Хакеров-шпионов и вымогателей стало больше, а хактивистов меньше

Согласно отчету "Solar 4RAYS: хроники DFIR в первом полугодии 2025 г." группы компаний "Солар" (Solar), за первые шесть месяцев 2025 г. главными целями профессиональных хакеров в почти 90% атак были финансовая выгода и секреты компаний. При этом доля хактивизма (хакеры-активисты мотивированы не получением денег, а идеологией или убеждениями) снижается, однако все еще представляет опасность.

В первом полугодии большая часть расследований (68%) пришлась на атаки с целью шпионажа - это на 7 п.п. больше, чем в первом полугодии 2024 г. Доля вредоносной активности, направленной на вымогательство или майнинг криптовалют, тоже выросла на 8 п.п. год к году, до 20%. А количество атак хактивистов с целью привлечения внимания (включая уничтожение инфраструктуры и публикацию украденных баз данных) сократилось на 4 п.п., до 8%, - для сравнения, еще в 2023 г. этот показатель составлял 35%. По мнению экспертов Solar 4RAYS, такая статистика говорит о смене целей хакеров. Теперь они заинтересованы не просто в громких кейсах взломов, а в получении денежных средств и ценной информации о деятельности ведущих российских организаций - особенно в период изменения геополитической обстановки.

Руководитель по развитию направления реагирования на инциденты центра исследования киберугроз Solar 4RAYS Геннадий Сазонов отметил, что шпионаж держится в топе целей атакующих на протяжении двух с половиной лет, то есть с 2023 г. Однако он рассказал, что в некоторых случаях хакеры преследуют гибридные цели.

"Они компрометируют инфраструктуру, получают доступ к критичным серверам и системам. После этого занимаются выгрузкой данных и иногда заявляют, что данные передали, иногда публикуют их. А вторая цель - уничтожение инфраструктуры. В первом полугодии 2025 г. мы пока не столкнулись со случаями уничтожения информационной инфраструктуры, во втором такие случаи уже есть", - сказал он.

Геннадий Сазонов заметил, что злоумышленники теряют интерес к хактивизму. Им уже неинтересно взламывать сайт для размещения условного баннера, так как резонанс от таких действий быстро утихает. Из-за этого наносить ущерб компаниям становится приоритетной целью.

Однако с ним не согласился руководитель направления центра мониторинга и реагирования на кибератаки RED Security SOC (входит в экосистему ПАО "МТС") Михаил Климов. По его словам, количество атак со стороны хактивистов не снижается. Он отметил, что рост числа атак в месяцы, связанные с большими национальными праздниками России (февраль, май и июнь), служит тому косвенным подтверждением, и с 2022 г. эти пики системно воспроизводятся. Другим подтверждением служит активность проукраинских хакерских группировок в публичном поле.

"Возможно, в отчете к финансово мотивированным киберпреступникам отнесены все случаи, когда хакеры требовали выкуп. Однако политически мотивированные хакеры тоже очень часто стараются монетизировать атаки. Поэтому сама по себе финансовая составляющая не может однозначно указывать на тип мотивации", - отметил он.

Цели атак

Количество индустрий - целей атак, согласно отчету, сократилось и составило шесть отраслей. Среди которых госсектор (на него пришлось 36% всех расследований), промышленность (20%), ИТ-отрасль (12%), медицина (12%), энергетика (12%) и ретейл (8%). При этом, по сравнению с 2024 г., доля атак на госсектор выросла на 5%, а на промышленные предприятия - на 11%.

Чаще всего хакеры (в 46% случаев) атаковали через веб-приложения, в 40% случаев - через скомпрометированные учетные записи. В начале 7% расследованных атак был фишинг и столько же через поставщиков, подрядчиков или клиентов.

По словам Геннадия Сазонова, падение числа атакуемых отраслей связано со сосредоточением хакеров на наиболее критичных отраслях. Он отметил, что госсектор всегда был подвержен всем типам атак (шпионаж и деструктивные действия).

"Если копнуть чуть глубже в промышленность, то диверсификация будет еще больше. Промышленность содержит огромное количество самых разных отраслей, и география атак остается широкой", - сказал он.

Михаил Климов согласился с топом популярности отраслей-целей, однако отметил, что компании из сфер телекоммуникаций, логистики и транспорта не ушли из поля зрения злоумышленников.

"Среди наших заказчиков - компании и этих, и многих других отраслей, таких как HoReCa, девелопмент, СМИ, и мы ежедневно отражаем ведущиеся на них атаки. Кроме того, новости об успешных атаках на отрасли, не упомянутые в отчете, фигурировали даже в публичном поле. Поэтому, скорее всего, отраслевое распределение здесь в большей степени отражает структуру пула заказчиков компании", - отметил он.

Длительность атак

Согласно сообщению Solar, большинство атак (32%) длилось не больше недели, однако время, которое злоумышленники проводят внутри инфраструктуры, растет. За первые шесть месяцев 2025 г. доля инцидентов с длительностью до месяца выросла на 7% и составила 16%, а атак длительностью до двух лет - на 10% и составила 16%. Специалисты Solar 4RAYS посчитали, что это свидетельствует об интересе хакеров к шпионажу, однако бывает, что расследование обнаруживает майнеров - один такой проработал около 10 лет.

"Эксперты Solar 4RAYS в этом полугодии фиксировали случаи, когда сразу несколько хакерских группировок, не сговариваясь, атаковали одну и ту же организацию - каждая со своими целями. Все это говорит о том, что теперь злоумышленники выбирают для взлома самые привлекательные организации из наиболее важных отраслей, которые прямо влияют на экономику и безопасность страны и ее граждан", - говорится в сообщении Solar.