Для малого бизнеса
+7 (499) 673-37-62
  • Аналитика
  • Отчеты
  • Отчет о веб-атаках на онлайн-ресурсы российских компаний в 2024 году

Отчет о веб-атаках на онлайн-ресурсы российских компаний в 2024 году

Оглавление


Введение

В 2024 году значительно выросло число веб-атак на онлайн-ресурсы российских компаний. Под ударом находятся как основные сайты компании, так и корпоративные ресурсы и веб-приложения. Киберпреступники также нарастили число сканирований в поисках уязвимостей на сайтах и в веб-приложениях.

Данный отчет отражает картину того, как киберпреступники использовали веб-атаки в минувшем году. Аналитика составлена на основе данных об атаках, зафиксированных и отраженных сервисом WAF платформы Solar MSS ГК «Солар» с января по декабрь 2024 года уровня L7. Учтена информация о веб-атаках на онлайн-приложения организаций, опубликованные в интернете. Для отчета была проанализирована информация о 132 компаниях из различных отраслей, включая госсектор, ИТ, почтовые сервисы, ритейл, банки, промышленность, телеком и другие.

Успешная веб-атака позволяет получить доступ к базам данных приложений, в которых могут содержаться персональные данные пользователей, либо иная конфиденциальная информация о них. Также существует вероятность получения несанкционированного доступа к ключевым функциям веб-сайтов. Как итог – такие атаки могут вызвать широкий общественный резонанс и имиджевые потери для владельцев интернет-сервисов, что, в свою очередь, обернется потерей клиентов, выручки и приостановки бизнес-процессов. Про влияние веб-атак на пользовательский опыт и метрики бизнеса эксперты «Солара» подробно рассказывали ранее.

Количество и интенсивность веб-атак

Количество ИБ-событий

Количество событий ИБ за месяц в 2023 году, млн шт.
Количество событий ИБ за месяц в 2024 году, млн шт.

С января по декабрь 2024 года сервис WAF зафиксировал 1,8 млрд событий ИБ – это в 2,4 раза больше, чем за аналогичный период прошлого года. А крупнейшая L7-атака, отраженная сервисом в 2024 году, составила 1,5 млн RPS – это в 5 раз больше показателей 2023 года.

Максимальное количество ИБ-событий в месяц на один веб-ресурс

Максимальное количество событий ИБ за месяц на один интернет-сайт в 2023 году, млн шт.
Максимальное количество событий ИБ за месяц на один интернет-сайт в 2024 году, млн шт.

Максимальное количество веб-атак на один интернет-сайт в течение 2024 года держалось на уровне 3,4 млн штук в месяц, что соответствует минимальным показателям 2023 года. Таким образом, злоумышленники перестали тратить максимум своих ресурсов только на один основной сайт организации.

Максимальное число ИБ-событий в месяц на один домен второго уровня

Максимальное количество событий ИБ за месяц на один домен второго уровня в 2023 году, млн шт.
Максимальное количество событий ИБ за месяц на один домен второго уровня в 2024 году, млн шт.

При анализе интернет-сайтов видно, что в 2024 году произошел существенный рост среднего количества веб-атак в разрезе одного домена – от 15 до 65 млн событий ИБ в месяц, или в четыре раза. Такая статистика говорит о том, что хакеры совершают веб-атаки и на основные сайты компаний, и на другие ресурсы, имеющие принадлежность к той или иной организаций. Это создает необходимость ставить под защиту все веб-ресурсы организаций, включая корпоративные, тестовые и т.д.

Средний временной интервал между ИБ-событиями

Усредненное количество секунд между событиями ИБ на один интернет-сайт в 2023 году, сек.
Усредненное количество секунд между событиями ИБ на один интернет-сайт в 2024 году, сек.

Средний временной интервал между веб-атаками на один сайт в 2024 году держался на уровне второй половины 2023 года (159 секунд), иными словами – злоумышленники не увеличивали интенсивность атак на отдельно взятые интернет-ресурсы.

Средний временной интервал между ИБ-событиями на один домен второго уровня

Усредненное количество секунд между событиями ИБ на один домен второго уровня в 2023 году, сек.
Усредненное количество секунд между событиями ИБ на один домен второго уровня в 2024 году, сек.

