--- title: "Чужие маршруты: как российские сети перехватывали интернет и почему у ГРЧЦ нет щита" type: investigation section: "Расследования" summary: "В 2020 и 2022 годах российские операторы анонсировали чужие префиксы. Во втором случае перехват остановила запись ROA жертвы. У сетей ГРЧЦ, где стоят сайт РКН и ЦМУ ССОП, таких записей нет." updated: "2026-10-20" observed: "2026-10-19" url: "https://rkn.kitten.software/investigations/bgp-hijacks/" aliases: ["BGP-хайджаки", "перехват маршрутов", "ROA у ГРЧЦ", "Ростелеком 2020", "RTComm и Twitter"] categories: ["Расследования", "Сети", "Маршрутизация"] --- # Чужие маршруты: как российские сети перехватывали интернет и почему у ГРЧЦ нет щита > Российские сети дважды объявляли чужие адреса своими. В 2022 году перехват остановила запись ROA, которую заранее сделал Twitter. У сайта РКН такой записи нет. **Главная находка.** У AS61280, из которой анонсируются сайт РКН и ЦМУ ССОП, нет ROA ни на одном префиксе, хотя российские сети уже дважды анонсировали чужие адреса, а в 2022 году перехват остановила именно ROA жертвы. В 2020 и 2022 годах российские операторы анонсировали чужие префиксы. Во втором случае перехват остановила запись ROA жертвы. У сетей ГРЧЦ, где стоят сайт РКН и ЦМУ ССОП, таких записей нет. Последняя сверка: 19.10.2026. ## Карточка - Вопрос: защищены ли от перехвата маршруты самих ГРЧЦ - Случаи: Ростелеком, 01.04.2020; RTComm и Twitter, 28.03.2022 - Наблюдения: 19.10.2026 - Редакция: 20.10.2026 - Вывод: ROA нет у AS61280; у двух других AS ГРЧЦ — по сводке корпуса - Сети: [AS61280](https://rkn.kitten.software/wiki/as61280/index.md), [AS213853](https://rkn.kitten.software/wiki/as213853/index.md), [AS196641](https://rkn.kitten.software/wiki/as196641/index.md) - Блоки: [212.192.156.0/22](https://rkn.kitten.software/wiki/p-212-192-156-0-22/index.md), [185.224.228.0/24](https://rkn.kitten.software/wiki/p-185-224-228-0-24/index.md) ## Цепочка 1. **AS12389** (автономная система), Ростелеком — подаёт транзит → - улика: [aut-num AS61280: CMU_GRCHC, политика импорта и экспорта](https://rkn.kitten.software/evidence/ev-autnum-as61280/index.md) - улика: [bgp.tools: наблюдаемые апстримы и пиры AS61280](https://rkn.kitten.software/evidence/ev-bgptools-topology-as61280/index.md) 2. **AS61280** (автономная система), CMU_GRCHC, ФГУП «ГРЧЦ» — анонсирует → - улика: [aut-num AS61280: CMU_GRCHC, политика импорта и экспорта](https://rkn.kitten.software/evidence/ev-autnum-as61280/index.md) - улика: [bgp.tools: наблюдаемые апстримы и пиры AS61280](https://rkn.kitten.software/evidence/ev-bgptools-topology-as61280/index.md) - улика: [AS61280 анонсирует 9 IPv4-префиксов /24 и 3 IPv6-префикса /48](https://rkn.kitten.software/evidence/ev-bgp-announced-as61280/index.md) - улика: [Агрегат 212.192.156.0/22 не анонсируется, видны четыре /24](https://rkn.kitten.software/evidence/ev-bgp-22-aggregate-absent/index.md) 3. **212.192.156.0/22** (префикс), блок сайта РКН; в сети виден четырьмя /24 — принимает домен → - улика: [AS61280 анонсирует 9 IPv4-префиксов /24 и 3 IPv6-префикса /48](https://rkn.kitten.software/evidence/ev-bgp-announced-as61280/index.md) - улика: [Агрегат 212.192.156.0/22 не анонсируется, видны четыре /24](https://rkn.kitten.software/evidence/ev-bgp-22-aggregate-absent/index.md) - улика: [rkn.gov.ru разрешается в 212.192.156.40](https://rkn.kitten.software/evidence/ev-dns-rkn-2026-10-19/index.md) - улика: [Диапазон 212.192.156.0–212.192.159.255 записан на ГРЧЦ](https://rkn.kitten.software/evidence/ev-ripe-inetnum-212-192-156/index.md) 4. **rkn.gov.ru** (домен), сайт регулятора - улика: [rkn.gov.ru разрешается в 212.192.156.40](https://rkn.kitten.software/evidence/ev-dns-rkn-2026-10-19/index.md) - улика: [Диапазон 212.192.156.0–212.192.159.255 записан на ГРЧЦ](https://rkn.kitten.software/evidence/ev-ripe-inetnum-212-192-156/index.md) ## Вопрос Дважды российские сети объявляли чужие адреса своими. 