкриває, що LightSpy — шпигунська платформа, вперше виявлена у 2018 році і раніше пов'язана з китайськими хакерами, зазнала кардинальної трансформації. Тепер це комерційна платформа стеження як послуга (surveillance-as-a-service), яка діє щонайменше в 13 країнах, націлюючись на уряди, військові структури, підприємства та навчальні заклади .

Від державного інструменту до комерційного продукту

LightSpy еволюціонував з індивідуального шпигунського інструменту в повністю комерціалізовану платформу. Дослідники Arctic Wolf виявили, що шпигунське ПЗ тепер має власний брендинг, цінові плани, білінгову інфраструктуру та навіть демо-середовище для потенційних покупців . Коло клієнтів не обмежується державними акторами: серед них китайські компанії, державні установи, військові підрозділи та освітні організації . Ця комерціалізація знаменує перехід від цільового злому до ширшої, більш доступної екосистеми стеження .

Глобальне охоплення: 13+ країн та 117 серверів

Колись зосереджений на материковому Китаї, LightSpy тепер діє в понад десятку країн, включаючи США та кілька європейських держав, деякі з яких є членами НАТО . Arctic Wolf ідентифікувала щонайменше 117 серверів управління (C2) по всьому світу, які підтримують цю операцію .

Модульні можливості для різних платформ

Модульна архітектура LightSpy дозволяє йому вражати широкий спектр пристроїв :

• Смартфони (iOS та Android)
• Пристрої Apple (macOS)
• ПК на Windows
• Сервери на Linux
• Роутери — зокрема ті, що використовуються підприємствами та організаціями, пов'язаними з НАТО, що розширює ризик на цілі мережі

Після встановлення шпигунське ПЗ може викрадати широкий спектр чутливих даних :

• Точні дані про місцезнаходження
• Повідомлення з чатів та аудіозаписи
• Дані з камери та записи екрану
• Паролі та інші облікові дані

Окрім крадіжки даних, LightSpy має деструктивну функцію: він може дистанційно знищити всі дані на пристрої жертви, фактично перетворюючи його на «цеглину» .

Прорив в ідентифікації: замовлення KFC

Найбільш вражаюча деталь у звіті — це те, як дослідникам вдалося відстежити поточну операцію до конкретної китайської компанії-підрядника. Під час використання панелі адміністратора LightSpy один з операторів платформи випадково замовив доставку їжі KFC (Kentucky Fried Chicken), використавши своє справжнє ім'я та адресу офісу . Ця помилка в операційній безпеці надала Arctic Wolf ключову зачіпку, яка дозволила пов'язати інфраструктуру безпосередньо з її оператором .

Arctic Wolf консультується з Міністерством внутрішньої безпеки США та планує передати свої знахідки правоохоронним органам .