Atak DDoS na Rosselkhoznadzor sparaliżował cyfrowe certyfikaty weterynaryjne „Mercury”. Skutki dla łańcuchów dostaw żywności w Rosji

Wprowadzenie do problemu / definicja luki

22 października 2025 r. rosyjska państwowa służba nadzoru weterynaryjnego i fitosanitarnego (Rosselkhoznadzor) ogłosiła, że jej systemy informatyczne zostały objęte zakrojonym na szeroką skalę atakiem DDoS. Uderzenie dotknęło m.in. kluczowe platformy VetIS i Saturn, w tym komponent Mercury odpowiedzialny za elektroniczne wystawianie weterynaryjnych dokumentów towarzyszących (E-VSD), bez których legalny obrót mięsem, nabiałem, jajami i inną żywnością pochodzenia zwierzęcego jest w Rosji niemożliwy. Według doniesień branżowych skutkiem były opóźnienia i przestoje w wysyłkach produktów spożywczych.

W skrócie

• Kiedy? Środa, 22 października 2025 r. (komunikaty i relacje z 22–24 października).
• Co się stało? Skorelowane wolumetryczne ataki DDoS zakłóciły dostęp do VetIS/Saturn, w tym do Mercury.
• Skutek biznesowy: Część producentów (m.in. mleczarskich i żywności dla dzieci) zgłaszała wstrzymanie/zwłoki w odczytach i wystawianiu E-VSD, co spowodowało czasowe zablokowanie wysyłek.
• Stan oficjalny: Rosselkhoznadzor utrzymywał, że nie ma zagrożenia integralności/confidentiality danych, a Mercury „działa w trybie normalnym”, mimo możliwej okresowej niedostępności per region/łączność.
• Powtarzalność: To co najmniej czwarty incydent wpływający na Mercury w 2025 r.; w czerwcu firmy przechodziły na tryb „papierowy”, co wywołało chaos logistyczny.

Kontekst / historia / powiązania

Mercury (część VetIS) jest centralnym rejestrem śledzenia łańcucha „od pola do półki” dla produktów pochodzenia zwierzęcego. Od 2018 r. wystawianie E-VSD w Mercury jest obowiązkowe dla podmiotów obracających m.in. mięsem, rybami, jajami, miodem, mlekiem i szeroką gamą przetworów — bez tych dokumentów detaliści i przetwórcy nie mogą prawnie przyjmować towaru.

W 2025 r. system był już kilkukrotnie zakłócany: w czerwcu odnotowano przerwę skutkującą przejściem części branży na obieg papierowy i specjalne procedury awaryjne. Obecny incydent z 22 października ponownie unaocznił krytyczność Mercury jako punktu pojedynczej awarii (SPOF) dla dostaw żywności.

Analiza techniczna / szczegóły incydentu

Z dostępnych komunikatów wynika, że:

• Atak miał charakter wolumetrycznych DDoS (duży wolumen szkodliwego ruchu), z objawami niestabilności łączy i urządzeń brzegowych zapewniających dostęp do Internetu. Operatorzy (m.in. Megafon, Rostelecom, Intelsk) mieli filtrować ruch, co powodowało miejscowe/okresowe niedostępności.
• Wpływ obejmował VetIS/Saturn i dostęp do usług Mercury. Z perspektywy części producentów oznaczało to praktyczną blokadę wystawiania E-VSD i brak możliwości legalnej wysyłki/odbioru towaru.
• Rosselkhoznadzor podkreślał brak kompromitacji danych oraz deklarował działanie Mercury „w zwykłym trybie”, co stoi w napięciu z relacjami rynkowymi o przestojach trwających kilka godzin (m.in. u dwóch dużych mleczarni i producenta żywności dla dzieci).

Hipotezy techniczne (w oparciu o znane TTP dla DDoS):

• Scenariusz ataku rozproszonym ruchem z botnetu (warstwa 3/4) z okresowymi falami, wymuszający filtrowanie/Blackholing przez operatorów i powodujący „efekt uboczny” w postaci utraty dostępności częściowo geograficznie.
• Możliwe komponenty L7 (HTTP/S) na frontach aplikacyjnych Mercury/VetIS, zwiększające czas odpowiedzi, time-outy i błędy przy autoryzacji dokumentów.
• Brak skutecznej, automatycznej procedury „graceful degradation” (np. przełączenia na podpisy wsadowe/offline albo tryb cache’owania tokenów dokumentów) — co tłumaczy różnicę między deklarowaną „pracą systemu” a realną dostępnością funkcji krytycznych po stronie użytkowników.