1 апреля 2020 года [Ростелеком](https://rkn.kitten.software/wiki/rostelecom/index.md) анонсировал больше 8000 чужих префиксов.[^1] 28 марта 2022 года [RTComm](https://rkn.kitten.software/wiki/rtcomm-as8342/index.md) около 45 минут держал в таблице префикс Twitter как собственный.[^2] Во второй раз перехват остановила запись, которую заранее сделал сам Twitter.[^3] Тогда что с такой защитой у сетей, где стоят сайт регулятора и центр управления блокировками? Цепочка выше идёт от апстрима к сайту: Ростелеком, [AS61280](https://rkn.kitten.software/wiki/as61280/index.md), блок [212.192.156.0/22](https://rkn.kitten.software/wiki/p-212-192-156-0-22/index.md), домен rkn.gov.ru. У каждого звена своя улика. ## Следы **Как работает защита.** [BGP](https://rkn.kitten.software/wiki/glossary-bgp/index.md) верит анонсам на слово. Кто объявил префикс, тому и идёт трафик, а более узкий префикс побеждает широкий. Защита называется [ROA](https://rkn.kitten.software/wiki/glossary-rpki-roa/index.md): подписанная запись о том, какая сеть вправе объявлять префикс. Оператор с проверкой RPKI помечает каждый анонс как valid, invalid или unknown. Если ROA нет, подлинный анонс и подделка одинаково получают unknown, и отбрасывать нечего.[^4] **Случай 1. Ростелеком, 1 апреля 2020.** Сеть Ростелекома (AS12389) объявила больше 8000 чужих префиксов, среди них адреса Google, Facebook, Akamai, Cloudflare и AWS. Источники называют причиной сбой «оптимизатора BGP». RPKI-валидация защитила тех операторов, которые её включили.[^1] Тот же инцидент описывает обзор dig.watch как перехват трафика сетей доставки контента.[^5] **Схема перехвата маршрута: Ростелеком анонсирует больше 8000 чужих префиксов.** Схема условная, не реальная топология. - Дата: 01.04.2020, длительность: не установлено - Перехватчик: [AS12389](https://rkn.kitten.software/map/?node=as12389) — Ростелеком - ROA у жертвы: неизвестно - Итог: RPKI-валидация защитила тех операторов, которые её включили. Была ли ROA у самих жертв (сети Google, Facebook, Akamai, Cloudflare, AWS), корпус не устанавливает, поэтому поле roa пустое. Причину источники называют сбоем «оптимизатора BGP». Сколько операторов приняли маршруты, не установлено. Схема условная. Корпус не называет ни одного конкретного префикса 2020 года и не знает, была ли ROA у жертв. Поэтому режим «без ROA» или «с ROA» к этому случаю не привязан. **Случай 2. RTComm и [Twitter](https://rkn.kitten.software/wiki/twitter-throttle-2021/index.md), 28 марта 2022.** Сеть RTComm (AS8342) около 45 минут анонсировала 104.244.42.0/24, префикс Twitter, как собственный.[^2] У Twitter была ROA с законным origin AS13414. Операторы с проверкой RPKI отбросили анонс RTComm как invalid, и глобально перехват не распространился.[^3] Но не везде: по обзору Internet Society Pulse, «внутренние» анонсы префиксов Twitter нашлись у 6 из 26 проверенных российских сетей, и часть из них попала в общую таблицу.[^6] **Схема перехвата маршрута: RTComm анонсирует префикс Twitter.** Схема условная, не реальная топология. - Дата: 28.03.2022, длительность: около 45 минут - Перехватчик: [AS8342](https://rkn.kitten.software/map/?node=as8342) — RTComm, анонсировал префикс Twitter в 2022 - Законный origin: [AS13414](https://rkn.kitten.software/map/?node=as13414) — Twitter, законный origin 104.244.42.0/24 - Префикс: `104.244.42.0/24` - ROA у жертвы: была - Итог: Операторы с проверкой RPKI отбросили маршрут как invalid, глобально хайджек не распространился. По обзору Internet Society Pulse, часть внутренних анонсов всё же попала в общую таблицу. **Что у AS61280.