Согласно результатам анализа за 2025 год, наибольшее количество кибератак пришлось на информационно-технологическую отрасль: на ее долю пришлось 29% от общего числа зарегистрированных в стране инцидентов. Такая ситуация объясняется не только высокой стоимостью ИТ-компаний как целей для злоумышленников, но и тем фактом, что они все чаще используются в качестве промежуточного звена для проникновения в более крупные и защищенные системы конечных получателей. За ними по убыванию следуют финансовый и страховой секторы (17%), розничная торговля (12%), а также здравоохранение и транспортно-логистический комплекс, на которые приходится по 8%.
Эти сведения содержатся в докладе «От реагирования к предотвращению: инциденты 2025», подготовленном отделом реагирования и цифровой криминалистики Angara MTDR. Исследование основано на анализе множества расследований, охватывающих различные сферы деятельности – от промышленности и торговли до государственных структур.
Кто и зачем атакует
В ходе анализа мотивов злоумышленников эксперты установили, что в 40% рассмотренных случаев речь шла о шпионаже. Еще четверть инцидентов (25%) связана с хактивизмом, а лишь в 15% – с классической финансовой мотивацией, когда киберпреступники стремятся к прямой материальной выгоде. В остальных 20% случаев установить конкретные цели атакующих не удалось. Значительную часть составили также кампании, которые можно отнести к деятельности продвинутых постоянных атак (APT-группировок), для которых характерно длительное скрытое присутствие в системах жертвы, а не получение разовой прибыли.
Следует отметить изменение характера хактивизма за прошедший год. Ранее под этим термином обычно подразумевались группы, заинтересованные в создании публичного резонанса вокруг атаки. В 2025 году приоритеты изменились: значительная часть подобных атак была направлена на нанесение реального ущерба российским организациям, а не на создание шумихи.
Ландшафт усложняется
Общая картина киберпреступности характеризуется возрастающей сложностью. Наряду с формированием новых групп злоумышленников, объединенных общими инструментами и задачами, затрудняется установление связи между конкретными инцидентами и определенными группировками: изначально кажущиеся хаотичными события часто оказываются элементами тщательно разработанных операций.
Заметной тенденцией является интеграция искусственного интеллекта в инструменты киберпреступников. В 2025 году аналитики зафиксировали не только применение сценариев и скриптов, созданных нейросетями для автоматизации стандартных процессов, но и использование C2-агентов, разработанных или усовершенствованных с помощью ИИ. Это снижает порог входа для создания вредоносного ПО, что усложняет его обнаружение по сигнатурам и ускоряет появление новых образцов.
Каков необходимый период времени для выявления факта несанкционированного доступа?
В течение года медианное время обнаружения злоумышленников в инфраструктуре составило 17 дней. Для атак с использованием программ-вымогателей этот показатель был ниже – всего 7 дней. Тем не менее, высокая скорость развития подобных атак приводит к тому, что компании зачастую узнают о взломе на поздней стадии, когда возможность предотвратить дальнейшие последствия ограничена.
Обобщая информацию об инцидентах, вырисовывается более серьезная картина: практически в половине случаев – у 45% – на выявление атаки требовалось свыше месяца. В частности, 15% инцидентов обнаруживались в период от одного до полугода, еще 5% – от полугода до года, а четверть всех атак (25%) оставалась незамеченной в информационных системах более года. Некоторые из этих продолжительных периодов связаны с атаками ботнетов низкого уровня, использующих уязвимые серверы для майнинга криптовалюты, тогда как другие – результатом деятельности группировок, специализирующихся на длительном сборе информации.
Позитивная динамика при сохраняющихся рисках
Заместитель генерального директора Angara MTDR Артем Грибков подчеркивает, что, несмотря на постоянный рост числа и разнообразия киберугроз из года в год, наблюдается увеличение доли организаций, которые стали оперативнее реагировать на инциденты, активнее взаимодействовать с группами реагирования и более обдуманно инвестировать в защиту. По его мнению, это является позитивным фактором, однако потенциал для развития в данной сфере остается существенным – особенно в части превентивного выявления угроз и подготовки бизнеса к восстановлению после атак.
