Студенты Высшей школы экономики выиграли четыре крупных соревнования по информационной безопасности. Это ENOWARS, RCTF, CTFZone, а также PSUTI CTF — в топ-10 этого турнира вошли сразу четыре команды университета. Впереди очные финалы в международных турнирах в Румынии, Индии и Саудовской Аравии, куда успешно отобрались наши спортсмены.
Главный герой завершившегося сезона — команда C4T BuT S4D. В ее основном составе играют студенты МИЭМ и ФКН ВШЭ: Максим Кусков, Александр Веденяпин, Михаил Ильин и Василий Соболев (все — 2-й курс программы «Информационная безопасность», МИЭМ), Никита Покровский (4-й курс, «Прикладная математика и информатика», ФКН) и Максим Кузнецов (3-й курс, «Программная инженерия», ФКН). Именно они взяли золото на турнирах ENOWARS 10, RCTF и CTFZone. Еще четыре команды Высшей школы экономики успешно выступили в турнире PSUTI CTF, заняв 1, 3, 7 и 8-е места в турнире.
PSUTI CTF
Ежегодное онлайн-соревнование в формате task-based CTF, которое проводит клуб информационной безопасности Поволжского государственного университета телекоммуникаций и информатики. Команды решают независимые задачи по веб-безопасности, криптографии, реверс-инжинирингу, эксплуатации бинарных уязвимостей и другим направлениям. Турнир длится около суток, состав команд — максимум пять человек. Три лучшие команды получают право выйти в очный финал VolgaCTF в Самаре, но от одного университета проходит не более одной команды. В 2026 году сразу четыре команды ВШЭ вошли в топ-10, заняв 1, 3, 7 и 8-е места в турнире.
ENOWARS 10
Серия международных соревнований в формате Attack/Defense, организуемая академической командой ENOFLAG. Юбилейный, десятый турнир прошел в июле 2026 года в онлайн-формате и длился девять часов. Это один из самых массовых Attack/Defense-турниров сезона, в котором приняли участие 145 команд.
Команды одновременно исследуют специально разработанные уязвимые сервисы, готовят атаки на соперников и закрывают аналогичные уязвимости у себя. Существенную роль играет автоматизация: найденный способ атаки нужно превратить в надежно работающий эксплойт, способный регулярно собирать флаги у десятков соперников. C4T BuT S4D заняла первое место, опередив сильных соперников из команд Bushwhackers и CBC Skibidis.
RCTF 2026
Соревнование в формате Attack/Defense, организованное CTF-командой Rop Runners совместно с кафедрой криптологии и кибербезопасности НИЯУ МИФИ. По условиям турнира каждая команда получает собственную инфраструктуру с уязвимыми сервисами и должна одновременно защищать ее и атаковать соперников. Сервисы обязаны корректно работать на протяжении всего турнира: простое отключение уязвимого приложения ведет к потере очков за доступность. Турнир RCTF 2026 прошел 24 августа в онлайн-формате. Победителем также стала команда C4T BuT S4D.
CTFZone 2026
Ежегодный турнир по практической кибербезопасности, который с 2016 года проводится российской компанией BI.ZONE. В 2026 году организаторы изменили привычный формат. Финал прошел очно в Москве: восемь часов работ без доступа к интернету, поисковым системам, LLM и любой внешней помощи. Акцент на самостоятельном анализе и фундаментальных навыках. Задания охватывали четыре направления: Web, PWN, Reverse и Crypto. Здесь команда C4T BuT S4D победила с 5800 баллами, опередив Bushwhackers (2-е место) и Drovosec (3-е). Три лучшие команды также получили приглашения на конференцию OFFZONE 2026.
Что впереди
Активность CTF-спорта не знает межсезонья и не останавливается. Команда C4T BuT S4D и другие студенты ВШЭ отобрались на несколько очных финалов крупных международных турниров, которые пройдут уже осенью и зимой.
H7CTF, финал в Индии
Международное соревнование, организуемое индийской командой H7Tex. В 2026 году турнир прошел в третий раз и впервые был выстроен как двухэтапный: глобальная онлайн-квалификация (26–27 сентября, 36 часов) и очный финал. Квалификация включала 12 направлений — от Web и PWN до Blockchain, Cloud и AI. Организаторы использовали специальную систему начисления очков, чтобы выше оценивать самостоятельный анализ, а не массовое использование LLM.
