Angara MTDR: ИТ-отрасль была главной целью киберпреступников в 2025 году
Сфера информационных технологий в 2025 году стала самой атакуемой отраслью в стране – на нее пришлось 29% зафиксированных киберинцидентов. При этом нередко злоумышленники рассматривают ИТ-компании как точку входа в инфраструктуру конечной цели. Далее по числу атак следуют финансы и страхование (17%), ритейл и торговля (12%), здравоохранение и транспортно-логистический сектор (по 8%).
Такие данные приведены в исследовании «От реагирования к предотвращению: инциденты 2025», подготовленном экспертами отдела реагирования и цифровой криминалистики Angara MTDR. В основе исследования лежат десятки успешных расследованных кейсов, каждый из которых привнес уникальный контекст, будь то финансовый сектор, промышленность, ретейл или отдельные государственные структуры.
Что касается мотивации атакующих, наибольшая доля расследованных компанией инцидентов пришлась на атаки с целью шпионажа (40%), еще 25% – на хактивизм, и 15% на классическую финансовую мотивацию. В 20% случаев точно установить мотивацию атакующих не удалось. Существенную часть инцидентов также составили кампании, которые можно отнести к APT-группировкам. Их организаторы заинтересованы не только в немедленной выгоде, но и в длительном скрытном присутствии в инфраструктуре жертвы.
Как отмечают исследователи, значительные изменения за прошлый год претерпел хактивизм. Если раньше в эту категорию, как правило, попадали группировки, ориентированные на публичный эффект и шум, то в 2025 году значительная часть подобных атак была связана с нанесением российским организациям максимального ущерба.
Вместе с этим усложнился и сам ландшафт киберпреступности. С одной стороны, появились новые кластеры активности (группы, которые объединены общими инструментами, тактиками и целями), с другой – усложнилась точная атрибуция инцидентов. Например, то, что первоначально выглядело как случайная активность, во время расследования нередко оказывалось частью хорошо подготовленной кампании.
Отдельно аналитики подчеркивают, что инструментарий атакующих все чаще дополнялся решениями на основе ИИ. В 2025 году в компании столкнулись не только с использованием сгенерированных сценариев и скриптов для автоматизации рутинных задач, но и со случаями применения C2-агентов, написанных или адаптированных с помощью ИИ. Порог входа для создания кастомного инструментария снижается, что усложняет сигнатурное обнаружение и ускоряет появление новых вредоносных программ.
Медианный показатель обнаружения злоумышленников по итогам 2025 года составил 17 дней. В атаках с использованием программ-вымогателей показатель был ниже – всего 7 дней. Однако подобные атаки разворачиваются настолько быстро, что даже за этот срок компании чаще всего узнавали о взломе уже на финальной стадии. Если говорить об инцидентах в целом, то почти в половине случаев (45%) на обнаружение атаки уходило больше месяца: 15% атак обнаруживались в срок от месяца до полугода, 5% – от полугода до года, а 25% присутствовали в инфраструктуре больше года. Часть таких долгих случаев связана с низкоквалифицированными атаками ботнет-сетей, размещающих майнеры на уязвимых серверах, а другая – с деятельностью группировок, специализирующихся на шпионаже.
«Количество и разнообразие киберугроз растет с каждым годом. Тем не менее мы видим, что в прошлом году заметно выросла доля организаций, которые быстрее реагирует на инциденты и подозрительную активность, охотнее взаимодействуют с командами реагирования и осознаннее инвестируют в защиту. Это однозначно позитивная тенденция. Но потенциал для роста в области кибербезопасности остается значительным, особенно в части проактивного обнаружения угроз и готовности к восстановлению после инцидентов», – добавил Артем Грибков, заместитель генерального директора Angara MTDR.
Скачать исследование можно на официальном сайте компании.
Angara MTDR — это сервисы для управления киберустойчивостью, в которых процессы и их эффективность определяют средства и меры защиты, а не наоборот. Предоставляет комплекс услуг для защиты организаций от актуальных угроз на всех этапах атак (от первичной разведки и подготовки атаки до нанесения ущерба) внутри периметра и за его пределами, в т.ч. расследования, устранение последствий и восстановление ИТ-инфраструктуры, если инцидент уже произошел. Является корпоративным центром ГосСОПКА класса «А» и участником информационного обмена с ФинЦЕРТ.
Angara Security — ведущий российский ИБ-интегратор и провайдер услуг по информационной безопасности. Компания специализируется на защите данных и бизнес-систем, предотвращает и расследует кибератаки.