Шифровальщики и вайперы стали чаще использоваться в атаках на российские компании

Программы-вымогатели и вайперы стали заметно чаще использоваться в атаках на российские организации. Согласно исследованию Positive Technologies, в период с июля 2025 года по июнь 2026 года шифровальщики фигурировали в 33% инцидентов, а вайперы — в 9%. Годом ранее эти показатели составляли 23% и 6% соответственно.

Последствия таких атак оказались серьезными: в 98% случаев было нарушено функционирование основных бизнес-процессов. Крупные компании оценивали ущерб в диапазоне от 50 млн до 1,5 млрд рублей. Утечка конфиденциальных данных стала вторым по распространенности последствием — она произошла почти в половине инцидентов, или в 48% случаев.

Кто применяет шифровальщики и вайперы

Шифровальщики использовали примерно поровну политически и финансово мотивированные группировки — на каждую категорию пришлось по 44% атак. Вайперы, предназначенные для безвозвратного уничтожения данных, в 88% случаев применяли хактивисты. Их основной целью было нанесение максимального ущерба, а не получение выкупа. Материальная мотивация прослеживалась только в 6% атак с использованием вайперов.

Вымогатели чаще атаковали малый и средний бизнес: на такие компании пришлось 39% инцидентов против 25% среди крупных организаций. Небольшие компании нередко не располагают собственной командой информационной безопасности, круглосуточным мониторингом, отлаженным резервным копированием и планом восстановления. Кроме того, им сложнее пережить простой из-за отсутствия значительных финансовых резервов и поддержки со стороны головной структуры или государства.

Атаки на крупные компании требуют от злоумышленников большей подготовки, однако такие жертвы привлекательны высокой стоимостью простоя и возможным общественным резонансом. Вымогатели могут требовать деньги не только за восстановление доступа к данным, но и за отказ от публикации сведений об атаке. Хактивисты, напротив, заинтересованы в заметном репутационном ущербе. Вайперы при этом встречались одинаково часто среди крупных и небольших компаний — в 8% атак на каждую группу.

Наиболее уязвимые отрасли и способы проникновения

Сильнее всего пострадала промышленность. В крупном бизнесе на нее пришлось 39% инцидентов, затем следовали торговля с 15% и перевозчики с 7%. Среди малых и средних организаций промышленность и ИТ-сектор заняли по 17%, а транспорт и сфера услуг — по 9%. В некоммерческом секторе вымогатели участвовали в 15% атак. Среди пострадавших были образовательные, научные и государственные учреждения.

Самым распространенным способом проникновения в корпоративные сети стали фишинг и социальная инженерия. Их применяли в 61% атак на крупные компании и в 60% инцидентов против малого и среднего бизнеса. У крупных организаций и НКО вторым по популярности методом было использование уязвимостей — 30% и 31% соответственно. Для небольших компаний на втором месте оказалась компрометация учетных данных, на которую пришлось 27% атак.

Еще 7% атак на крупный бизнес и 8% инцидентов против некоммерческих организаций начинались через подрядчиков или контрагентов. Небольшие компании из цепочки поставок в таких случаях становились точкой входа в инфраструктуру более крупной организации.

Шифрование — финальная стадия атаки

Запуск шифровальщика или вайпера обычно происходит не в начале, а на завершающем этапе атаки. До этого злоумышленники могут месяцами находиться внутри инфраструктуры, повышать привилегии, отключать защитные инструменты и искать наиболее важные системы. В отдельных инцидентах от получения первичного доступа до шифрования данных проходило от двух месяцев до года.

Наличие резервных копий не всегда гарантирует быстрое восстановление: атакующие могут обнаружить и повредить их. Поэтому защита должна включать мониторинг сети и конечных устройств, контроль учетных записей, сегментацию инфраструктуры и регулярную проверку сценариев восстановления. В Positive Technologies также отмечают важность средств, способных быстро вернуть поврежденные или удаленные файлы в рабочее состояние.

Исследование основано на экспертизе Positive Technologies, анализе объявлений на дарквеб-площадках, данных PT Expert Security Center и информации из открытых источников.