Российские компании теряют до 1,5 млрд рублей из-за вымогателей

По данным исследования Positive Technologies, за последний год в 29% кибератак на российские компании использовались программы-вымогатели. При этом 98% инцидентов закончилось нарушением основных бизнес-процессов.

Крупный бизнес понес убытки в размере от 50 млн до 1,5 млрд рублей. В 88% случаев безвозвратного уничтожения данных действовали хактивисты, главная цель которых — нанести жертве максимальный ущерб.

В 2025 году шифровальщики применялись в 33% кибератак на российские организации, а вайперы — в 9%, что выше показателей 2024 года (23% и 6% соответственно). За рассматриваемый период шифровальщиками одинаково часто пользовались политически и финансово мотивированные группировки (по 44%). Вайперы же предпочитали преимущественно хактивисты (88%), а материальная выгода преследовалась лишь в 6% случаев.

В последнее время программы-вымогатели были замечены в атаках на малый и средний бизнес чаще, чем на крупные компании (39% против 25%). Это можно объяснить тем, что у небольших предприятий часто нет собственной команды специалистов по информационной безопасности, а также отсутствуют непрерывный мониторинг инцидентов, налаженный процесс резервного копирования данных и отработанный план восстановления после взлома. Как правило, у них нет и финансовых резервов и поддержки головной компании или государства, поэтому давление вымогателей им выдержать труднее.

Атака на крупный бизнес требует большей подготовки и ресурсов, но привлекает злоумышленников высокой стоимостью простоя. Кроме того, чем известнее жертва, тем больше огласки может получить инцидент: вымогатели запрашивают плату и за молчание об атаке, а хактивисты рассчитывают нанести заметный репутационный ущерб.

Вайперы же встречались одинаково часто и в крупном, и в малом бизнесе — в 8% кибератак.

Больше всего пострадала промышленность (среди больших предприятий на ее долю пришлось 39%). После идут торговля (15%) и перевозчики (7%). Среди небольших компаний промсектор находится наравне с ИТ (по 17% инцидентов), далее — транспорт и сфера услуг (по 9%). У некоммерческих организаций программы-вымогатели встречались в 15% атак. Среди жертв были образовательные, научные и государственные учреждения.

Для проникновения в корпоративную сеть чаще всего применялись фишинг и социальная инженерия: в 61% случаев у крупных компаний, в 60% — у малых и средних. На втором месте у крупного бизнеса и НКО — эксплуатация уязвимостей (30% и 31% соответственно), у малых и средних фирм — компрометация учетных данных (27%). Еще 7% атак на крупные компании и 8% атак на некоммерческие организации начинались через подрядчиков и контрагентов. В таких акциях злоумышленники часто использовали небольших игроков из цепочки поставок как точку входа для проникновения в инфраструктуру более крупной жертвы.

Шифровальщик или вайпер обычно запускается только на последнем этапе. До этого хакеры могут долго находиться в инфраструктуре, получать расширенные права, отключать средства защиты и искать критически важные системы. В некоторых инцидентах между первичным доступом и шифрованием данных проходило от двух месяцев до года. Атаки с их применением в 98% случаев нарушали основную деятельность организаций. На втором месте среди последствий — утечка конфиденциальной информации: она произошла почти в половине кейсов (48%).

«Шифрование или уничтожение данных может привести к критическим рискам и непоправимым последствиям. При этом даже наличие резервных копий не гарантирует быстрого восстановления: злоумышленники могут добраться и до них, — отмечает Анна Сафронова, старший аналитик исследовательской группы Positive Technologies. — Чтобы этого не допустить, важно защищать рабочие станции и серверы комплексными системами, такими как MaxPatrol Endpoint Security, которые даже в случае инцидента за несколько секунд могут вернуть зашифрованные, поврежденные или удаленные файлы в исходное состояние без участия пользователя».