Группировки хакеров, атакующие российские организации по политическим или идеологическим мотивам, — так называемые хактивисты — стали реже уничтожать данные, следует из ежегодного исследования PT Vector 2027 (есть у РБК), подготовленного аналитиками Positive Technologies за период с октября 2025-го по сентябрь 2026-го. Доля атак хактивистов с вредоносным софтом без шифровальщика (вируса, который проникает в систему, блокирует или шифрует пользовательские файлы и требует выкуп за их расшифровку) и вайпера (вируса, который полностью и безвозвратно уничтожает информацию на жестких дисках зараженного компьютера) выросла за год с 7 до 41%, подсчитали исследователи. В 59% таких атак, по их данным, хотя бы один из этих двух инструментов по-прежнему применяется.

Однако в их инструментарии значительно выросла доля троянов удаленного управления — программ, которые дают незаметный доступ к зараженному компьютеру, — с 36 до 53%, выяснили аналитики.

Positive Technologies делит атакующих по мотиву на три категории: кибершпионаж (собирают данные), хактивизм и финансовая выгода (продают доступ к инфраструктуре или требуют выкуп за похищенную или зашифрованную информацию). По итогам года на кибершпионаж пришлось 29% успешных атак на российские организации, на хактивизм — 28%, на финансовую выгоду — 26%, в остальных случаях мотив атак не удалось установить.

Самих атак, по данным исследования, стало на 40% больше — 605 против 433, Россия осталась основной целью в СНГ (73% успешных атак на организации) и одной из основных в мире (14–15%). Проникают злоумышленники чаще всего через вредоносное программное обеспечение (67%) и посредсвом социальной инженерии (56%), реже — через эксплуатацию уязвимостей (24%), скомпрометированные учетные данные (13%), легальный софт (11%) и подрядчиков (4%). Последствиями в 55% атак стала утечка конфиденциальной информации, в 36% нарушалась основная деятельность, в 18% организация теряла доступ к инфраструктуре или данным. Самыми атакуемыми отраслями остались промышленность (17% атак), госучреждения (10%) и телеком (9%), причем телеком за исследуемый период поднялся на третье место с пятого.

Как считали

PT Vector 2027 — ежегодное исследование Positive Technologies о киберугрозах для российских организаций. База инцидентов формируется из открытых источников и собственных расследований компании. Абсолютные числа атак по отдельным типам она не публикует, поэтому выводы построены на долях. Мотив присваивается каждой атаке по совокупности признаков — заявлениям злоумышленников, атрибуции исследователей и характеру атаки. Если ни один признак не указывает на цель, мотив не присваивается. Доли по типам вредоносного софта (шифровальщики, вайперы, трояны удаленного управления) считаются от числа успешных атак, в которых они применялись. Суммировать проценты между собой нельзя: одна и та же атака может попасть в несколько категорий, если, например, в одной атаке использовались и шифровальщик, и троян.

Как хактивисты меняют тактику

Главным сдвигом внутри вредоносного софта стало то, что доля вирусов для удаленного управления выросла с 52 до 62%, а доля шифровальщиков сократилась с 35 до 24%, говорится в отчете. Первые росли у всех атакующих: у кибершпионских группировок — с 61 до 64%, у финансово мотивированных — с 57 до 68%, у хактивистов — с 36 до 53%. Но если у первых двух категорий это было продолжением привычной тактики, то у хактивистов изменение было заметным.

Трояны удаленного управления дают незаметный для службы безопасности доступ к зараженному компьютеру, с их помощью злоумышленники управляют узлами, похищают файлы, пароли и данные пользовательских сессий и развивают атаку внутри сети. Большинство таких атак начиналось с фишинговых рассылок, а длительное присутствие, по данным авторов отчета, позволяет хакерам сохранять контроль над инфраструктурой и «переходить к финальной стадии атаки в выбранный момент». Пока злоумышленники находятся в инфраструктуре, они собирают данные и доступы, а ресурсы пострадавшей организации потом используются для атак на ее партнеров и клиентов — за год таких случаев стало втрое больше, они встречались в 4% атак.

С июля 2025-го по июнь 2026-го из всех проведенных атак с вайперами, то есть программами, уничтожающими информацию у атакуемого, 88% атак проводили хактивисты, в атаках с шифровальщиками доля этой группы хакеров — 44%. Как отмечают в Positive Technologies, значительная часть таких атак была направлена «на нарушение основной деятельности организаций без расчета на выкуп». Как указывает ведущий аналитик PT Cyber Analytics Яна Авезова, в мире вайперы применяются нечасто, Россия остается основной целью таких атак (62% от всех зафиксированных в мире атак с вайперами). По ее словам, более трети атак хактивистов с вайперами, где известен размер пострадавшей организации, пришлись на крупный бизнес, а в трех из четырех таких атак злоумышленники также похитили данные — цели выбирают по известности и значимости отрасли, а не по платежеспособности. Авторы отчета при этом оговариваются, что определять намерения атакующих по набору инструментов становится все сложнее: на ранних этапах компрометации нельзя достоверно установить, перейдут ли злоумышленники к деструктивным действиям или ограничатся сбором данных, и не исключено, что в отдельных организациях они не переходили к следующим этапам, а полученный доступ использовала другая группировка.

