Верифікувати всі Starlink не вдасться ніколи, процес вимірюватиметься роками – Корсун

Ключове питання – у який момент держава вирішить переходити до блокувань, вважає експерт з кібербезпеки.

Міністр оборони Михайло Федоров повідомив, що Кабмін ухвалив постанову про запровадження "білого списку" для терміналів супутникового звʼязку Starlink як реакцію на їхнє використання росіянами на ударних БПЛА.

В інтервʼю Главреду експерт з кібербезпеки, ексзаступник керівника відділу боротьби з комп'ютерною злочинністю при Департаменті контррозвідки СБУ Костянтин Корсун розповів, скільки часу знадобиться для повного обліку терміналів Starlink в Україні, чи дасть реєстрація Starlink реальну протидію використанню у ворожих БПЛА та чи варто чекати реєстрації SIM-карт за паспортами.

Наскільки рішення, яке зараз пропонується щодо Starlink, може бути ефективним? Чи здатні такі рішення реально стримувати росіян?

Міністр оборони Михайло Федоров опублікував роз’яснення щодо верифікації: бізнес має верифікувати Starlink через "Дію", громадяни – через ЦНАП, а військові – через внутрішню військову систему "Дельта".

Ідея, м’яко кажучи, виглядає сируватою. Тому що верифікація всіх Starlink дуже нагадує історичні спроби тотального контролю: ще за часів Сталіна реєстрували друкарські машинки, за часів Брежнєва – короткохвильові радіоприймачі, потім намагалися зобов’язати реєструвати принтери й ксерокси. Зовсім недавній приклад – облік IMEI мобільних телефонів нібито для боротьби з контрабандою та зловживаннями.

Тобто це не перша і не остання така спроба. Влада, яка не до кінця розуміє суть проблеми і, головне, як із нею боротися, схильна до силових, примусових методів: "давайте змусимо всіх". Але це не працює. Тому що висуваються вимоги до величезного, невизначеного кола осіб і запускаються імперативні рішення без чітких механізмів реалізації. Що буде, якщо людина не виконає ці вимоги? Фактично всім громадянам пропонують пройти ЦНАП. У Києві це ще можливо – там багато ЦНАПів. А що робити у Вінницькій, Волинській чи Кіровоградській областях чи в районах, де інколи один ЦНАП обслуговує кілька громад?

Це складно. Люди купували Starlink саме для незалежності – щоб не залежати від оператора, чи протягне він туди оптоволокно або кабелі. Не просити, не клянчити, не бути прив’язаними до інфраструктури, а просто купити Starlink, заплатити й мати стабільний зв’язок.

Тим більше, що це недешеве рішення: обладнання коштує близько 400-500 доларів, плюс абонплата – приблизно 50-100 доларів на місяць. Тобто це справді дорого. І от людина купує будинок у селі, живе своїм незалежним життям, ні від кого не залежить – і раптом стикається з додатковими бар’єрами та бюрократією.Адже тобі потрібно їхати за 30 кілометрів у якийсь ЦНАП, про який невідомо, як і чи він взагалі працює: чи буде повітряна тривога, чи його не закриють, чи буде там світло, інтернет і тепло, чи не роз’їхалися або не захворіли працівники. У таких умовах людина або взагалі не поїде, або спробує один раз, розчарується й повернеться назад. А потім їй, наприклад, просто вимкнуть Starlink, до якого держава не має жодного стосунку і не вклала жодної копійки.

Фактично це виглядає як безпідставне обмеження прав громадян. Якщо ж Starlink вимикають – точніше, коли SpaceX робить це на прохання влади, посилаючись на вимоги української сторони, – це виглядає як порушення угод і як необґрунтоване втручання, яке складно пояснити з точки зору ведення війни.

Можна шукати інші механізми: наприклад, обмежувати швидкість, використовувати "білі списки", передавати SpaceX перелік дозволених військових терміналів уздовж лінії фронту. Але боротися з власним населенням такими тоталітарними методами – неправильно. Це не виглядає ні демократичним, ні виправданим аргументами безпеки чи захисту від ворога. З ворогом треба боротися так, щоб водночас не воювати зі своїм народом, безпеку якого держава, власне, і має забезпечувати.

​Що дійсно могло б бути результативним у цьому контексті? Що варто було б зробити, аби ці рішення мали реальний сенс? Адже, розʼяснення згодом можуть ще уточнювати.

У нас із 2019 року часто так відбувається: спочатку з’являються одні роз’яснення, потім владі вказують на очевидні нестикування, і вона коригує свою позицію. Це траплялося не раз, не два і навіть не десять – це було сотні разів.