Однако фиксируется снижение временного среднего интервала между событиями ИБ на один домен почти в три раза – до 3,6 секунд в среднем в 2024 году. Это является еще одним подтверждением того, что злоумышленники стали чаще атаковать различные сайты российских компаний.

Порты и методы веб-атак

ИБ-события на 443-й и 80-й порты

Доля событий ИБ на 443 порт, %
Доля событий ИБ на 80 порт, %
Доля событий ИБ на остальные порты, %

2024 год отметился существенным снижением веб-атак на 80-й порт (HTTP) с 13% в первом полугодии 2024 года до 1% во втором полугодии и соответствующим ростом на 443-й порт (HTTPS). Это связано с миграцией интернет-ресурсов с протокола HTTP на HTTPS с поддержкой шифрования данных.

Методы запросов ИБ-событий

Доля событий ИБ с методом запроса "GET", %
Доля событий ИБ с методом запроса "POST", %
Доля событий ИБ с остальными методами запроса, %

Что касается методов запроса, то половина года – с апреля по сентябрь – была стабильна, 44% запросов приходились на метод GET (используется для получения данных от веб-сервера, чтобы, например, показать страницу сайта), и 40% - на POST отправка данных на сайт, в том числе вредоносных, например – SQL-инъекций). Заметное изменение произошло в декабре 2024 года, когда доля GET-запросов достигла рекордной за последние два года величины 72%, однако ситуация в любой момент может измениться в обратную сторону.

Приоритет и виды веб-атак

Приоритеты ИБ-событий

Доля событий ИБ с методом запроса "GET", %
Доля событий ИБ с методом запроса "POST", %
Доля событий ИБ с остальными методами запроса, %

В 2024 году фиксируется незначительное снижение событий ИБ высокого приоритета, от успешной реализации которых ожидается наибольший ущерб. Вместе с этим заметен существенный рост событий ИБ среднего приоритета, линия тренда которых совпадает с линией тренда роста доли сканеров.

Снижение событий ИБ низкого приоритета в общем объеме на 17 п.п., до 30% в 2024 году показывает рост потенциального ущерба для веб-приложений и значимость качественной защиты на основе WAF.

Доля ИБ-событий

Сканеры
Боты
Блокировка IP по черным спискам
Сложные атаки высокого уровня

Динамика двух лет показала незначительное снижение активности ботов (примерно на 1 п.п. в месяц) до 13% в 2024 году. Активность ботов определяется WAF автоматически по признаку использования браузером. Злоумышленники расширяют практику применения ботов, которые работают с браузерами или имитируют работу браузеров, что следует из ландшафта, где растет общее количество автоматизированных атак, но не увеличивается динамика по показателю “Боты”, который отражает масштаб использования без браузерных ботов.

Также фиксируется снижение доли с 14% до 6% среднемесячного количества ИБ-событий, которые блокируются по черным спискам IP. Формирование списков автоматизировано, занесение IP-адресов в них происходит на основе составных событий и правил, разработанных с применением экспертизы и опыта команды Solar MSS. Это связано с усложнением методик ведения атак, в том числе с применением зараженных устройств в сетях домашнего интернета, которые не представляется возможным блокировать по IP.

Помимо этого, за год снизилась доля сложных атак до 30%, на 16 п.п. год к году. При этом во второй половине 2024 года произошла некоторая стабилизация данной динамики на уровне порядка 20% в месяц. Наиболее вероятно, что это связано с сильным ростом сканирований и, соответственно, перераспределением долей разных видов событий ИБ в общей статистике. Под сложными атаками высокого уровня понимаются SQL-инъекции, LFI, RCE и другие веб-атаки, которые могут нанести существенный ущерб работе веб-приложений. Для их детектирования и блокировки используются как коробочные правила, так и кастомные, настроенные с учетом особенностей работы веб-приложений.