Хактивизм остается одним из основных мотивов — 28% атак против 25% годом ранее, и рост идет прежде всего за счет DDoS: их доля среди атак хактивистов выросла с 19 до 34%, чаще всего жертвами становились телеком-компании (24 против 13%), следует из исследования. Для подобных злоумышленников нарушение работы провайдеров, интернет-банков, мобильных приложений, платежных сервисов — самостоятельная цель: «даже без хищения средств и утечки данных они могут временно лишить клиентов возможности совершать платежи и переводы», отмечается в исследовании. Хактивисты в этих случаях могут рассчитывать на резонанс: когда перестает работать привычный сервис или в открытом доступе оказываются данные пациентов, последствия атаки замечают за пределами самой организации.

В исследовании также отмечается, что «профессиональный» уровень хактивистов растет: они разрабатывают свои бэкдоры (программы или аппаратные закладки, позволяющие получить несанкционированный доступ в обход стандартных процедур аутентификации) и вайперы, применяют легальное программное обеспечение и очищают журналы событий. Одна и та же группировка может вести кампании разной направленности: например, PhantomCore фигурирует в отчете и в шпионских, и в хактивистских операциях.

Еще год назад в отчете Positive Technologies говорилось, что DDoS перестали быть основным методом хактивистов, а на первый план вышли деструктивные атаки с шифровальщиками и вайперами.

Как ИИ влияет на хакеров

Искусственный интеллект (ИИ) «помогает создавать фишинговые приманки и вредоносный код» атакующим, ИИ-агенты упрощают поиск уязвимостей в веб-приложениях, отмечает Positive Technologies в исследовании. Авторы работы ожидают роста доли атак через эксплуатацию уязвимостей в 2027 году. Кроме того, в следующем году среди целей атак на российские организации могут появиться ИИ-модели, обученные на внутренних данных: они ценны и как технология, и как источник сведений из обучающих данных. В сентябрьском отчете Google Threat Intelligence Group описаны случаи в Северной Америке и Европе, когда ИИ-модели и исследования похищали и кибершпионы, и вымогатели, угрожавшие их опубликовать; в атаках на российские организации таких случаев пока не подтверждено.

Что думают другие исследователи о поведении хакеров

Другие исследователи дают иную картину. BI.ZONE по итогам января—сентября 2026 года зафиксировала снижение доли идеологически мотивированных атак с 18 до 5% при росте кибершпионажа с 38 до 41%. В ГК «Солар» (входит в «Ростелеком») фиксируют, что в 2026-м целью атакующих все чаще является шпионаж, рассказал РБК эксперт группы расследования инцидентов центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин.

Бизнес-партнер по инновационному развитию «Гарды» Лука Сафонов считает неверным тезис, что хактивисты перестали массово уничтожать данные. По его словам, если у компании нет ценных данных и платить ей нечем, сведения «используют для привлечения внимания к инциденту или в качестве инфоповода». Скрытое присутствие в сети и последующее уничтожение он считает не альтернативами, а двумя стадиями одной кампании: иногда до запуска шифрования злоумышленники находились в инфраструктуре «от двух месяцев до года». При этом вход в атаку, по словам Сафонова, подешевел за счет ИИ, в том числе из-за открытых ИИ-платформ автономного тестирования на проникновение.

Независимый эксперт рынка информационной безопасности Алексей Лукацкий предлагает судить о цели атаки по действиям группы: если злоумышленники месяцами скачивали свежую переписку, есть основания говорить о слежке, а если нашли только программу удаленного доступа — известно лишь то, что кто-то вошел. «Представьте, что мы обнаружили такую группу за день до шифрования. Со стороны это выглядело бы как тихий взлом, хотя до остановки бизнеса оставались сутки», — рассуждает он. В то же время Лукацкий подчеркнул, что снижение доли вайперов само по себе не говорит о том, что атаки стали менее разрушительными. «Разрушить бизнес можно и без стирания данных: в бюллетене ФБР и Агентства по кибербезопасности и защите инфраструктуры США (CISA) описаны атаки, в которых хактивисты через удаленный доступ вмешивались в работу оборудования водоканалов, а в отдельных случаях доходило до физического ущерба», — отмечает эксперт.

Мотивы при этом могут быть прежними, а метод — другим, продолжает Лукацкий: чтобы сорвать сделку, можно остановить работу компании, а можно дождаться подписания договора и опубликовать переписку в самый неудобный момент. «Бывает и коммерческий расчет: доступ к небольшому производству ценен тем, что среди его заказчиков крупная нефтегазовая компания, и такая связь может стоить дороже данных самого завода», — рассуждает он, оговариваясь, что пока нет оснований говорить, что хактивисты массово переключились на торговлю доступом.

Руководитель группы аналитики L1 GSOC «Газинформсервиса» Андрей Жданухин отмечает, что вырос общий уровень защищенности организаций, а ИИ-агенты упростили получение первичного доступа для «хакеров со слабыми навыками». Переиспользование доступа встречается, причем иногда с интервалами в годы, поэтому «доступ в организацию» как товар не очень ликвиден. Без компетентного мониторинга доля незамеченных компрометаций может достигать 100%, а у подключенных к центру мониторинга «обнаруживается почти все в первые дни после подключения». Лукацкий добавляет: половину атак обнаруживают через две недели или позже, почти каждую четвертую — спустя два месяца. Отсюда перекос в статистике: если утром у сети магазинов перестали работать кассы, об атаке узнают в тот же день, а если кто-то два месяца читал переписку закупщиков, компания могла дважды отчитаться об отсутствии инцидентов.