Що я міг би порадити? Щоб давати детальні рекомендації, потрібно мати повний набір вхідних даних. У мене їх немає. Я оперую лише власними знаннями, попереднім досвідом і тим, що доступно у відкритих джерелах.Щоб точно сказати, що саме потрібно робити, необхідно мати доступ до захоплених або збитих ворожих БПЛА зі Starlink: аналізувати, як саме вони працюють, на якому етапі вмикається зв’язок – одразу після перетину кордону чи вже через 50-100 кілометрів у глибокому тилу України. Від цього і слід відштовхуватися при формуванні технічних рішень. Але без таких даних говорити про конкретні механізми неможливо.

​Водночас варто зазначити, що міністр Федоров, очевидно, має непоганий особистий контакт із Ілоном Маском. І якщо рішення формуються на основі точних характеристик застосування, то, як показує практика, вони можуть бути реалізовані дуже швидко. Показовий приклад: 27 січня міністр закордонних справ Польщі Радослав Сікорський публічно закликав Маска обмежити роботу Starlink для росіян. Маск відповів йому дуже грубо та принизив його. Натомість уже за два дні Федоров звернувся з аналогічним проханням – але ввічливо й коректно – і отримав позитивну реакцію. Чи була це свідома "двоходовка", чи випадковість – складно сказати. Але факт у тому, що, за окремими джерелами, ефективність використання Starlink росіянами дійсно суттєво знизилася. Тобто схема спрацювала – принаймні наразі.

Втім, росіяни хитрі. Влітку вони, наприклад, почали встановлювати в "Шахеди" SIM-карти українських операторів. Тоді теж точилися схожі дискусії, і я коментував ситуацію, не маючи доступу до збитих дронів – лише на загальнотехнічному рівні. Тут маємо схожу історію. Тоді рішенням стало обмеження швидкості: якщо SIM-карта рухалася швидше за певний поріг, її блокували або знижували швидкість передачі даних. Це було очевидне рішення, яке лежало на поверхні.

У випадку зі Starlink можливий аналогічний підхід. Наприклад, якщо SpaceX бачить, що термінал рухається швидше ніж 90 км/год, його роботу можна обмежувати. Але проблема в тому, що це працює і проти українських БПЛА, які також можуть використовувати Starlink.

Один із можливих варіантів вирішення – дозволити роботу над територією Росії лише верифікованим українським терміналам. Для цього потрібно зібрати серійні номери Starlink із відповідних військових підрозділів і передати їх SpaceX для внесення до "білого списку". Це дало б можливість таким терміналам працювати навіть над ворожою територією. Це, звісно, займе певний час, тому що дані про серійні номери терміналів доведеться збирати, агрегувати, передавати через кілька рівнів, і на кожному етапі зростає ризик компрометації. Адже коли все зібрано в одному файлі, зʼявляються ризики витоку інформації на одному з етапів (оскільки дані, ймовірно, передаватимуться через кілька осіб).

​Наразі проблему використання Starlink росіянами начебто вдалося локалізувати. Але вони шукатимуть нові обхідні шляхи. І з нашого боку також потрібно постійно готувати рішення для нових викликів. Було б дуже бажано, щоб така комунікація й такі рішення відбувалися на випередження, а не після того, як ініціативу починає хтось інший – умовний міністр закордонних справ іншої країни. Нам потрібні компетентні люди на високих посадах, які самі бачать проблему наперед і здатні оперативно її вирішувати.

Чи є в Україні можливість діяти на випередження вже зараз?

У принципі – так. Усе залежить від обсягу наявної інформації, здатності її аналізувати, робити висновки й прогнозувати. Якщо з військових підрозділів або з ППО надходять сигнали про виявлення Starlink чи інших технологій супутникового зв’язку – не лише Starlink, адже у світі є багато операторів: наприклад, британський OneWeb або інші англо-французькі проєкти, які активно розвиваються, – ці сигнали потрібно сприймати не як поодинокі інциденти, а як потенційний тренд.

Навіть якщо таких випадків лише один-два, варто оцінювати, чи може ворог масштабувати використання цих технологій, які це матиме наслідки та які ризики виникають. Далі – проводити аналіз ризиків, формувати сценарії та готувати плани їх мінімізації (mitigation), тобто зменшення можливого негативного впливу.

Це базові речі, добре знайомі будь-кому, хто професійно працював у сфері безпеки чи кібербезпеки. Це можливо реалізувати – за умови, що на керівних позиціях перебувають розумні, досвідчені, освічені й кваліфіковані люди. Однак на практиці в нас часто виникають проблеми саме з цим. Влада змушена призначати на високі посади не тих, кого справді потребує система, а тих, хто є "в наявності", – переважно лояльних. А вже серед лояльних відбирають більш-менш компетентних. Це не технічна, а загальнополітична внутрішня проблема, яка безпосередньо впливає на здатність держави діяти на випередження.

