Компания просыпается утром без серверов. ERP не работает, файловые хранилища зашифрованы, часть данных уже скачана наружу. В текстовом файле лежит адрес закрытого сайта, а после входа в чат появляется сумма, например $3 млн. Я бы не называл эти $3 млн ценой. Скорее перед нами первый ход в переговорах, рассчитанный на шок и нехватку времени.
Свежая статистика хорошо показывает разницу между требованием и реальной сделкой. По данным Coalition, среди более чем 100 тыс. застрахованных организаций средний первоначальный запрос вымогателей за 2025 год превысил $1 млн, а 86% пострадавших вообще не стали платить. В случаях, где специалисты Coalition всё-таки вели торг до платежа, сумму в среднем снижали на 65%. Отдельный массив Unit 42 показывает похожую механику. Медианная первоначальная сумма в расследованных инцидентах достигла $1,5 млн, медианный платёж составил $500 тыс., а медианное снижение в случаях с переговорами достигло 61%.
Но здесь есть ловушка, которая часто портит статьи про ransomware. Нельзя превращать 60-65% в универсальную «скидку у хакеров». Другая выборка даёт совсем другие цифры. В глобальном исследовании Sophos только 51% заплативших организаций смогли получить цену ниже первоначальной. Coveware в статистике за четвёртый квартал 2025 года зафиксировала медианный платёж $325 тыс. и долю платящих жертв около 20%. Разница не означает, что кто-то ошибается. Unit 42, Coalition, Sophos и Coveware наблюдают разные компании, регионы, размеры бизнеса и типы инцидентов. Вывод можно сделать только один. Начальное требование очень часто не является окончательной ценой, но размер скидки заранее неизвестен.
Как вымогатели определяют, сколько у компании можно забрать
Представление о хакере, который после шифрования придумывает красивое круглое число, давно устарело. Крупные группировки сначала оценивают платёжеспособность жертвы. Unit 42 обнаружила, что медианное первоначальное требование в расследованиях 2025 года составляло около 0,55% предполагаемой годовой выручки компании. Ещё раньше анализ внутренних переписок Conti, опубликованный Check Point Research, показал, что преступники пользовались публичными бизнес-базами и привязывали требования к оценке годовой выручки. Cisco Talos независимо пришла к тому же выводу после изучения переговоров Conti и Hive.
Процент не фиксирован. Старые данные Conti давали среднее около 2,82% выручки в исследованной выборке, Hive часто начинала примерно с 1%, а у Unit 42 для инцидентов 2025 года медиана опустилась до 0,55%. Поэтому таблица в духе «хакеры берут один процент оборота» вводила бы читателя в заблуждение. Группы меняются, финансовые модели меняются, а высокий оборот ещё не означает наличие свободных денег.
Внутри сети злоумышленники также ищут документы, которые позволяют уточнить расчёт. Особый интерес представляют банковские сведения, бюджеты, финансовые отчёты и киберстраховка. В утёкших переписках Conti прямо обсуждался поиск страховых документов. Академическое исследование рынка киберстрахования также описывает случаи, когда преступники находили страховой сертификат внутри сети и использовали сведения для ценовой дискриминации. Однако из этого не следует популярный тезис «страховка заставляет компанию платить». Свежая работа исследователей из Эдинбургского университета на 461 зарегистрированном инциденте и 237 опубликованных переговорах не обнаружила доказательств того, что наличие киберстрахования само по себе повышает вероятность выплаты. Более раннее исследование Computers & Security также показало, что влияние страховки на готовность платить далеко не однозначно.
Самый наглядный пример того, насколько ценна информация о страховом лимите, появился совсем недавно. Бывший переговорщик DigitalMint Анджело Мартино получал от клиентов сведения об их страховом покрытии и внутренней переговорной позиции, а затем тайно передавал данные операторам BlackCat. По материалам Минюста США, схема помогала преступникам максимизировать платежи пяти жертв. В июле Мартино получил 70 месяцев тюрьмы. Подробности дела разбирал и SecurityLab. Для меня этот кейс интереснее любых теоретических рассуждений о страховании. Он показывает буквально, сколько стоит знание верхней границы, которую жертва готова заплатить.
Поэтому хорошая команда заранее определяет собственный предел и не раскрывает его другой стороне. Упрощённо логика выглядит так.
максимально рациональный платёж
=
ожидаемый ущерб при отказе
-
ожидаемый ущерб после платежа
-
риск невыполнения обещаний преступникомФормула не предназначена для бухгалтерии. Она показывает принцип. Если компания может восстановить критические системы за двое суток, требование $5 млн выглядит иначе, чем при потере единственной рабочей копии базы данных. Поэтому самая сильная переговорная позиция создаётся не в чате, а за месяцы до атаки.