** Теперь та же проверка для сетей ГРЧЦ. По сводке bgp.he.net, у AS61280 десять IPv4- и три IPv6-префикса, и ни у одного нет ROA.[^7] Валидатор routinator на проверенном /24 из 212.192.156.0/22 вернул unknown и пустой список ROA.[^8] **0 ROA на всех префиксах AS61280[^7]** В этих префиксах стоят сайт [rkn.gov.ru](https://rkn.kitten.software/wiki/rkn-gov-ru/index.md), реестры ЕАИС и персональных данных, а в блоке [185.224.228.0/24](https://rkn.kitten.software/wiki/p-185-224-228-0-24/index.md) — портал и почта [ЦМУ ССОП](https://rkn.kitten.software/wiki/noc-gov-ru/index.md).[^9][^10] У [AS213853](https://rkn.kitten.software/wiki/as213853/index.md) с префиксом 62.76.98.0/24 и у [AS196641](https://rkn.kitten.software/wiki/as196641/index.md) с блоком 194.165.22.0/23 ROA нет по сводке корпуса; отдельного ответа валидатора для них не сохранено.[^11] Защита другого рода есть, но слабее. В IRR лежат route-объекты для 212.192.156.0/22 и 185.224.228.0/24 с origin AS61280; под отдельные анонсируемые /24 объектов нет. Route-объект не подписан криптографически.[^12] Сам /22 в интернете не анонсируется: видны четыре отдельных /24.[^13] **Кто рядом.** Ростелеком, которого разобрал ThousandEyes в 2020 году, стоит у AS61280 в политике импорта ANY и назван апстримом на bgp.tools.[^14][^15] BGP служит и инструментом самой системы блокировок. По реконструкции конспекта лекции, списки блокировки доходят до балансировщиков второго эшелона через BGP.[^16] А среди мер новых правил централизованного управления, по пересказам, названо изменение маршрутов.[^17] **Совпадение номера.** Серверы имён зоны rkn.gov.ru носят имена вида ns1.m-10.ru. Вершина домена m-10.ru разрешается в сеть M-10NET в AS8342.[^18] Это номер той же AS, что в 2022 году анонсировала префикс Twitter. Сами серверы имён стоят в адресах Ростелекома.[^19] О связи между операторами совпадение номера ничего не говорит. Узел на карте сети: [AS61280](https://rkn.kitten.software/map/?node=as61280) — CMU_GRCHC, ФГУП «ГРЧЦ» ## Проверка - **Источники инцидентов.** Оба случая известны нам по публикациям, которые приводит корпус. Страницы мы не перечитывали, поэтому каждая улика помечена как заявление. - **Два способа для AS61280.** Сводка bgp.he.net и ответ routinator совпали: ROA нет. Раньше атлас писал «ROA нет» только про проверенные анонсы; проверка [cl-024](https://rkn.kitten.software/claims/index.md) остаётся открытой для AS213853 и AS196641, пока нет их собственных замеров.[^11] - **Исправление про IRR.** Ранняя заметка корпуса утверждала, что route-объектов нет. Это было неверно: покрывающие объекты есть.[^12] - **Чего мы не делали.** Новых замеров. Историю анонсов префиксов ГРЧЦ на предмет чужих origin мы не разбирали, поэтому случаев перехвата этих префиксов не называем. ## Альтернативы **Оба случая — ошибки.** Для 2020 года источники называют причиной сбой «оптимизатора BGP».[^1] Заголовок публикации Ars Technica о 2022 годе тоже называет эпизод вероятной ошибкой.[^20] **Анонс 2022 года — способ блокировки.** Аналитик Kentik связал его с исполнением блокировок Twitter: по его словам, некоторые операторы выбирают BGP для отсечения трафика.[^20] Документа, который связывал бы анонс с указанием регулятора, в корпусе нет. **ROA у ГРЧЦ появятся в другой системе.** РКН, по новости Хабра, планирует собственную инфраструктуру валидации маршрутизации.[^21] Если её запустят, записи могут появиться там, а не в RIPE. Это гипотеза корпуса, не факт. > **Заметка.** Отсутствие ROA не значит, что префиксы ГРЧЦ кто-то перехватывал. Оно значит, что оператор с проверкой RPKI не сможет отличить чужой анонс от своего. ## Вывод Российские сети дважды анонсировали чужие префиксы, и в 2022 году перехват остановила ROA жертвы.[^3] У AS61280 такой записи нет ни на одном префиксе, а у двух других AS ГРЧЦ нет по сводке корпуса.