Сборная ВШЭ заняла 2-е место в квалификации и получила право на участие в очном финале, который пройдет 24–25 октября в Институте науки и технологий SRM (SRM Institute of Science and Technology) в Ченнаи. Формат — Attack/Defense с элементами King of the Hill, финал заявлен как human-only: использование ИИ вместо участников ограничено.«H7CTF мне запомнился из-за интересного подхода организаторов к задачам и их оцениванию, чего до этого не встречалось: теперь, находясь на вершине рейтинга, было гораздо сложнее продолжать там оставаться, но мы справились», — говорит Максим Кусков.
Команду для поездки в Индию формирует Академия CTF ВШЭ — объединение студентов, увлекающихся информационной безопасностью и соревновательной деятельностью. Многие участники приходят уже на первый курс с большим багажом достижений в CTF и продолжают выступать от университета.
Кубок Федерации
Команды ВШЭ прошли также в финал Кубка Федерации, организованного Министерством спорта Российской Федерации. По результатам финала, который пройдет 10 октября, будет сформирована национальная сборная, которая отправится на чемпионат мира в ОАЭ.
DefCamp CTF (финал в Румынии)
DefCamp Capture the Flag — международное соревнование, проводимое с 2011 года в рамках румынской конференции DefCamp, одно из наиболее известных CTF-соревнований Центральной и Восточной Европы. Онлайн-квалификация прошла 18–20 сентября и собрала 372 команды. C4T BuT S4D заняла 5-е место с 2019 баллами — отрыв от команды-лидера (2031 балл) составил всего 12 очков. Очный финал пройдет 18–19 ноября в Бухаресте в формате Attack/Defense.
«DefCamp — отличные соревнования, было много интересных задач! Особенно запомнился PWN V8 Chromium практически вслепую. Это очень ценный опыт для меня и моей команды», — поделился Александр Веденяпин.
Black Hat MEA CTF (финал в Саудовской Аравии)
Соревнование проводится в рамках конференции Black Hat Middle East & Africa в Саудовской Аравии. Организаторы — Saudi Federation for Cybersecurity, Programming and Drones совместно с Black Hat MEA; платформа FlagYard. Турнир позиционируется как крупнейшее CTF-соревнование в мире и ранее даже получил признание Книги рекордов Гиннесса (Guinness World Records).
Команда C4T BuT S4D успешно прошла квалификацию и вошла в число 150 лучших команд, приглашенных в очный финал. Онлайн-квалификация представляла собой 24-часовой Jeopardy CTF для команд из трех-пяти человек с заданиями по шести направлениям: Web Exploitation, System Exploitation/PWN, Digital Forensics, Reverse Engineering, Cryptography и AI Systems Hacking. Финал пройдет 1–3 декабря в Эр-Рияде и будет представлять собой три дня задач возрастающей сложности в формате Jeopardy.
«Когда играешь на международных турнирах, особенно приятно понимать, что можешь конкурировать с сильнейшими командами мира. При этом за каждым результатом стоят часы подготовки, бессонные ночи, неудачные попытки и огромное количество командной работы. Со стороны CTF может выглядеть как соревнование по поиску уязвимостей, но на деле это еще и проверка выдержки, умения быстро адаптироваться и доверять товарищам. Бывает, что от победы или поражения отделяет буквально одна решенная задача. Такие моменты мотивируют развиваться дальше», — рассказал Михаил Ильин.
«Для меня CTF — это прежде всего возможность постоянно проверять себя в нестандартных ситуациях. Особенно люблю формат Attack/Defense: здесь недостаточно просто найти уязвимость и написать эксплойт, — говорит Василий Соболев. — Нужно одновременно защищать собственные сервисы, атаковать соперников, следить за доступностью инфраструктуры и быстро принимать решения. Иногда одна найденная уязвимость или удачная идея буквально за несколько минут меняет положение команды в турнирной таблице. Самое интересное — это работа в команде. У каждого свои сильные стороны, и порой задача, над которой ты просидел несколько часов, решается благодаря одной неожиданной мысли товарища. Именно такие моменты, когда после долгих попыток всё наконец начинает работать, запоминаются больше всего. Ради этих эмоций и хочется снова выходить на соревнования».