Что происходит в чате и зачем переговорщик иногда молчит
В большинстве случаев преступники оставляют записку с адресом сайта в Tor, идентификатором жертвы и инструкциями. После подключения начинается проверка возможностей каждой стороны. Исследователи, изучившие 41 реальную переписку, разделили переговоры на три фазы. Сначала жертва проверяет возможности преступника, затем стороны торгуются, а после возможной оплаты начинается получение дешифратора и другой обещанной «поддержки». Анализ чатов Conti и Hive показал похожую последовательность, хотя конкретные группировки ведут себя по-разному.
На первом этапе нельзя верить фразе «мы украли все ваши данные». Переговорщик может запросить перечень похищенного или доказательства доступа, а при шифровании попросить расшифровать несколько тестовых файлов. Одновременно специалисты по реагированию должны независимо проверять журналы, облачные хранилища, сетевую телеметрию и резервные копии. NCSC прямо рекомендует по возможности проверять заявления преступников и сначала изучать альтернативы платежу. Аналогичный подход заложен в руководстве CISA.
Затем начинается торг. Вымогатель напоминает о доходах компании, давит сроками, угрожает публикацией файлов или увеличением требования. Жертва объясняет, что денег нет, руководство не одобряет сумму, страховой лимит ниже или самостоятельное восстановление уже идёт. Часть аргументов может отражать реальную ситуацию, часть служит переговорной тактикой. Cisco Talos находила у Conti даже ограниченные по времени «акции» и скидки, а Hive могла, наоборот, резко поднять цену после долгого молчания. Значит, простого правила «никогда не отвечайте три дня, тогда дадут скидку» не существует.
Зачем тогда опытные переговорщики иногда замедляют разговор? Время нужно прежде всего собственной команде. Пока чат не закрыт, специалисты могут проверить резервные копии, определить реальный объём утечки, поднять часть сервисов и понять стоимость простоя. Исследование, которое выйдет в материалах ACM CCS и уже опубликовано авторами, обнаружило связь более долгих переговоров с большими скидками и меньшей вероятностью платежа. Более ранний анализ реальных чатов Conti тоже показывает, как жертвы использовали задержки, согласования и ограниченность бюджета как часть торга.
Но причинность здесь доказать нельзя. Долгий разговор может приводить к скидке, а может просто означать, что стороны изначально далеки от соглашения. Поэтому профессиональный переговорщик выигрывает время не ради психологического трюка. Каждые дополнительные часы должны улучшать техническую картину и снижать зависимость компании от преступника.
Материал предназначен для легального и ответственного реагирования на киберинциденты. Организациям нужно соблюдать законодательство своей страны, особенно применимые нормы России, требования регуляторов и санкционные ограничения. Переговоры нельзя использовать для помощи преступникам, несанкционированного доступа, сокрытия противоправной деятельности или незаконного обхода ограничений. В ряде юрисдикций перевод денег определённым лицам прямо запрещён. Например, актуальное руководство Великобритании предупреждает об уголовных и финансовых последствиях платежей санкционным субъектам, а NCSC рекомендует до любого платежа получать юридическую оценку.
Почему выкуп не покупает возврат к нормальной работе
Второй большой миф выглядит так. Компания переводит криптовалюту, получает ключ и через пару часов возвращается к работе. В реальном инциденте дешифратор решает только одну часть проблемы. Даже рабочий ключ не удаляет злоумышленника из сети, не меняет похищенные пароли, не закрывает первоначальную дыру и не отменяет расследование утечки. CISA требует после ransomware-инцидента определить масштаб компрометации и восстановить доверенную инфраструктуру независимо от решения по выкупу. NCSC отдельно предупреждает, что дешифрование большой сети занимает время и иногда восстановление из резервной копии оказывается быстрее.
Более того, дешифратор может работать плохо. После захвата инфраструктуры LockBit британское NCA обнаружило случаи, когда заплатившие жертвы получали неработающий инструмент и не могли добиться помощи. Государственное британское руководство также прямо упоминает неисправные дешифраторы и повторные заражения после оплаты.
Ещё хуже обстоят дела с обещанием «мы удалим ваши данные». Технического способа убедиться, что преступник уничтожил все копии, почти нет. Операция против LockBit дала редкое прямое доказательство. NCA нашло на серверах группировки данные жертв, уже заплативших за их удаление. Минюст США независимо сообщил о том же после анализа захваченной инфраструктуры. На SecurityLab историю подробно разбирали в материале о том, как LockBit сохраняла данные после выкупа.
