Неоторизиран достъп, засягащ административни мрежи в България: започна техническо разследване

Какво е съобщено официално

На 5 август 2026 г. Министерството на иновациите и дигиталната трансформация публикува съобщение, че българското правителство е установило неоторизиран достъп, засягащ определени административни мрежи.

Достъпът е открит при работата по внедряване на новата национална система за киберсигурност. Според наличните към момента данни дейността сочи дългогодишна активност.

В момента се извършва мащабно техническо разследване, което трябва да установи пълния обхват и характер на тази дейност.

Какво не е посочено в съобщението

Публичната информация към момента е ограничена. В съобщението не се посочват:

• конкретни засегнати институции;
• конкретни системи или административни услуги;
• дали са засегнати данни;
• дали има копиране, промяна или изтриване на информация;
• използвани техники или първоначален вектор;
• извършител, мотив или атрибуция;
• точен период на активността.

Това е важно уточнение, защото на този етап материалът не трябва да се чете като пълен инцидентен доклад. Публикуваната информация потвърждава наличието на установен неоторизиран достъп и текущо разследване, но не дава технически детайли за обхвата и въздействието.

Защо случаят е важен

Дори при ограничена публична информация случаят е значим, защото засяга административни мрежи и е открит в процеса на внедряване на национална система за киберсигурност.

Това поставя фокус върху един практически въпрос: доколко публичният сектор има достатъчна видимост върху мрежи, системи, достъпи и събития, за да установява неоторизирана активност навреме и да определя нейния обхват.

Фактът, че наличните данни сочат дългогодишна активност, не доказва сам по себе си какво е било извършено. Но показва защо техническото разследване трябва да изясни не само кога е открит достъпът, а и какъв е бил характерът на активността във времето.

Оперативен контекст

При инциденти от този тип първата задача е да се отделят потвърдените факти от предположенията. Това включва установяване на засегнатите сегменти, проверка на достъпите, анализ на наличните системни записи и оценка дали има индикации за въздействие върху данни, услуги или вътрешни процеси.

В публичния сектор тази задача е по-сложна заради разнородна инфраструктура, различни доставчици, наследени системи и множество институционални зависимости. Затова координацията между институциите е също толкова важна, колкото и самото техническо разследване.

Какво могат да направят организациите сега

Този случай е свързан с държавна инфраструктура, но изводите са приложими и за организации в регулирани сектори.

Практически въпроси за проверка:

• има ли актуална инвентаризация на критични системи, мрежи и достъпи;
• събират ли се системни записи от ключови точки в инфраструктурата;
• колко назад може да се проследи подозрителна активност;
• наблюдават ли се административни и привилегировани акаунти;
• има ли ясно разделение между потвърден факт, техническа хипотеза и публична комуникация;
• подготвен ли е процес за координация между вътрешни екипи, външни доставчици и институции;
• може ли организацията бързо да докаже какво е засегнато и какво не е.

Целта не е прибързана реакция, а точна картина на средата.

DIAMATIX перспектива

От гледна точка на DIAMATIX този случай подчертава ролята на видимостта като основа на киберустойчивостта.

Когато една организация няма централизирана картина на достъпи, събития и мрежова активност, техническото разследване започва с трудния въпрос какво изобщо може да бъде доказано. Това забавя оценката на обхвата и усложнява комуникацията към ръководство, партньори, институции и засегнати страни.

Затова SOC (Security Operations Center — център за операции по сигурността), MDR (Managed Detection and Response — управлявано откриване и реакция) и SIEM/XDR (Security Information and Event Management / Extended Detection and Response — управление на информация и събития по сигурността / разширено откриване и реакция) трябва да се разглеждат като оперативен капацитет за наблюдение, доказване и координирана реакция, а не само като технологичен слой.

Въпроси за ръководства и CISO екипи

• Знаем ли кои системи и мрежови сегменти са критични?
• Имаме ли достатъчна история на събитията за разследване назад във времето?
• Можем ли да проследим административни действия и привилегировани достъпи?
• Имаме ли процес за проверка на хипотези без публично надхвърляне на фактите?
• Ясно ли е кой координира техническата, правната и комуникационната реакция?
• Можем ли бързо да определим дали са засегнати данни, услуги или вътрешни процеси?

Практическият извод: при ограничени публични факти най-важни са видимостта, доказуемостта и спокойната координация.

Проверете какво може да докаже вашата среда при инцидент

DIAMATIX помага на организации в публичния и регулирания сектор да изградят видимост, мониторинг и готовност за реакция чрез SOC, MDR и Shield SIEM/XDR.

Заявете преглед на видимостта и готовността за реакция с DIAMATIX.
Trusted · Innovative · Vigilant

Източници

• Министерство на иновациите и дигиталната трансформация. Съобщение, 05.08.2026.
• БТА. Правителството установи неразрешен пробив в административните мрежи.
• БНР. МС установи неоторизиран достъп, засягащ определени административни мрежи.
• БНТ. Неоторизиран достъп, засягащ административни мрежи, засякоха от Министерството на иновациите.

Статията е базирана на публично достъпна информация към 06.08.2026 г. Аналитичните части са обозначени като DIAMATIX коментар и не добавят непотвърдени технически твърдения към официалното съобщение.