По данным исследования Positive Technologies, за последний год в 29% кибератак на российские компании использовались программы-вымогатели и в 9% — вайперы. При этом 98% инцидентов закончились нарушением основных бизнес-процессов. Крупный бизнес понес убытки в размере от 50 млн до 1,5 млрд рублей. В 88% случаев безвозвратного уничтожения данных действовали хактивисты, главная цель которых — нанести жертве максимальный ущерб, сообщила компания Positive Technologies в среду.
В отчёте представлены результаты анализа ландшафта киберугроз с применением программ-вымогателей и вайперов для российских организаций в период с июля 2025 года по июнь 2026 года. Данные основаны на собственной экспертизе компании Positive Technologies, анализе объявлений на дарквеб-площадках, данных PT Expert Security Center, а также на информации из авторитетных открытых источников.
Программа-вымогатель (шифровальщик) — вредоносное ПО, предназначенное для блокировки доступа пользователей к данным путем шифрования файлов. Для в восстановления доступа используется ключ дешифрования, который хранится у злоумышленников и предоставляется жертве только после выплаты выкупа.
Вайпер — вредоносное ПО, предназначенное для уничтожения данных на зараженных устройствах без возможности восстановления.
В 2025 году шифровальщики применялись в 33% кибератак на российские организации, а вайперы — в 9%, что выше показателей 2024 года (23% и 6% соответственно). За рассматриваемый период шифровальщиками одинаково часто пользовались политически и финансово мотивированные группировки (по 44%). Вайперы же использовали преимущественно хактивисты (88%), а материальная выгода преследовалась лишь в 6% атак.
В последнее время программы-вымогатели применялись в атаках на малый и средний бизнес чаще, чем на крупные компании (39% против 25%). Это можно объяснить тем, что у небольших организаций часто нет собственной команды специалистов по информационной безопасности, отсутствуют непрерывный мониторинг инцидентов, налаженный процесс резервного копирования данных и отработанный план восстановления после инцидента. Как правило, у них также нет финансовых резервов, поддержки головной компании или государства, поэтому давление вымогателей им выдержать труднее.
Атака на крупный бизнес требует большей подготовки и ресурсов, но привлекает злоумышленников высокой стоимостью простоя. Кроме того, чем известнее жертва, тем больше огласки может получить инцидент: вымогатели запрашивают плату и за молчание об атаке, а хактивисты рассчитывают нанести заметный репутационный ущерб.
Вайперы встречались одинаково часто и в крупном, и в малом бизнесе — в 8% кибератак.
Больше всего пострадала промышленность. В крупном бизнесе на ее долю пришлось 39%, далее идут торговля (15%) и перевозчики (7%). Среди небольших компаний промсектор находится наравне с ИТ (по 17% инцидентов), далее — транспорт и сфера услуг (по 9%). У некоммерческих организаций программы-вымогатели встречались в 15% атак. Среди пострадавших были образовательные, научные и государственные учреждения.
Для проникновения в корпоративную сеть чаще всего применялись фишинг и социальная инженерия: в 61% случаев у крупных компаний, в 60% — у малых и средних. На втором месте у крупного бизнеса и НКО — использование уязвимостей (30% и 31% соответственно), у малых и средних фирм — компрометация учетных данных (27%). Еще 7% атак на крупные компании и 8% атак на некоммерческие организации начинались через подрядчиков и контрагентов. В таких случаях злоумышленники часто использовали небольшие компании из цепочки поставок как точку входа для проникновения в инфраструктуру более крупной жертвы.
Шифровальщик или вайпер обычно запускается только на последнем этапе атаки. До этого злоумышленники могут долго находиться в инфраструктуре, получать расширенные права, отключать средства защиты и искать критически важные системы. В некоторых инцидентах между первичным доступом и шифрованием данных проходило от двух месяцев до года. Атаки с их применением в 98% случаев нарушали основную деятельность организаций. На втором месте среди последствий — утечка конфиденциальной информации: она произошла почти в половине инцидентов (48%).