[^7][^11] На 19 октября 2026 года сайт РКН и центр управления блокировками держатся на том, что никто не объявит их адреса своими. Умысла в инцидентах 2020 и 2022 годов мы не утверждаем. ## Что неизвестно - Была ли ROA у сетей-жертв в 2020 году и сколько операторов приняли чужие маршруты.[^1] - Были ли случаи перехвата префиксов ГРЧЦ: историю анонсов мы не смотрели. - Что сказал бы отдельный замер для AS213853 и AS196641.[^11] - Запустят ли собственный RPKI и что в нём окажется.[^21] - Зачем RTComm объявил префикс Twitter: две версии, и ни одна не подтверждена документом.[^20] ## Дальше Кому принадлежит сайт, который эти маршруты должны защитить, — [Кому принадлежит rkn.gov.ru](https://rkn.kitten.software/investigations/who-owns-rkn-gov-ru/index.md). Как устроены сети ГРЧЦ — [ФГУП «ГРЧЦ»](https://rkn.kitten.software/wiki/grchc/index.md) и [AS61280](https://rkn.kitten.software/wiki/as61280/index.md). Что считается уликой в атласе — [Как мы это знаем](https://rkn.kitten.software/wiki/how-we-know/index.md). ## Примечания [^1]: заявление. [ThousandEyes: Ростелеком анонсировал чужие префиксы 1 апреля 2020 года](https://rkn.kitten.software/evidence/ev-rostelecom-hijack-2020-thousandeyes/index.md). ThousandEyes, разбор инцидента (https://www.thousandeyes.com/blog/rostelecom-route-hijack-highlights-bgp-security), 2020-04-01. [^2]: заявление. [28 марта 2022: RTComm на 45 минут объявил префикс Twitter своим](https://rkn.kitten.software/evidence/ev-rtcomm-twitter-2022-announce/index.md). Ars Technica (https://arstechnica.com/information-technology/2022/03/absence-of-malice-russian-isps-hijacking-of-twitter-ips-appears-to-be-a-goof/), 2022-03-28. [^3]: заявление. [ROA Twitter заставила операторов отбросить чужой анонс](https://rkn.kitten.software/evidence/ev-rtcomm-twitter-2022-roa/index.md). MANRS, заметка о защите маршрутизации Twitter (по заголовку ссылки) (https://manrs.org/2022/03/lesson-learned-twitter-shored-up-its-routing-security/), 2022-03-28. [^4]: реконструкция. [Без ROA чужой анонс выглядит так же, как свой](https://rkn.kitten.software/evidence/ev-rpki-mechanics-96/index.md). Рассуждение автора корпуса. [^5]: заявление. [dig.watch: тот же инцидент описан как перехват трафика CDN](https://rkn.kitten.software/evidence/ev-rostelecom-hijack-2020-digwatch/index.md). dig.watch, новостной обзор (https://dig.watch/updates/rostelecom-compromised-traffic-cdns-through-bgp-hijacking), 2020-04-01. [^6]: заявление. [Internet Society Pulse: внутренние анонсы Twitter у 6 из 26 сетей](https://rkn.kitten.software/evidence/ev-rtcomm-twitter-2022-pulse/index.md). Internet Society Pulse, обзор (https://pulse.internetsociety.org/en/blog/2022/03/internet-perspectives-ukraine-and-russia/), 2022-03-29. [^7]: измерение. [bgp.he.net: у AS61280 нет ROA ни на одном из анонсируемых префиксов](https://rkn.kitten.software/evidence/ev-rpki-he-all-as61280/index.md). Hurricane Electric, bgp.he.net (https://bgp.he.net/AS61280), 2026-10-19. [^8]: измерение. [RPKI: у проверенных анонсов нет покрывающих ROA](https://rkn.kitten.software/evidence/ev-rpki-no-roa-2026-10-19/index.md). RIPE NCC, RIPEstat (https://stat.ripe.net/data/rpki-validation/data.json?resource=61280&prefix=212.192.159.0/24), 2026-10-19. [^9]: измерение. [Имена в блоке 212.192.156.0/22: сайт РКН, ЕАИС, реестр ПДн, сайт ГРЧЦ](https://rkn.kitten.software/evidence/ev-dns-hosts-212-192-156-2026-10-19/index.md). Собственное наблюдение, 2026-10-19. [^10]: измерение. [noc.gov.ru и сервисы ЦМУ ССОП разрешаются в 185.224.228.0/24](https://rkn.kitten.software/evidence/ev-dns-noc-2026-10-19/index.md). Собственное наблюдение, 2026-10-19. [^11]: измерение. [Сводка корпуса: ни у одного префикса трёх AS ГРЧЦ нет ROA](https://rkn.kitten.software/evidence/ev-rpki-portfolio-96/index.md). Сводка