Главным трендом 2024 года стал существенный рост доли ИБ-событий, связанных со сканированием веб-приложений. Такие события могут говорить о поиске хакерами уязвимостей для того, чтобы впоследствии осуществить такие веб-атаки, как инъекции. Также к сканерам относятся события ИБ, когда WAF автоматически определяет, что пользователь ведет себя как бот. Средняя доля сканеров в сравнении с 2023 годом выросла в два раза, до 51%, т.е. в два раза. При этом в декабре 2024 года доля выросла до рекордных 77%.

Отдельно стоит отметить рост числа сканирований сайтов в ритейле за ноябрь-декабрь 2024 года и новогодние праздники 2025 года в сравнении с аналогичным периодом прошлого года.

Количество ИБ-событий в почасовой динамике в онлайн-магазинах, (шт. в час)

Количество событий ИБ от сканеров 24-25 года, шт.
Количество событий ИБ от сканеров 23-24 года, шт.

Если в 2023 году значительное увеличение числа сканирований наблюдалось только в середине ноября – до 25 тысяч в час в пиковой фазе, то в 2024 году практически весь ноябрь и декабрь сопровождался резкими всплесками таких ИБ-событий – максимум до 70 тысяч в час.

При этом почти до конца декабря продолжительность сканирований не превышала одного часа раз в 5-7 дней. Затем хакеры резко изменили тактику – с 25 декабря фиксируются ежедневные атаки длительностью от двух до восьми часов в сутки. Такая тенденция сохранялась вплоть до окончания новогодних праздников в 2025 году. Это говорит о том, что злоумышленникам удалось наладить методики автоматизированных атак с помощью роботизированных сканеров на интернет-магазины, а с конца декабря они поставили их на постоянный поток, что чревато приостановкой работы ресурсов и утечкой данных.

Отрасли

Удельное количество ИБ-событий в месяц на одну организацию из отрасли (млн штук)

Грузо-пассажирские перевозки
Почтовые сервисы
Ретейл

Самыми атакуемыми отраслями в 2024 году оказались: почтовые сервисы, грузопассажирские перевозки и ритейл. При этом анализ показал снижение количества атак на сектор грузопассажирских перевозок в сравнении с 2023 годом и кратный рост веб-атак на почтовые сервисы и ритейл. Отдельно отметим, что это сектора, где большинство клиентов – физлица (B2C-бизнес). Злоумышленники атакуют такие отрасли с целью негативно повлиять на пользовательский опыт и лишить бизнес прибыли.

Количество атак в разрезе одной организации из отрасли

Количество событий ИБ в млн штук в месяц удельно на одну организацию из отрасли Порядковый номер месяца в 2023 году Порядковый номер месяца в 2024 году
1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10 11 12
Грузопассажирские перевозки 0,8 3,7 6,4 0,8 3,7 0,6 0,7 2,7 3,5 2,8 2,5 1,1 1,3 1,3 2,3 1,9 2,0 1,2 1,2 5,0 1,1 2,9 0,9 0,8
Почтовые сервисы 0,0 0,0 0,0 0,0 0,0 0,0 4,8 7,6 5,5 5,5 2,6 1,9 2,3 3,0 3,2 1,4 1,1 0,9 1,0 1,9 2,2 24,0 3,4 46,0
Ретейл 1,6 1,0 0,0 1,6 1,0 2,0 1,7 2,0 1,7 3,0 1,7 2,1 2,0 2,6 10,8 3,6 3,1 2,5 2,9 6,3 2,7 4,6 2,5 2,8
Государственный сектор 0,67 0,64 0,63 0,67 0,64 0,61 0,32 0,37 0,57 0,69 1,50 0,47 0,57 0,99 4,23 2,95 2,72 1,74 1,60 2,50 1,68 2,08 1,77 1,62
Промышленность 0,33 0,32 0,32 0,33 0,32 0,75 0,66 0,84 0,79 0,61 0,46 0,33 0,49 0,54 0,58 0,42 0,47 0,27 0,24 0,60 0,26 0,44 0,28 0,27
Культура, развлечения и спорт 0,45 0,82 0,15 0,45 0,82 0,84 0,66 0,53 0,67 0,34 0,01 0,00 0,01 0,01 0,01 0,01 0,01 0,01 0,02 0,02 0,02 0,02 0,02 0,01
ИТ 1,02 0,40 0,12 1,02 0,40 0,02 0,00 0,00 0,00 0,05 0,00 0,09 0,02 0,05 0,06 0,08 0,08 0,15 0,02 0,04 0,06 0,06 0,09 0,06
Страхование 0,42 0,05 0,03 0,42 0,05 0,04 0,09 0,05 0,08 0,09 0,12 0,09 0,08 0,10 0,13 0,16 0,18 0,09 0,09 0,17 0,08 0,09 0,06 0,01
Банки 0,09 0,11 0,07 0,09 0,11 0,04 0,03 0,09 0,09 0,08 0,02 0,07 0,02 0,09 0,02 0,03 0,04 0,07 0,05 0,09 0,06 0,07 0,07 0,06