Необычный пример показала атака на Change Healthcare. После инцидента с ALPHV/BlackCat компания выплатила выкуп, что позднее публично подтвердил глава UnitedHealth Эндрю Уитти. По сообщениям Wired, сумма составляла около $22 млн. Затем внутри преступной схемы произошёл конфликт. Оператор ALPHV, по данным исследователей, не передал долю партнёру, который непосредственно проник в сеть. Партнёр сохранил украденные сведения, а позже данные появились в новой попытке вымогательства через RansomHub. Эпизод отражён и в материалах Конгресса США. Доказательств второй выплаты нет, поэтому утверждать, что Change Healthcare заплатила дважды, нельзя.
Именно партнёрская модель ransomware делает обещания ещё менее надёжными. Разработчик вредоноса, оператор инфраструктуры, переговорщик и человек, который украл данные, могут быть разными преступниками. В деле LockBit американские власти описывали схему, где администратор обычно получал около 20% выкупа, а остальное доставалось партнёру. В деле BlackCat тот же расклад в 80/20 фигурировал в материалах Минюста США. Проценты нельзя переносить на все группировки, но сама модель объясняет, почему договорённость с одним участником преступной цепочки не гарантирует поведение остальных.
Платить или нет решает не переговорщик
Я бы вообще убрал из головы образ переговорщика как человека, который в одиночку спасает компанию красивыми фразами. Нормальное решение принимается сразу по нескольким линиям. Техническая команда выясняет, можно ли восстановить инфраструктуру. Специалисты по расследованию определяют масштаб проникновения и кражи данных. Юристы проверяют обязательства перед регуляторами, клиентами и санкционные риски. Страховщик проверяет покрытие и подключает согласованных специалистов. Руководство оценивает стоимость различных сценариев. NCSC рекомендует именно такой межфункциональный подход, а CISA требует заранее включать руководство, ИТ, безопасность, страховщика и других ответственных участников в план реагирования.
Сам переговорщик должен добывать информацию, снижать давление и цену, проверять готовность преступников выполнять хотя бы технически проверяемые обещания и не раскрывать лишнего. Финальное решение принадлежит организации. История DigitalMint особенно хорошо показывает, почему нельзя безоговорочно доверять даже посреднику, который формально находится на стороне жертвы.
Самый сильный вывод я нашёл не в статистике скидок, а в новом академическом исследовании переговоров. Авторы изучили сотни инцидентов и пришли к выводу, что исход в большой степени определяется ещё до начала торга. Полностью восстанавливаемые резервные копии резко снижали вероятность переговоров и платежа. Unit 42 независимо обнаружила, что около 41% рассмотренных жертв в 2025 году могли восстановиться из резервных копий без выкупа, хотя в 26% случаев вымогатели сумели повредить и сами резервные копии. Sophos в свежем опросе также фиксирует рост восстановления из резервных копий до 66% среди организаций, чьи данные были зашифрованы.
Одновременно общий рынок показывает, что жертвы постепенно чаще отказываются финансировать вымогателей. Chainalysis оценила полученные ransomware-группами платежи за 2025 год примерно в $820 млн, примерно на 8% меньше предыдущего года, несмотря на рост числа заявленных атак. Coveware зафиксировала к концу 2025 года около 20% платящих клиентов в собственной выборке, а Coalition сообщила о 86% отказов среди своих страхователей. Методики сильно различаются, поэтому я бы не пытался вывести из этих цифр одну «среднюю вероятность выплаты». Направление, однако, видно во всех трёх массивах. Способность отказаться от сделки становится реальным конкурентным преимуществом защитников.
Если атака уже произошла, порядок действий для меня выглядит гораздо прозаичнее любых психологических приёмов. Сначала изолировать затронутые системы и сохранить доказательства. Затем проверить резервные копии и реальный объём кражи данных. Параллельно подключить руководство, юристов, специалистов по реагированию, страховщика и правоохранительные органы там, где такое обращение применимо. Только после появления технической картины имеет смысл обсуждать, нужен ли вообще контакт с преступниками. Такой порядок соответствует рекомендациям CISA и NCSC.
Поэтому главный навык в переговорах с вымогателями не умение сторговать миллион до четырёхсот тысяч. Настоящая сила появляется, когда компания знает, сколько времени займёт восстановление, где лежат рабочие резервные копии, какие данные действительно украдены и сколько она потеряет при каждом сценарии. Тогда первоначальное требование остаётся всего лишь цифрой в чате. А лучшая сделка с вымогателем по-прежнему та, от которой можно отказаться.
