Ключевые внешние цифровые угрозы для российских компаний в I-III кварталах 2025 года

Оглавление

• Об отчете
• О сервисе Solar AURA
• Утечки данных
• Антифишинг
• Противодействие дропам
• Выводы

Об отчете

Отчет составлен на основе данных DRP-сервиса мониторинга внешних цифровых угроз Solar AURA ГК «Солар». Аналитика базируется на результатах мониторинга публичных и закрытых сегментов интернета по клиентам и пилотным проектам центра Solar AURA:

• 1,2 млн+ доменных имен и выданных SSL-сертификатов (пул источников динамически обновляется каждые сутки);
• более 2500 Telegram-каналов противоправной тематики и даркнет-форумов;
• 50 млн DNS-запросов в сутки.

Отчетный период включает январь – сентябрь 2025 года.

О сервисе Solar AURA

Сервис Solar AURA включает одиннадцать модулей, которые можно подключить отдельно или в комплексе:

• «Антифишинг» — обеспечивает полный цикл противодействия фишингу: от выявления доменных имен и интернет-ресурсов, которые могут быть использованы в противоправных действиях в отношении заказчика или от его имени, и до реализации комплекса мер по оперативной блокировке подобных ресурсов.
• «Утечки» — помогает оперативно выявлять факты компрометации чувствительной для компании информации в публичных источниках.
• «Услуги» — отслеживает сообщения о махинациях и готовящихся атаках, объявления о вербовке сотрудников, предложения о продаже конфиденциальных данных, запросы на компрометацию инфраструктуры и другие публикации о нелегальных услугах, затрагивающих компанию.
• «Инфраструктура» — осуществляет непрерывное обнаружение новых или некорректно выведенных из эксплуатации информационных активов, что позволяет снизить риски, связанные с теневым IT.
• «Бренд компании» — выявляет широкий перечень нарушений, затрагивающих бренд компании: от фейковых страниц в соцсетях и мессенджерах до мобильных приложений, использующих название и логотип организации или ее продукты. Обеспечивает юридическое сопровождение в целях предотвращения неправомерного использования объектов интеллектуальной собственности.
• «Юрлица» — предоставляет информацию о юридических лицах, выставленных на продажу на специализированных площадках и потенциально используемых для совершения противоправных действий.
• «Личный бренд» — отслеживает появление фейковых личных аккаунтов в соцсетях, случаи компрометации личных и корпоративных учетных данных, оценивает информационный фон вокруг персоналий компании, фиксирует появление негативных или компрометирующих публикаций.
• «Медиаполе» — выявляет в открытом доступе публикации, способные негативно повлиять на информационную или экономическую безопасность компании, в частности сведения об используемых средствах защиты информации, регламентах работы, особенностях ИТ-инфраструктуры и т. п.
• «Антидроп» — обнаруживает факты использования интернет-эквайринга банка, банковских карт, а также привязанных к счетам номеров телефонов для оплаты запрещенных в РФ услуг; собирает сведения о банковских картах, используемых при отмывании или обналичивании нелегальных денег; мониторит сайты с интернет-эквайрингом защищаемого банка на соответствие заявленному виду деятельности; предоставляет сведения для проверки контрагентов.
• «Тренды» — осуществляет поиск в более 2500 Telegram-каналах и чатах тексты противоправной тематики по произвольным словам и отслеживает появление новых сообщений по сохраненным шаблонам.
• «Резюме» — мониторит популярные площадки по поиску работы, отслеживает появление новых резюме, в которых компания клиента указана в качестве текущего работодателя, и предоставляет общие данные об их содержании.

Утечки данных

За 9 месяцев 2025 года количество инцидентов – сообщений об утечках баз данных российских компаний, включая случаи их публикации в открытом доступе, уменьшилось на 17% по сравнению с аналогичным периодом прошлого года. А вот количество опубликованных строк данных, напротив, выросло почти в два раза год к году. Разберем детали и проанализируем тенденции.

С января по сентябрь 2025 года центр мониторинга внешних цифровых угроз Solar AURA зафиксировал 573 публичных инцидента, затронувших российские компании. В 2024 году таких случаев было 686. Впрочем, не все из них привели к публикации утекших данных. И тут мы видим еще более существенный спад: 289 случаев против 479 в 2024 году, что в полтора раза меньше год к году.

В январе-сентябре 2025 года в сеть попало 2,6 млрд строк данных, в то время как в аналогичном периоде 2024 года – всего 821 млн. По этому показателю 9 месяцев 2025 года уже почти вдвое опережают весь прошлый год с 1,4 млрд строк. Впрочем, такой перекос явился следствием двух сентябрьских инцидентов, достоверность которых в полной мере не подтверждена. Важно отметить, что данная статистика не учитывает возможные повторы данных, а речь идет лишь об общем количестве опубликованных или заявленных утечек. Также это не означает, что каждая строка данных содержит персональные данные какого-либо человека. Как правило, утечки представляют собой массивы технической информации, которая не затрагивает конкретную персону, но способна повлиять на бизнес-процессы или функционирование организации в целом.

Объем утекших данных в 2025 году еще более внушителен, чем в 2024: 748 терабайт против 5,4 терабайта. Однако, следует учитывать, что основу объема составляют не базы данных, а различная неструктурированная информация: архивы и сканы документов, фотографии, видеофайлы.

Давайте теперь разберем, какие персональные данные утекают чаще всего. Анализ фамилий и имен в данном случае не дает полной картины. Во многих базах такой информации не содержится, к тому же не будем забывать о миллионах однофамильцев. Поэтому будем опираться на универсальные идентификаторы 21-го века: телефон и электронную почту.