Отрасль Веб-атаки на одну организацию (2023) Веб-атаки на одну организацию (2024)
Почтовые сервисы 2,3 млн 7,5 млн
Ритейл 1,6 млн 3,9 млн
Государственный сектор 0,6 млн 2 млн
Грузопассажирские перевозки 2,4 млн 1,8 млн
Промышленность 0,5 млн 0,4 млн

Отдельно отметим, что число веб-атак на интернет-магазины увеличилось в 2,5 раза в сравнении с аналогичным периодом прошлого года, с 1,6 млн до почти 3,9 млн событий ИБ. При этом больше всего веб-атак было не в ноябре, в период «Черной пятницы», а в преддверии 8 марта. Отдельно отметим, что количество атак на одну организацию в данной отрасли в марте в 2,8 раза выше среднегодового показателя за весь 2024 год.

Госсектор также по-прежнему остается в фокусе внимания хакеров. Недоступность госресурсов приводит к тому, что граждане не смогут получить важную информацию или государственную услугу, что также оказывает негативное влияние на жизни граждан.

Выводы

1. Число веб-атак в 2024 году на сайты российских компаний увеличилось более чем в два раза в сравнении с 2023 годом.

2. Хакеры стали атаковать не только основные страницы-витрины компаний, но и другие порталы – например, корпоративные ресурсы и веб-приложения. Это означает, что все они нуждаются в круглосуточной защите.

3. В два раза выросло количество среднее количество сканирований – злоумышленники стали чаще искать уязвимости на сайтах компаний.

4. Почтовые сервисы, ритейл и госсектор возглавили топ наиболее атакуемых отраслей, это связано с желанием хакеров оказать максимально негативное влияние на бизнес и жизнь граждан, которые часто пользуются услугами организаций из данных секторов.

5. Более чем в два раза год к году выросло число веб-атак на интернет-магазины – почти до 4 млн за 2024 год. При этом больше всего веб-атак было не в ноябре, в период «Черной пятницы», а в преддверии 8 марта.

Приложение 1. Сложные атаки высокого уровня

В данном разделе представлена аналитика веб-атак, ранее обозначенных как «Сложные атаки высокого уровня».

Доля количества сложных веб-атак высокого уровня в общей сумме веб-атак в 2024 году

В целом за 2024 год в общем объеме сложных атак высокого уровня лидирует «MalformedRequestLine», или некорректная строка запроса.

В HTTP-стандарте (RFC 7230, 7231, 3986) указано, в каком виде должна передаваться строка запроса. Если строка запроса отправляется на веб-приложение в том виде, который не предусмотрен или запрещен HTTP-стандартом, то реакция может быть непредсказуемой. Например, веб-приложение может передать злоумышленнику лишнюю информацию. Такие запросы рекомендуется блокировать. Нередко на практике запросы, попадающие под эти события, составлены таким образом, чтобы веб-сервер тратил дополнительные ресурсы на их обработку, и направляются «пачками». Большое количество таких запросов потенциально может вывести приложение из строя.

