Российские компании почти всегда сталкиваются с остановкой работы после успешных атак с шифрованием или уничтожением данных. С июля 2025 года по июнь 2026 года программы-вымогатели применялись в 29% успешных кибератак на организации, а вайперы, уничтожающие информацию без возможности восстановления, в 9%. В 98% подобных инцидентов пострадали основные бизнес-процессы, а ущерб крупным компаниям достигал от 50 млн до 1,5 млрд рублей.
Такие данные приводят специалисты Positive Technologies в исследовании угроз для российских организаций. Отдельная статистика за календарный 2025 год показывает рост обоих типов вредоносного ПО: шифровальщики применялись в 33% атак против 23% годом ранее, вайперы, в 9% против 6%.
Программы-вымогатели одинаково активно использовали политически и финансово мотивированные группировки, на каждую категорию пришлось по 44% случаев. У вайперов картина оказалась другой: в 88% атак с безвозвратным уничтожением данных действовали хактивисты, тогда как финансовая выгода становилась основной целью лишь в 6% случаев.
Чаще всего злоумышленники запускали LockBit, на который пришлось 32% инцидентов с шифровальщиками. Pay2Key использовался в 25% случаев, Babuk, в 19%. На C77L и GenieLocker пришлось еще по 9%.
Малый и средний бизнес сталкивался с шифровальщиками заметно чаще крупных компаний, в 39% успешных атак против 25%. Аналитики связывают разницу с более слабой защитой небольших организаций. У малого бизнеса нередко отсутствуют собственные специалисты по информационной безопасности, постоянный мониторинг инцидентов, надежное резервное копирование и заранее подготовленный план восстановления. Ограниченные финансовые резервы дополнительно повышают давление со стороны вымогателей.
Крупные компании остаются привлекательными целями из-за высокой стоимости простоя и возможного репутационного ущерба. Подготовка атаки на большую инфраструктуру требует больше времени и ресурсов, однако злоумышленники могут рассчитывать на крупный выкуп. Positive Technologies оценивает средние операционные потери и расходы на восстановление после успешной атаки в 135 млн рублей.
Среди крупных компаний больше всего атак с вымогателями и вайперами пришлось на промышленность, 39% инцидентов. На ритейл и электронную коммерцию пришлось 15%, на транспортные компании, 7%. В сегменте малого и среднего бизнеса промышленность и ИТ получили по 17% таких атак, транспорт и сфера услуг, по 9%.
Главным способом проникновения в корпоративные сети оставались фишинг и социальная инженерия. Через подобные схемы начинался 61% успешных атак на крупный бизнес и 60% атак на малые и средние компании. Злоумышленники также активно эксплуатировали уязвимости: подобный путь использовался в 30% атак на крупные организации и в 31% атак на НКО. Для малого и среднего бизнеса второй по распространенности причиной становилась компрометация учетных данных, на которую пришлось 27% случаев.
Отдельную угрозу создают подрядчики и контрагенты. В первой половине 2026 года доля всех атак на российские организации через доверенных партнеров и цепочки поставок достигла 6%, вдвое превысив показатель аналогичного периода предыдущего года. Среди инцидентов с вымогателями и вайперами через контрагентов начинались 7% атак на крупный бизнес и 8% атак на некоммерческие организации. Менее защищенная небольшая компания в подобных сценариях может превратиться в точку входа в инфраструктуру более крупной жертвы.
Шифровальщик или вайпер обычно появляется только на финальной стадии атаки. До запуска вредоносной программы злоумышленники могут месяцами изучать инфраструктуру, повышать привилегии, отключать защитные средства, искать критически важные серверы и резервные копии. В отдельных инцидентах между первым проникновением и шифрованием проходило от двух месяцев до года.
Возвращение к нормальной работе также может занимать недели. Медианный простой внутренних и внешних сервисов после атак составил семь дней, а восстановление критически важных элементов инфраструктуры в отдельных случаях растягивалось до двух месяцев. Более половины пострадавших организаций восстанавливали серверную и сетевую инфраструктуру, а в 45% инцидентов компании потеряли доступ к данным или резервным копиям.
Почти половина атак приводила и к утечке конфиденциальной информации. Подобные последствия зафиксированы в 48% инцидентов. Чаще всего утекали персональные данные и коммерческая тайна, по 26% случаев, учетные данные, в 18%, переписка, в 14%.
Повторное нападение тоже может последовать сравнительно быстро. Производственные и ИТ-компании малого и крупного бизнеса снова становились целями вымогателей через промежуток от двух недель до шести месяцев. Риск возрастает, если после первого инцидента компания не устраняет первоначальную точку проникновения, не отзывает скомпрометированные учетные данные и не закрывает оставшиеся злоумышленникам доступы.