корпуса, заметка о BGP-безопасности ГРЧЦ, 2026-10-19. [^12]: документ. [IRR: route-объекты есть только для покрывающих префиксов](https://rkn.kitten.software/evidence/ev-irr-route-objects/index.md). RIPE NCC, RIPE Database (https://rest.db.ripe.net/search.json?query-string=212.192.156.0/22&type-filter=route), 2026-10-19. [^13]: измерение. [Агрегат 212.192.156.0/22 не анонсируется, видны четыре /24](https://rkn.kitten.software/evidence/ev-bgp-22-aggregate-absent/index.md). RIPE NCC, RIPEstat; bgp.tools (https://stat.ripe.net/data/prefix-overview/data.json?resource=212.192.156.0/22), 2026-10-19. [^14]: документ. [aut-num AS61280: CMU_GRCHC, политика импорта и экспорта](https://rkn.kitten.software/evidence/ev-autnum-as61280/index.md). RIPE NCC, RIPE Database (https://rest.db.ripe.net/ripe/aut-num/AS61280.json), 2026-10-19. [^15]: измерение. [bgp.tools: наблюдаемые апстримы и пиры AS61280](https://rkn.kitten.software/evidence/ev-bgptools-topology-as61280/index.md). bgp.tools, страница AS (https://bgp.tools/asn/61280), 2026-10-19. [^16]: реконструкция. [Реконструкция: правила на узлы приходят из центральной системы управления](https://rkn.kitten.software/evidence/ev-tspu-docs-control/index.md). Публичный репозиторий tspu-docs (GitHub), автор не указан. [^17]: документ. [ПП № 1667 от 27.10.2025: правила централизованного управления до 2032 года](https://rkn.kitten.software/evidence/ev-pp-1667-2025/index.md). Официальный интернет-портал правовой информации; пересказы СМИ (https://publication.pravo.gov.ru/document/0001202511060014), 2025-10-27. [^18]: измерение. [Владелец домена m-10.ru не установлен](https://rkn.kitten.software/evidence/ev-m10-registrant-unknown-2026-10-19/index.md). Собственное наблюдение, 2026-10-19. [^19]: измерение. [Серверы имён и почты rkn.gov.ru стоят в адресах Ростелекома](https://rkn.kitten.software/evidence/ev-dns-ns-mx-rkn-2026-10-19/index.md). Собственное наблюдение, 2026-10-19. [^20]: заявление. [Умысел или ошибка: версии о причине анонса Twitter](https://rkn.kitten.software/evidence/ev-rtcomm-twitter-2022-intent/index.md). Ars Technica (https://arstechnica.com/information-technology/2022/03/absence-of-malice-russian-isps-hijacking-of-twitter-ips-appears-to-be-a-goof/), 2022-03-28. [^21]: заявление. [Хабр: РКН планирует собственную инфраструктуру валидации маршрутизации](https://rkn.kitten.software/evidence/ev-rkn-own-rpki-plan/index.md). Хабр, новость (https://habr.com/ru/news/856354/). ## Связанные страницы Что ссылается сюда: - [212.192.156.0/22](https://rkn.kitten.software/wiki/p-212-192-156-0-22/index.md) - [Замедление Twitter, март 2021](https://rkn.kitten.software/wiki/twitter-throttle-2021/index.md) - [Кому принадлежит rkn.gov.ru](https://rkn.kitten.software/investigations/who-owns-rkn-gov-ru/index.md) - [РАНР](https://rkn.kitten.software/wiki/ranr/index.md) - [Ростелеком (AS12389)](https://rkn.kitten.software/wiki/rostelecom/index.md) - [РТКомм (AS8342)](https://rkn.kitten.software/wiki/rtcomm-as8342/index.md) - [AS213853](https://rkn.kitten.software/wiki/as213853/index.md) - [AS43797 (RSNET2)](https://rkn.kitten.software/wiki/as43797-fso/index.md) - [AS61280](https://rkn.kitten.software/wiki/as61280/index.md) - [BGP](https://rkn.kitten.software/wiki/glossary-bgp/index.md) - [RPKI и ROA](https://rkn.kitten.software/wiki/glossary-rpki-roa/index.md) Категории: [Расследования](https://rkn.kitten.software/category/%D0%A0%D0%B0%D1%81%D1%81%D0%BB%D0%B5%D0%B4%D0%BE%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F/), [Сети](https://rkn.kitten.software/category/%D0%A1%D0%B5%D1%82%D0%B8/), [Маршрутизация](https://rkn.kitten.software/category/%D0%9C%D0%B0%D1%80%D1%88%D1%80%D1%83%D1%82%D0%B8%D0%B7%D0%B0%D1%86%D0%B8%D1%8F/)