Распределение методов сложных веб-атак

    Порядковый номер месяца в 2024 году
№ Названия строк 1 2 3 4 5 6 7 8 9 10 11 12
1 Malformed Request Line 10% 31% 10% 6% 29% 40% 14% 13% 15% 13% 17% 13%
2 DNS Rebinding 8% 4% 4% 10% 11% 43% 33% 16% 33% 22% 34% 28%
3 HTTP Verb Tampering 7% 2% 50% 66% 4% 1% 1% 16% 2% 12% 3% 9%
4 Denial of Service 7% 4% 2% 1% 10% 9% 30% 28% 21% 25% 12% 21%
5 Abuse Of Functionality 15% 9% 6% 1% 33% 2% 2% 3% 11% 2% 19% 1%
6 SQL Injection 28% 13% 3% 5% 4% 1% 2% 4% 3% 6% 5% 8%
7 Cross Site Scripting 3% 5% 13% 1% 1% 1% 4% 4% 3% 5% 2% 7%
8 Slow Body 1% 4% 4% 4% 2% 2% 6% 4% 4% 4% 2% 4%
9 Path Traversal 5% 6% 1% 2% 2% 1% 3% 5% 3% 5% 3% 4%
10 Blacklisted By Host 2% 9% 5% 0% 0% 0% 0% 1% 0% 1% 0% 1%

Динамика TOP-10 сложных веб-атак по 2024 году также показывает концентрацию злоумышленников на таких методах, как DNS Rebinding (атака перепривязывания DNS), HTTP Verb Tampering (ошибка настройки контроля доступа для методов протокола HTTP) и Denial of Service (объемные запросы, которые за счет своего веса приводят к сбою работы веб-приложения).

Динамика развития ТОП-5 сложных веб-атак высокого уровня

Malformed Request Line
DNS Rebinding
HTTP Verb Tampering
Denial of Service
Abuse Of Functionality

Первая половина 2024 года характеризуется всплесками использования разных техник веб-атак. Например, в марте и апреле преобладал вектор HTTP Verb Tampering (ошибка настройки контроля доступа для методов протокола HTTP).

Во второй половине динамика стабилизировалась по всем типам веб-атак и лидирующим стал DNS Rebinding.

Количество веб-атак вида "MalformedRequestLine"

При детальном взгляде популярность метода Malformed Request начала снижаться во втором полугодии 2024.

Доля веб-атак методом Malformed Request на отрасли

  Порядковый номер месяца в 2024 году
  1 2 3 4 5 6 7 8 9 10 11 12
Государственный сектор 85,13% 91,28% 92,90% 28,59% 29,57% 39,69% 36,45% 23,60% 57,88% 23,89% 64,26% 24,36%
ИТ 1,08% 0,40% 0,63% 5,36% 9,25% 55,98% 0,09% 0,07% 0,04% 0,07% 0,02% 0,06%
Почтовые сервисы 11,83% 4,61% 4,93% 48,96% 34,75% 3,44% 47,20% 51,43% 31,61% 50,23% 26,97% 48,21%
Ретейл 0,03% 0,31% 0,20% 7,28% 5,02% 0,53% 7,78% 10,16% 2,86% 10,63% 1,39% 11,41%
Банки 0,00% 0,68% 0,19% 0,38% 1,24% 0,00% 0,48% 10,96% 4,23% 11,72% 5,35% 12,99%
Грузопассажирские перевозки 1,70% 0,77% 0,71% 7,36% 18,63% 0,26% 7,07% 2,62% 2,42% 2,43% 1,04% 2,12%
Страхование 0,00% 1,78% 0,26% 0,00% 0,01% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00%
Финансы 0,14% 0,13% 0,13% 1,62% 1,40% 0,07% 0,70% 0,81% 0,28% 0,64% 0,16% 0,36%
Фармацевтика 0,01% 0,01% 0,01% 0,11% 0,07% 0,00% 0,01% 0,12% 0,50% 0,10% 0,64% 0,05%
Промышленность 0,09% 0,03% 0,03% 0,33% 0,06% 0,01% 0,07% 0,17% 0,03% 0,12% 0,02% 0,03%
Энергетика 0,00% 0,00% 0,00% 0,01% 0,00% 0,00% 0,01% 0,01% 0,06% 0,08% 0,08% 0,20%
Нефтегаз 0,00% 0,00% 0,00% 0,00% 0,01% 0,01% 0,14% 0,04% 0,04% 0,06% 0,01% 0,10%
Услуги 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,04% 0,04% 0,05% 0,10%
Телеком 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00%
Недвижимость и девелопмент 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00%
Культура, развлечения и спорт 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00%
Общепит 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00%
Строительство 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00% 0,00%

При этом, по нашим данным, этот метод стал использоваться при реализации атак на веб-ресурсы большего количества отраслей – в конце года его применяли при атаках на ресурсы энергетики, нефтегаза и сектора услуг.