Praktyczne konsekwencje / ryzyko

• Zakłócenia łańcucha dostaw żywności w skali kraju: brak E-VSD = brak możliwości przyjmowania towaru przez sieci handlowe i przetwórców; odnotowano wstrzymania wysyłek „przez pół dnia” u części producentów.
• Ryzyko finansowe: przestój linii produkcyjnych, utrata świeżości produktów krótkoterminowych (nabiał), kary umowne za opóźnienia.
• Ryzyko regulacyjne i reputacyjne: rozbieżność komunikatów urzędowych i obserwacji rynkowych; presja na formalizację trybów awaryjnych (wysyłka bez E-VSD z późniejszym uzupełnieniem).
• Trend: wzrost częstotliwości ataków na systemy logistyczno-certyfikacyjne; analogiczne ostrzeżenia dla sektora logistyki publikowały instytucje rządowe na Zachodzie (choć dot. innych celów).

Rekomendacje operacyjne / co zrobić teraz

Dla właścicieli systemów krytycznych (gov/branża):

1. Anycast + wielowarstwowe scrubbing centers (L3/4 i L7) z automatycznym failoverem między dostawcami; testy grywalizowane TTX co kwartał.
2. Segmentacja usług Mercury-like: separacja krytycznych ścieżek wystawiania E-VSD od interfejsów publicznych; dynamiczne limitowanie żądań (rate-limiting, token-bucket) per AS/region/UA.
3. Procedury „degraded mode”: tryb awaryjny dopuszczający czasową legalną wysyłkę bez pełnego E-VSD z obowiązkowym dosłaniem w oknie 24–48 h; formalne, z góry uzgodnione z regulatorami i sieciami handlowymi. (Takie rozwiązania były już stosowane podczas wcześniejszych zakłóceń w 2025 r.).
4. Redundancja geograficzna i DNS: active-active z izolacją blast radius, niezależne łącza i dostawcy.
5. Telemetria anty-DDoS: BGP Flowspec/RTBH, automatyczna orkiestracja z SIEM/SOAR, reguły na podstawie profili ruchu.

Dla producentów i detalistów (odbiorców systemu):

1. Plany ciągłości działania (BCP) na wypadek niedostępności E-VSD: listy kontrolne wysyłki „warunkowej”, escrow dokumentów, uzgodnione z regulatorami SLA na dosłanie certyfikatów.
2. Bufory logistyczne dla produktów szybko psujących się; priorytetyzacja tras o mniejszym ryzyku opóźnień.
3. Monitoring statusu systemów centralnych i kanałów urzędowych (np. oficjalny kanał Telegram) oraz szybkie kanały kontaktu z sieciami handlowymi.
4. Wewnętrzne proxy/kolejki: w razie L7-DDoS — lokalne buforowanie żądań do czasu przywrócenia przepustowości.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

• Czerwiec 2025 (Rosja/ Mercury): brak dostępności skutkował przejściem na dokumenty papierowe; formalnie ogłoszono tryb awaryjny. Październikowy incydent miał profil DDoS i spór o realny poziom dostępności (rynek zgłaszał przestoje, urząd deklarował „pracę w normie”).
• Logistyka na Zachodzie (ostrzeżenia 2025): akcent na kampanie APT przeciw łańcuchom dostaw i firmom TSL; choć inny kontekst, wnioski o konieczności redundancji i procedur „degraded mode” pozostają spójne.

Podsumowanie / kluczowe wnioski

Atak z 22 października potwierdza, że systemy certyfikacji i śledzenia pochodzenia żywności są celami o wysokiej wartości zakłóceniowej: nawet bez naruszenia danych sam brak dostępności generuje dotkliwe koszty biznesowe i ryzyka regulacyjne. Organizacje utrzymujące podobne rejestry powinny pilnie wdrażać wielowarstwową ochronę DDoS, tryby „graceful degradation” oraz uzgodnione prawnie procedury awaryjne umożliwiające kontynuację obrotu z późniejszym uzupełnieniem dokumentów.

Źródła / bibliografia

1. The Record (Recorded Future News): raport o ataku i wpływie na wysyłki, 24 października 2025. (The Record from Recorded Future)
2. Shopper’s (rosyjskie medium branżowe): relacje producentów o wstrzymaniu odgórkek i szczegóły dot. braku trybu awaryjnego, 22 października 2025. (shoppers.media)
3. RIA Nowosti / komunikaty Rosselkhoznadzoru: informacja o DDoS i braku zagrożeń dla danych; deklaracja „pracy w trybie zwykłym”. (РИА Новости)
4. ROSNG: zaprzeczenie problemom z Mercury po ataku, 23 października 2025. (rosng.ru)
5. The Record (czerwiec 2025): wcześniejsze zakłócenia Mercury i skutki dla branży mleczarskiej. (The Record from Recorded Future)