Как и в аналогичном периоде прошлого года, количество номеров телефонов, попавших в утечки данных, превышает количество адресов электронной почты. С начала года в открытый доступ попало 207 млн адресов электронной почты и 287 млн телефонов, разрыв составляет 36%. В прошлом же году число обнаруженных в утечках номеров телефонов превышало e-mail-адреса в 3,2 раза.

Данная статистика говорит о том, что в современных условиях не стоит сравнивать данные с аналогичным периодом прошлого года и делать из этого поспешные выводы. Сервис Solar AURA ежедневно фиксирует от 2 до 5 публичных инцидентов в российском сегменте сети интернет. Это демонстрирует крайне высокую интенсивность успешных атак, поэтому снижение числа инцидентов в каком-либо месяце или временном периоде не должно «расслаблять» российские компании.

Отметим, что изменилось распределение утечек по отраслям в первом полугодии 2025 года. На первый план по количеству строк утекших данных вышел государственный сектор – это обусловлено тем, что текущая внешнеполитическая обстановка подразумевает массированные атаки на органы управления государством. Впрочем, и тут есть нюанс. С начала года в сети было опубликовано несколько огромных баз, якобы имеющих отношение к утечкам из государственного сектора. Однако после проверки экспертами Solar AURA выяснилось, что эти «утечки» представляют собой компиляцию данных из множества источников за последние несколько лет.

А вот то, что в список пяти наиболее атакуемых отраслей вошли ритейл, сфера услуг, а также соцсети, блоги и форумы, сомневаться не приходится. В ритейле и сфере услуг всегда много организаций, в том числе и небольших – далеко не все из них уделяют ресурсы на ИБ. В свою очередь, блоги и форумы часто фигурируют в логах (записи действий пользователей в системах, которые помогают выявлять и расследовать кибератаки) с программ-стилеров, предназначенных для кражи данных пользователей и компаний. А вот спорт и игровая индустрия совсем не были затронуты. Интересно, что в 2025 году был зафиксирован всего один инцидент, затронувший службы доставки – уже два года как мы не видим значимых утечек в этой отрасли.

Антифишинг

За 9 месяцев 2025 года количество фишинговых сайтов, выявленных сервисом Solar AURA, увеличилось в 1,5 раза в сравнении с аналогичным периодом прошлого года.

Основную массу выявляемых фишинговых ресурсов составили фейковые сайты маркетплейсов, инвестиционных платформ, формы входа на сервисы различных госпорталов и вспомогательные ресурсы телефонных мошенников для сбора персональных данных россиян.

Главные тренды мошенников в фишинге выглядят следующим образом:

• Использование внебрендовых доменов, не имеющих сходства с адресами сайтов копируемых брендов. Это может быть связано с активной рассылкой ссылок на фейковые сайты в мессенджерах – при их открытии жертва просто не видит адресную строку, поэтому нет необходимости регистрировать схожий домен. Сегодня доля таких доменов превышает 70%.
• Многократная переадресация пользователя. Прежде чем попасть на фейковую страницу, потенциальную жертву несколько раз переадресовывают на другие домены, чтобы притупить ее внимание и обеспечить стабильное функционирование схемы в условиях постоянной блокировки фишинговых ресурсов. При этом цепочка ссылок для переадресации формируется динамически, исключая уже не действующие домены и заменяя их новыми.
• Использование поведенческого анализа потенциальной жертвы. В зависимости от того, как жертва реагирует на те или иные события или подаваемую ей информацию, мошенники корректируют сценарий беседы прямо в ходе общения, что увеличивает шансы на обман пользователя.
• Создание доменов 3-4 уровней. Злоумышленники используют «фишинговые комбайны» — нелегальные сервисы, позволяющие автоматически генерировать фальшивые страницы под разные бренды. Злоумышленники прибегают к таким уловкам для автоматизации работы, затруднения обнаружения фишинговых ссылок, снижения финансовых и трудозатрат.

Противодействие дропам

В 2025 году мы в Solar AURA переосмыслили систему выявления платежных средств и инструментов, используемых для отмывания денег и вывода средств, полученных незаконным путем. Теперь эксперты выявляют не только мерчантов и банковские карты, которые используются в сомнительных финансовых активностях, но и номера телефонов, привязанные к банковским аккаунтам или СБП.

• За 9 месяцев 2025 года эксперты Solar AURA выявили 250 тысяч случаев использования интернет-эквайринга или карт дропов, и зафиксировали более 85 тысяч телефонных номеров, с помощью которых осуществлялся незаконный прием денег.
• Всего же в нашей базе на данный момент находится более 339 тысяч карт дропов и более 102 тысяч телефонов. Сведения классифицируются по банкам, что позволяет оперативно информировать кредитные организации о возможных угрозах.

Выводы

• Количество фишинговых сайтов, выявленных сервисом, за 9 месяцев 2025 года выросло в 1,5 раза. Большая часть из них приходится на фейковые сайты маркетплейсов, инвестиционных платформ, формы входа на сервисы различных госпорталов и вспомогательные ресурсы телефонных мошенников;
• Злоумышленники для создания фишинговых сайтов все чаще используют домены, не похожие на адреса сайтов копируемых брендов – возможно, на фоне активных рассылок фейковых сайтов через мессенджеры, где потенциальная жертва не видит адресной строки.
• Утечки, несмотря на снижение количества сообщений об утечках баз данных российских компаний, все еще остаются серьезной угрозой для российских компаний – сервис Solar AURA ежедневно фиксирует от 2 до 5 сообщений об утечках в Рунете;
• Только половина инцидентов, связанных с утечками, приводит к публикации баз данных. При этом часть из них нередко оказывается компиляцией данных из более старых утечек, что говорит об активности участии хакеров в информационной войне. Для снижения уровня угрозы необходим консолидированный подход к выстраиванию киберзащиты со стороны государства, общества и бизнеса.