Ущерб от атак хактивистов достиг уровня прогосударственных группировок

Граница между хактивистами и APT-группировками размывается: всё чаще такие участники выполняют задачи в интересах государств и аффилированных с ними структур. О важном сдвиге в ландшафте глобальных киберугроз рассказали эксперты Positive Technologies.

Согласно прогнозам, дальнейшая кооперация политически мотивированных хакеров с прогосударственными группировками приведёт к появлению на глобальном теневом рынке хактивизма как услуги.

APT-группировки — организованные группы хакеров, которые проводят целевые атаки, отличаются высоким уровнем подготовки и действуют скрытно на протяжении длительного времени. Однако в 2025 году под это определение стали подпадать группы хактивистов, чья деятельность вышла за рамки цифровых протестов.

Эксперты Positive Technologies также зафиксировали трансформацию хактивистской активности. Теперь такие игроки часто выступают в качестве прокси или участвуют в кибератаках совместно или по указанию прогосударственных группировок. В случае выполнения услуг по найму они стремятся нарастить личный инструментарий и уровень подготовки, сохраняя видимую автономность. Это даёт им ресурсы для профессионального роста и развития собственного арсенала, в результате чего их атаки становятся технически сложнее, а цели — масштабнее.

Глобальной целью хактивизма в 2025 году оставалась Европа (65% — доля хактивистов в регионе). На смену DDoS-атакам и дефейсу сайтов, мотивированных желанием громко заявить о себе, приходят атаки, нацеленные на длительное скрытое присутствие в сетях жертв, реальный саботаж инфраструктуры и кражу критически важных данных. Например, представители прогосударственных группировок в прошлом году похитили рекордный объём криптовалюты на сумму около 2 млрд долларов, что на 51% больше, чем годом ранее. При этом они получили немало информации о клиентах бирж и их персональные данные.

Чаще всего в 2025-м под удар попадали отрасли, представляющие собой объекты критически важных систем атакованных государств: госучреждения (22%), промышленные организации (16%), оборонные предприятия (10%) и финансовые компании (10%). Масштаб опасности наглядно показали атаки группировки Lazarus. Злоумышленники рассылали сотрудникам пострадавших компаний письма с фальшивыми предложениями о работе, содержавшие вредоносное ПО. В результате были похищены секретные технические данные о производственных процессах, что нанесло удар военной безопасности сразу нескольких стран.

Главным инструментом для получения первичного доступа во внутреннюю сеть остался фишинг — его применяло до 43% отслеживаемых группировок. При этом инструментарий этого метода быстро расширяется за счёт искусственного интеллекта. Например, BlueNoroff использовала в видеозвонках дипфейки, выдавая себя за руководителей криптопроектов, чтобы убедить участников установить «обновление» с вредоносным ПО.

«В 2025 году наибольшая концентрация активных группировок зафиксирована на территории СНГ: 99 классифицированы как APT-группировки, а 24 — как хактивисты. В Европе отслеживалась деятельность 105 групп, почти две трети из них — хактивисты, что делает регион мировым лидером по их доле. В Латинской и Северной Америке активность проявили 99 группировок, преимущественно финансово мотивированных», — отметил Артем Белей, старший аналитик Positive Technologies.

Борьба с APT-группировками и хактивистами требует комплексного подхода, сочетающего технологии, процессы и подготовку специалистов. Своевременно обнаруживать угрозы и реагировать на них до наступления опасных последствий помогают современные решения классов EDR и XDR, SIEM, NGFW. Поскольку фишинг остается главным вектором проникновения, важно регулярно обучать персонал цифровой гигиене. Значимую роль в реализации проактивной защиты также играет киберразведка — постоянный сбор и анализ данных об актуальных тактиках и инструментах атакующих. Оценить готовность организаций к отражению угроз подобного уровня позволит моделирование реальных атак с привлечением команды специалистов.

Одну из опасных техник злоумышленников на примере группировки PhantomCore специалисты Positive Technologies разберут на Технологическом треке Форума ГосСОПКА, который состоится 14–15 апреля 2026 года, в кластере «Ломоносов» (Москва). Организатор — НКЦКИ, оператор — Медиа Группа «Авангард». Участников ожидает всецело практико-ориентированная программа. Регистрация уже открыта.