В июле-сентябре 2026 года спецы из CURATOR зафиксировали 11 глобальных утечек маршрутов и один BGP-перехват, а число АС, совершающих перехваты, упало на 38,2% за год благодаря росту внедрения RPKI ROA. Но именно этот перехват оказался показательным: в связи с особенностей настройки ROA поддельный маршрут к адресам Hetzner, где размещался сервер обновлений Virtualizor, был признан валидным. Атакующие перехватили трафик Softaculous, выпустили действительный TLS-сертификат для доменов компании и разослали части клиентов вредоносное обновление.

Итак, показательный случай: злоумышленники провели BGP-перехват, который формально прошёл проверку RPKI ROA — механизма, который должен такие перехваты предотвращать. Инцидент стал частью supply chain-атаки на клиентов компании Softaculous, разработчика платформы Virtualizor. Злоумышленники анонсировали более специфичный маршрут к части адресного пространства хостинг-провайдера Hetzner, где размещались ресурсы Softaculous, включая сервер обновлений Virtualizor. Из-за особенностей настройки ROA для этого адресного пространства поддельный маршрут оказался RPKI-валидным и беспрепятственно распространился по интернету. Это позволило злоумышленникам перехватить часть трафика Softaculous, выпустить на своё имя действительный TLS-сертификат для доменов компании и распространить вредоносное апдейт Virtualizor среди части клиентов компании.

Падение числа уникальных автономных систем, совершавших BGP-перехваты, в CURATOR связывают как раз с ускоренным внедрением RPKI ROA на протяжении года. Одновременно число автономных систем, ответственных за утечки маршрутов — проблему, против которой RPKI ROA не защищает, — снизилось всего на 6,4% год к году. Профильные механизмы для борьбы с утечками (RFC 9234 и ASPA) пока находятся только на начальных стадиях внедрения, следовательно прогресса здесь ждать рано.

Тем, кому интересна тема BGP, могут ознакомиться с полной версией отчета CURATOR за 3 квартал 2026 года, а также с отчетами за предыдущие периоды в блоге компании (https://curator.pro/library/blog/).