Сфера информационных технологий в 2025 г. стала самой атакуемой отраслью в стране – на нее пришлось 29% зафиксированных киберинцидентов. При этом нередко злоумышленники рассматривают ИТ-компании как точку входа в инфраструктуру конечной цели. Далее по числу атак следуют финансы и страхование (17%), ритейл и торговля (12%), здравоохранение и транспортно-логистический сектор (по 8%).

Такие данные приведены в исследовании «От реагирования к предотвращению: инциденты 2025», подготовленном экспертами отдела реагирования и цифровой криминалистики Angara MTDR. В основе исследования лежат десятки успешных расследованных кейсов, каждый из которых привнес уникальный контекст, будь то финансовый сектор, промышленность, ретейл или отдельные государственные структуры.

Что касается мотивации атакующих, наибольшая доля расследованных компанией инцидентов пришлась на атаки с целью шпионажа (40%), еще 25% – на хактивизм, и 15% на классическую финансовую мотивацию. В 20% случаев точно установить мотивацию атакующих не удалось. Существенную часть инцидентов также составили кампании, которые можно отнести к APT-группировкам. Их организаторы заинтересованы не только в немедленной выгоде, но и в длительном скрытном присутствии в инфраструктуре жертвы.

Как отмечают исследователи, значительные изменения за прошлый год претерпел хактивизм. Если раньше в эту категорию, как правило, попадали группировки, ориентированные на публичный эффект и шум, то в 2025 г. значительная часть подобных атак была связана с нанесением российским организациям максимального ущерба.

Вместе с этим усложнился и сам ландшафт киберпреступности. С одной стороны, появились новые кластеры активности (группы, которые объединены общими инструментами, тактиками и целями), с другой – усложнилась точная атрибуция инцидентов. Например, то, что первоначально выглядело как случайная активность, во время расследования нередко оказывалось частью хорошо подготовленной кампании.

Отдельно аналитики подчеркивают, что инструментарий атакующих все чаще дополнялся решениями на основе ИИ. В 2025 г. в компании столкнулись не только с использованием сгенерированных сценариев и скриптов для автоматизации рутинных задач, но и со случаями применения C2-агентов, написанных или адаптированных с помощью ИИ. Порог входа для создания кастомного инструментария снижается, что усложняет сигнатурное обнаружение и ускоряет появление новых вредоносных программ.

Медианный показатель обнаружения злоумышленников по итогам 2025 г. составил 17 дней. В атаках с использованием программ-вымогателей показатель был ниже – всего 7 дней. Однако подобные атаки разворачиваются настолько быстро, что даже за этот срок компании чаще всего узнавали о взломе уже на финальной стадии. Если говорить об инцидентах в целом, то почти в половине случаев (45%) на обнаружение атаки уходило больше месяца: 15% атак обнаруживались в срок от месяца до полугода, 5% – от полугода до года, а 25% присутствовали в инфраструктуре больше года. Часть таких долгих случаев связана с низкоквалифицированными атаками ботнет-сетей, размещающих майнеры на уязвимых серверах, а другая – с деятельностью группировок, специализирующихся на шпионаже.

«Количество и разнообразие киберугроз растет с каждым годом. Тем не менее мы видим, что в прошлом году заметно выросла доля организаций, которые быстрее реагирует на инциденты и подозрительную активность, охотнее взаимодействуют с командами реагирования и осознаннее инвестируют в защиту. Это однозначно позитивная тенденция. Но потенциал для роста в области кибербезопасности остается значительным, особенно в части проактивного обнаружения угроз и готовности к восстановлению после инцидентов», – сказал Артем Грибков, заместитель генерального директора Angara MTDR.

• Подобрать защищенное облако IaaS ФЗ-152 на ИТ-маркетплейсе CNewsMarket