Традиционно высокий уровень использования техники Malformed Request Line фиксируется в государственном секторе. Также заметен сильный всплеск использования атак типа Malformed Request Line в ИТ-отрасли июне 2024 года.

Приложение 2. Атаки на API, Confluence, Jira и OWA

Как было отмечено в аналитике выше, 2024 год отметился увеличением охвата веб-атаками онлайн-ресурсов организаций, в связи с чем ниже представлена аналитика по атакам на веб-приложения API, Confluence, Jira и OWA.

Средняя доля событий ИБ, зафиксированных на API, OWA, Jira, Confluence в рамках аналитики 57 организаций-клиентов сервиса WAF в 2023 году составляла 3%. В 2024 году эта доля увеличилась на 4 п.п., до 7%.

Доля ИБ-событий на API, OWA, Jira, Confluence

Доля событий ИБ на API, OWA, Jira, Confluence компаний из когорты, % в 2023 году
Доля событий ИБ на API, OWA, Jira, Confluence компаний из когорты, % в 2024 году

При этом количество событий ИБ на все веб-приложения этой когорты год к году вырос в 1,5 раза – до 41,2 млн штук в 2024 году.

Общее количество количество ИБ-событий API, OWA, Jira, Confluence, млн шт

2023 год
2024 год

Таким образом, веб-атаки на такие приложения, как API, OWA, Jira и Confluence опережают рост общего количества веб-атак на все веб-приложения анализируемых организаций. Это говорит о необходимости защиты WAF для всех приложений организаций, включая корпоративные ресурсы.

В частности, анализ группы из 18 приложений API, стоявших под защитой сервиса WAF, в 2023 и 2024 годах показывает рост количества веб-атак на API – в четыре раза год к году - до 39 млн. Существенно отличились в 2024 году март и август, что может быть связано с общим ростом числа атак на отрасль ритейла. В остальные месяцы показатели держались примерно на уровне второй половины 2023 года – 2 млн в месяц.

Количество веб-атак на группу компаний с API под защитой WAF в 2023 и 2024 годах

Количество веб-атак на API в 23 году, млн шт.
Количество веб-атак на API в 24 году, млн шт.

Отдельно отметим, что мы видим постоянный рост атак на API в отдельных организациях из сферы телекома, почтовых сервисов и ритейла. Подобные успешные атаки могут нарушить работу мобильного приложения организации с интернет-продажами. Именно поэтому мы рекомендуем компаниям защищать API посредством WAF, чтобы обеспечить бесперебойную работу веб-приложений и тем самым повысить лояльность пользователей, формируя положительный клиентский опыт.

№ Динамика 2024 года млн штук в месяц Порядковый номер месяца в 2024 году
1 2 3 4 5 6 7 8 9 10 11 12
1 API телеком оператора 1,449 2,044 2,959 2,685 2,709 2,160 2,402 5,502 1,412 2,777 0,116 0,051
2 API почтового сервиса 0,008 0,004 11,495 0,001 0,001 0,000 0,001 0,283 0,101 0,141 0,202 0,000
3 API №1 интернет магазина 0,000 0,000 0,000 0,000 0,000 0,000 0,000 0,000 0,000 3,152 0,000 6,305
4 API №2 интернет магазина 0,053 0,000 0,497 0,000 0,001 0,000 0,000 0,002 0,002 0,002 0,003 0,001
5 API №3 интернет магазина 0,074 0,058 0,332 0,000 0,001 0,000 0,063 0,001 0,001 0,001 0,001 0,001

Скачать отчет

Для получения бесплатной консультации заполните форму ниже и отправьте заявку. Наш менеджер свяжется с вами в ближайшее время.