Телеком принял DDoS-атаки на себя
Центр компетенций группы компаний "Гарда" провел анализ изменений ландшафта и особенностей DDoS-атак за весь 2025 г. Цель исследования - определить основные типы атак, которым подвергались компании и их распределение по отраслям в IV квартале и за весь 2025 г.
В течение года распределение DDoS-атак по отраслям претерпело заметные изменения, отражающие смещение приоритетов злоумышленников и адаптацию к мерам защиты.
Количество DDoS в телекоммуникационном сегменте последовательно росло: с 29% в I квартале до 43% в IV квартале, закрепив за собой позицию основной цели. В госсекторе после увеличения с 13% до 20% во II квартале доля инцидентов стабилизировалась на уровне 19% во втором полугодии, что указывает на устойчиво высокий интерес к данному сегменту.
На ИТ-сектор в I квартале приходилась наибольшая доля DDoS-атак (37%), однако уже во II и III кварталах она сократилась до 8%, а к концу года составила 10%. Атаки на финансовые организации также показали рост по отношению к началу года с пиком в 12% в III квартале.
В промышленности после снижения во II квартале (4%) доля DDoS-атак увеличилась до 8% и удерживалась на этом уровне во втором полугодии. В медицине инциденты начали фиксироваться только с III квартала и к концу года достигли 8%, что говорит о появлении нового направления для атак. На образование на протяжении года приходилось стабильно небольшое количество DDoS - 2-3%.
В ритейле после всплеска в III квартале (6%) доля инцидентов снизилась до 1%. В сегменте услуг, напротив, после пика во II квартале (20%) количество DDoS-атак относительно других отраслей вообще не проявлялось. При этом сами атаки и на ритейл, и на сектор услуг остались по-прежнему массовыми и интенсивными.
В IV квартале 2025 г. самая большая доля DDoS-атак по-прежнему приходится на телекоммуникационный сектор, хотя показатель снизился по сравнению с концом 2024 г. - с 55% до 43%. Государственные организации удерживают второе место с долей 19%, что почти в три раза выше уровня IV квартала 2024 г. (7%) и сопоставимо с показателями III квартала 2025 г. Это указывает на закрепление повышенного интереса к данному сегменту.
ИТ-сектор продолжает оставаться под давлением, однако его доля заметно ниже прошлогодних значений: 26% в конце 2024 г. против 10% в IV квартале 2025 г. В финансовом сегменте после роста до 12% в III квартале фиксируется снижение до 8%, что близко к уровню конца 2024 г.
Количество DDoS-атак на промышленность сохраняет повышенные показатели по сравнению с прошлым годом: с 1% в IV квартале 2024 г. доля выросла до 8% и удерживается на этом уровне второй квартал подряд. Схожую динамику демонстрирует медицинский сектор, который отсутствовал в статистике год назад, но к IV кварталу 2025 г. достиг 8%.
Распределение DDoS-атак по типам в 2025 г. отражает последовательный уход от простых нагрузочных сценариев к более сложным и труднофильтруемым техникам.
В I квартале доминировали классические TCP ACK-нагрузки, на которые приходилось 42% всех инцидентов. Уже во II квартале их доля снизилась почти вдвое - до 24%, а к III кварталу упала до 7%, что указывает на снижение интересов злоумышленников к данному методу. В IV квартале показатель частично восстановился до 10%, однако остался значительно ниже уровня начала года. Схожую динамику демонстрируют UDP-сценарии: после роста до 17% во II квартале их доля сократилась до 7% в III и составила 10% к концу года.
На этом фоне усиленные и низкоуровневые техники демонстрируют устойчивый рост. DNS amplification последовательно увеличивала долю в каждом квартале – с 11% в начале года до 38% в IV квартале, став основным типом DDoS. IP fragmentation после умеренных значений в первом полугодии (9–11%) резко выросла в III квартале до 29% и сохранилась на высоком уровне (27%) в конце года, что указывает на закрепление данного подхода.
TCP SYN демонстрировал умеренный рост до III квартала (16%), после чего снизился до 8%. А TCP syn/ack носил экспериментальный характер: резкий всплеск в III квартале (14%) сменился почти полным исчезновением в IV квартале.
В IV квартале 2025 г. распределение DDoS-атак по типам отражает продолжающийся сдвиг в сторону более массовых техник. На первое место вышли сценарии с использованием DNS amplification, доля которых выросла с 7% в IV квартале 2024 г. до 38% в конце 2025 г. Это наиболее заметное изменение за рассматриваемый период и признак ориентации злоумышленников на атаки с высоким коэффициентом усиления.
IP fragmentation остается одним из доминирующих методов, несмотря на небольшое снижение по сравнению с III кварталом 2025 г. (29% → 27%). По отношению к концу 2024 г. доля таких инцидентов выросла более чем втрое, что указывает на устойчивый интерес к низкоуровневым техникам обхода фильтрации.
Классические TCP-нагрузки продолжают терять долю. TCP ACK, занимавший 43% год назад, снизился до 10%, а TCP SYN сократился с 11% до 8%. Кратковременный всплеск TCP syn/ack в III квартале (14%) сменился почти полным исчезновением этого типа - 1% в IV квартале 2025 г. UDP-сценарии сохраняются на умеренном уровне: после падения до 7% в III квартале их доля вернулась к 10%, что, однако, заметно ниже показателей конца 2024 г. (18%).
