Как киберпреступность превратилась в сервисную экономику

Киберпреступность стала дешевле для входа. Чтобы запустить атаку, злоумышленнику уже не всегда нужны глубокие технические знания, собственная команда разработки и сложная инфраструктура.

На теневом рынке можно купить готовый фишинговый набор, арендовать шифровальщик, получить инструкцию, техническую поддержку и доступ к уже скомпрометированной корпоративной системе.

Для бизнеса эта экономия работает в обратную сторону. Чем проще атаковать, тем больше попыток. Чем больше попыток, тем выше вероятность, что одна из них пройдет через уязвимый сервис, слабую учетную запись, подрядчика с лишними правами или плохо защищенный удаленный доступ.

В результате компания сталкивается не с «техническим сбоем», а с финансовым и управленческим кризисом: простоями, восстановлением, проверкой резервных копий, сменой доступов, риском утечки и потерей доверия клиентов.

Преступность стала сервисом

Рынок кибератак перестал быть закрытым клубом технически сильных групп. Он стал похож на обычную сервисную модель: одни пишут инструменты, другие ищут уязвимые компании, третьи продают первичный доступ, четвертые запускают шифровальщик и ведут переговоры о выкупе.

«Сегодня злоумышленнику уже не обязательно обладать глубокими техническими знаниями. Большая часть необходимых инструментов доступна в готовом виде. Фактически сформировалась полноценная сервисная экономика киберпреступности, где можно приобрести как инструменты атаки, так и доступ к инфраструктуре потенциальной жертвы», — сказал Денис Назаренко, руководитель отдела технической поддержки продаж UDV Group.

Самый заметный пример такой экономики — Ransomware-as-a-Service. В этой модели вымогательская атака продается как готовый сервис: с шифровальщиком, обновлениями, инфраструктурой, инструкциями и распределением ролей. Стоимость входа может начинаться с нескольких десятков долларов в месяц. Для атакующего это снижает порог участия, а для компаний расширяет круг потенциальных противников.

Отдельный слой — рынок первичного доступа. Одни группы взламывают компании, закрепляются в инфраструктуре или получают учетные данные, а затем продают этот доступ другим. Иногда вход в корпоративную сеть стоит несколько сотен долларов. Покупатель уже не тратит время на поиск жертвы и первичное проникновение, а сразу получает возможность развивать атаку.

Малый бизнес больше не может считать себя невидимым

Раньше многие компании утешали себя тем, что они слишком небольшие, непубличные или «никому не интересные». Сейчас это слабая защита. Когда атака собирается из готовых инструментов и купленного доступа, размер бизнеса не всегда становится фильтром.

Злоумышленника интересует не масштаб компании, а удобная точка входа. Это может быть внешний сервис с критической уязвимостью, учетная запись без многофакторной аутентификации, подрядчик с постоянным удаленным доступом, открытый RDP, незащищенный VPN или старая система, которую давно не обновляли.

Именно поэтому атак становится больше не только из-за роста квалификации преступников. Они становятся массовее, потому что инструменты стали доступнее. Если раньше сложная атака требовала отдельной подготовки, теперь часть этой подготовки можно купить.

Дешевеет вход, а не ущерб

Для злоумышленника атака может стоить десятки или сотни долларов. Для компании последствия измеряются совсем другими суммами. После успешного инцидента нужно расследовать, как атакующий попал внутрь, какие учетные записи получил, где успел закрепиться, какие данные мог вывести и какие резервные копии уже могли быть затронуты.

Если речь идет о шифровальщике, бизнес теряет не только деньги на восстановление. Останавливаются сервисы, срываются поставки, сотрудники переходят на ручные процессы, юристы оценивают риски утечки, ИТ-команда собирает инфраструктуру по частям, а руководству приходится принимать решения без полной картины произошедшего.

По оценкам экспертов, около 70% успешных инцидентов в России связано с вымогательскими атаками. В отдельных случаях требования выкупа доходят до 400-500 млн руб. Но выкуп не исчерпывает ущерб. Даже если компания не платит, простой, восстановление, потерянные сделки и репутационные последствия могут оказаться сопоставимыми или более тяжелыми.

Полное восстановление после серьезной атаки может занимать 200-250 дней. Для собственника это почти год неопределенности: часть процессов уже работает, часть еще проверяется, часть систем нельзя возвращать без риска повторного заражения.

Подрядчики становятся отдельным каналом атаки

Чем больше у компании внешних связей, тем шире ее реальный периметр. Интеграторы, сервисные организации, поставщики, удаленные администраторы, общие порталы, каналы обмена данными и доверенные учетные записи создают удобные маршруты для атаки.

Если компрометирован подрядчик, злоумышленник может прийти не через взломанный периметр, а через уже разрешенный доступ. Для систем защиты это сложнее: соединение выглядит легитимным, учетная запись может быть настоящей, а маршрут — предусмотренным в рабочих процессах.

По оценкам специалистов, более трети инцидентов в 2025 году были связаны с компрометацией цепочек поставок и доверенных каналов доступа. Поэтому контролировать нужно не только собственных сотрудников, но и всех, кто подключается к инфраструктуре: зачем, с какими правами, на какой срок и какие системы окажутся под риском, если этот доступ попадет к атакующему.

Защита измеряется не количеством купленных решений

Одна из частых управленческих ошибок — считать кибербезопасность набором продуктов. Межсетевой экран, антивирус, EDR, SIEM и резервное копирование могут быть закуплены, но сами по себе они не гарантируют устойчивость.

Вопрос в том, как быстро компания заметит атаку и что произойдет дальше. Видит ли команда движение по сети. Понимает ли, какие системы критичны. Может ли изолировать сегмент до шифрования. Проверяла ли восстановление из резервных копий. Пересматривает ли права подрядчиков. Проводит ли учения, а не только хранит регламенты.

Злоумышленнику нужна одна удачная попытка. Защитнику приходится постоянно закрывать внешний периметр, учетные записи, привилегии, подрядчиков, резервные копии, сегментацию и мониторинг. Поэтому зрелость защиты лучше оценивать не по списку инструментов, а по способности выдержать реальный сценарий атаки.

Профилактика дешевле простоя

Киберзащита часто кажется затратой до первого крупного инцидента. После него становится видно, что стоимость восстановления складывается не только из работы ИТ-команды. В нее входят простой бизнеса, ручная обработка процессов, юридические риски, репутационные потери, проверка данных, восстановление доверия клиентов и возможная повторная атака, если источник компрометации не найден.

Чем дешевле становится атака для преступника, тем опаснее бизнесу откладывать защиту. Минимальный набор действий уже понятен: закрывать критические уязвимости, контролировать внешний периметр, ограничивать права учетных записей, проверять подрядчиков, сегментировать сеть, защищать резервные копии от изменения и регулярно отрабатывать сценарии инцидентов.

Главный сдвиг в том, что киберриски больше нельзя оставлять только ИТ-службе. Для собственника это вопрос непрерывности бизнеса. Атака может начаться с одного письма, купленного доступа или слабой учетной записи, но закончиться остановкой процессов, выкупом, восстановлением на месяцы и потерей управляемости. Поэтому защищаться нужно до шифрования, а не после того, как бизнес уже встал.