3 300 атак, 119 группировок, рост на 49%. Dragos опубликовала отчёт об угрозах для промышленности — и цифры пугаю

Компания Dragos опубликовала девятый ежегодный отчёт об угрозах в сфере операционных технологий — и картина, которую он рисует, тревожит куда сильнее, чем в прошлые годы.

Если раньше хакеры в основном «закапывались» в инфраструктуру и ждали, то теперь они активно изучают, как именно работают промышленные системы управления: картографируют контуры управления, разбираются в том, что запускает и останавливает физические процессы. Иными словами, атаки становятся осмысленными и целенаправленными.

В отчёте описаны три новые хакерские группировки. AZURITE охотится за инженерными рабочими станциями — теми самыми узлами, через которые операторы управляют оборудованием. Группа быстро берёт на вооружение свежие публичные эксплойты, не давая организациям времени на установку патчей. PYROXENE действует иначе: годами выстраивает присутствие через цепочки поставок, создавая фиктивные профили рекрутеров в LinkedIn для охоты на производственный персонал. В июне 2025 года группировка применила самописный вайпер против израильских целей на фоне регионального конфликта. SYLVANITE специализируется на первоначальном проникновении — быстро эксплуатирует уязвимости на периферийных устройствах и передаёт доступ другим группам, в частности VOLTZITE.

Отдельного внимания заслуживают группировки KAMACITE и ELECTRUM — те самые, что стоят за отключениями электроэнергии на Украине в 2015 и 2016 годах. В 2025 году они вернулись в Европу и США. KAMACITE с марта по июль методично зондировала американские промышленные объекты, а в декабре ELECTRUM атаковала польскую энергетическую инфраструктуру — впервые в таком масштабе под удар попали распределённые источники энергии: ветряные и солнечные установки.

Проблема программ-вымогателей в промышленности тоже вышла на новый уровень. В 2025 году Dragos зафиксировала 119 группировок, атаковавших 3 300 промышленных организаций — на 49% больше, чем годом ранее. Более двух третей жертв — производственные предприятия. При этом реальная статистика, вероятно, занижена: многие инциденты ошибочно классифицируются как «проблемы с IT», хотя под удар попадают серверы SCADA и инженерные станции. Страховые компании оценивают потери от такой неверной классификации в десятки миллиардов долларов ежегодно.

Полевые данные Dragos подтверждают: промышленность по-прежнему уязвима на базовом уровне. В 81% проверок обнаружена слабая сегментация IT и OT-сетей, у 88% организаций в ходе учений выявились серьёзные пробелы в обнаружении угроз, а 73% всех расследованных инцидентов начинались со скомпрометированных VPN-аккаунтов или учётных данных промежуточных серверов. Лишь 46% организаций имеют полноценный мониторинг сети в реальном времени — без него восстановить картину произошедшего после атаки практически невозможно.