Якщо говорити про SIM-карти, то ви згадували попередній період, коли активно обговорювалася протидія використанню росіянами SIM-карт українських операторів. Питання продажу SIM-карт за паспортом в Україні обговорюється вже тривалий час, але жодних рішень так і не ухвалено. Чи може ситуація з реєстрацією "Старлінків" прискорити і цей процес?

На мою думку, у зв’язку з історією зі Starlink це питання навряд чи знову стане актуальним. Востаннє його серйозно піднімали влітку 2025 року, коли "Шахеди" почали літати з SIM-картами українських операторів на борту. Тоді тема активно обговорювалася, і, сподіваюся, для більшості стало очевидно: примусова реєстрація SIM-карт за паспортом не вирішує проблеми.

Таке рішення лише ускладнить життя законослухняним громадянам. Ворог і його агентура завжди знайдуть спосіб обійти ці обмеження. У Росії, наприклад, паспортна реєстрація SIM-карт діє вже понад десять років, але при цьому там процвітає сірий ринок. Як у тому анекдоті: усе залишилося так само, просто додалося паперової роботи.

SIM-карти там можна без проблем купити – трохи дорожче – вже зареєстровані на безхатченків або іншихсоціально незахищених людей, і в будь-яких кількостях. Цей ринок працює у великих масштабах і, приносить прибутки тим самим структурам, які формально з ним борються.

Те саме відбулося б і в Україні. Заявлені цілі – боротьба зі злочинністю, тероризмом чи іноземною інтервенцією – таким способом не досягаються. Натомість держава отримує інструмент для збору інформації, яку вона взагалі не має права збирати. Збір персональних даних громадян без рішення суду або постанови слідчого, що передбачає обмеження прав у межах кримінального провадження, є неприпустимим. Це порушує конституційні права на приватне життя, свободу листування та комунікацій.

Держава має право отримувати персональні дані лише тоді, коли людина самостійно звертається по конкретну послугу – паспорт, довідку, реєстрацію тощо. У такому разі ці дані є необхідними для надання послуги. Але масовий збір даних "просто так" створює величезні ризики зловживань: стеження за громадянами, необґрунтовані обмеження прав і свобод. Гіпотетичне пояснення боротьбою з російськими "Шахедами" – надто слабке виправдання. До чого тут, наприклад, мешканці Закарпаття, якщо їм обмежують зв’язок або блокують термінали?

Питання SIM-карт за паспортом обговорюється вже близько десяти років і періодично повертається в публічний простір. Але воно не працює для заявлених цілей. Тому реєстрація SIM-карт за паспортом – це не рішення. Вона ніколи не давала й не дасть позитивного результату.

Підсумовуючи розмову, якщо говорити саме про Starlink, то скільки часу може зайняти весь цей процес? І наскільки це взагалі допоможе досягти заявленої мети, зважаючи на сірий ринок? Адже у нас є цілком легальні майданчики типу OLX, де термінали продаються з рук у руки.

Почнемо з термінів. У нас навіть немає точної статистики щодо кількості терміналів Starlink в Україні. За офіційними даними, було завезено близько 42 тисяч терміналів. За неофіційними – їх може бути понад 100 тисяч. Контрабанда в нас, на жаль, "цвіте й пахне", тож довіряти офіційній статистиці складно.

Відповідно, час верифікації прямо пропорційний кількості терміналів. Я вважаю, що верифікувати всі Starlink не вдасться взагалі ніколи – це процес, який вимірюватиметься роками.

Ймовірно, близько 10-20% користувачів зможуть зареєструватися протягом перших двох-трьох тижнів. Бізнес, який критично залежить від зв’язку – військові виробництва, об’єкти критичної інфраструктури, великі компанії на кшталт ДТЕК або оператори мобільного зв’язку, – зробить це максимально швидко, протягом кількох днів.

Бізнес завжди діє першим, бо він найбільш лояльний до держави: жоден бізнес у жодній країні не може довго протистояти владі. Але навіть тут усе залежатиме від умов. Якщо це, наприклад, виробництво десь у сільській місцевості, де до найближчого ЦНАПу 30 кілометрів, а персонал відсутній або хворіє, – процес затягнеться. Ситуації можуть бути дуже різні.

А от для приватних користувачів Starlink ця історія, на мою думку, може розтягнутися на роки. Ключове питання – у який момент держава вирішить переходити до блокувань. Через два тижні? Через місяць? Через півтора? Але за півтора місяця ситуація на фронті може змінитися, може настати весна, і росіяни можуть уже застосовувати зовсім інші технічні рішення – наприклад, інші типи ретрансляторів або альтернативні канали зв’язку.