Anti-DDoS: отчет о DDoS-атаках на онлайн-ресурсы российских компаний в 2025 году

Введение

2025 год сохранил ландшафт угроз для онлайн-ресурсов и показал изменения в поведении злоумышленников, которые по-прежнему считают своей целью нанесение ущерба онлайн-ресурсам российских компаний. Хакеры продолжают проводить DDoS-атаки, чтобы сделать онлайн-ресурсы недоступными для пользователей и тем самым нарушить работу компаний или государственных сервисов, но все чаще переходят на веб-атаки на особо крупные компании из критично важных для страны отраслей.

Эксперты ГК «Солар» подготовили отчет о том, как киберпреступники использовали DDoS-атаки в минувшем году. Аналитика составлена на основе данных об инцидентах, зафиксированных и отраженных сервисом Anti-DDoS платформы Solar MSS за январь — декабрь 2025 года. Учтена информация о массовых атаках на магистральную сеть, канальную инфраструктуру доступа к услугам, клиентское оборудование. Для отчета была проанализирована информация о более 700 компаниях из различных отраслей, включая ретейл, финансовый и государственный секторы. В основе сервиса Anti-DDoS лежит отечественное ПО группы компаний «Гарда».

Число отраженных DDoS-атак свидетельствует о тенденции к постепенному снижению общего количества атак год к году. Это обусловлено возросшим уровнем защиты и информационной безопасности компаний-клиентов. В связи с этим хакеры продолжают проводить DDoS, параллельно совершая и другие атаки, например уровня L7 (атаки на веб-приложения, от которых защитит сервис WAF – Web Application Firewall) и более сложные целенаправленные (APT-атаки).

Каким был DDoS в 2025 году

В данном разделе мы подробнее остановимся на атаках, зафиксированных и отраженных сервисом мониторинга трафика и защиты от DDoS-атак (Anti-DDoS). DDoS-атака — это действия злоумышленников, направленные на нарушение работоспособности инфраструктуры организации, ее порталов и веб-ресурсов. Хакеры искусственно создают нелегитимный трафик, чтобы сделать ресурсы недоступными для интернет-пользователей.

Количество DDoS-атак

Общее количество DDoS-атак, тыс. штук

2024
2025

В 2025 года сервис Anti-DDoS зафиксировал 665,3 тыс. DDoS-атак на российские компании — это на 11% больше, чем в аналогичном периоде 2024 года. На одну компанию в этот период приходилась 931 атака.

По нашему мнению, сегодня злоумышленники не готовы тратить ресурсы на DDoS-атаки, которые не выводят инфраструктуру жертвы из строя. Именно поэтому хакеры переходят на более сложные векторы — например, на веб-атаки уровня L7 с целью поиска уязвимостей.

Отдельно отметим, что хакеры, которые не смогли реализовать DDoS-атаку на ту или иную компанию, нередко переходят к более сложным атакам на веб-приложения, что уже может привести к утечке данных или взлому инфраструктуры. Такой тренд эксперты Anti-DDoS зафиксировали у 37% своих клиентов, пользующихся комплексной защитой от подобных киберугроз. При злоумышленники атакуют веб-приложения наиболее крупных компаний из критично важных для экономики страны отраслей — логистики, энергетической, транспортной и банковской сферы, госсектора. Однако порой хакеры по-прежнему используют DDoS как первый и самый простой способ на пути к взлому инфраструктуры — именно поэтому компаниям необходимо выстраивать комплексную защиту, в том числе и онлайн-периметра, от разных типов угроз.

Пик DDoS в 2025 году пришелся на март и cоставил 92,3 тыс. зафиксированных атак — тогда им чаще подвергались компании страхового сектора и кредитно-финансовой отрасли. Отметим, что 82% общего числа ударов на отрасль произошло в марте сразу после завершения переговоров США и Украины в Саудовской Аравии.

Большое количество DDoS-атак наблюдалось в сентябре, во время проведения Единого дня голосования (80,5 тыс. атак) и в мае (79,8 тыс. атак), когда были атакованы компании отрасли ИТ и телекома. Майские атаки связаны с празднованием в России 80-летия Победы в Великой Отечественной войне.

При этом максимальные по мощности атаки были зарегистрированы в августе и декабре 2025 года — о них речь пойдет в следующем разделе.

Мощность атак

Максимальная мощность атаки на клиентов ГК «Солар» в 2025 году достигла тех же значений, что и в 2024-м.

Максимальная мощность DDoS-атаки, Гбит/сек

2024
2025

Максимальная мощность DDoS-атаки, Mpps

2024
2025

Так, большое количество DDoS-атак было зафиксировано в августе. Один из пиков составил 1522 Гбит/сек, когда был атакован был один из телеком-операторов и инфраструктура информационных систем, задействованных в подготовке к Единому дню голосования. Второй по мощности пик пришелся на декабрь — тогда в преддверии новогодних праздников были атакованы телеком-операторы.

Отдельно отметим, что на майских праздниках был обновлен рекорд по мощности атаки – он достиг 11 Тбит/сек.

Средняя мощность DDoS-атаки, Гбит/сек

2024
2025

При этом средняя мощность атаки, приходящей на один объект мониторинга (сущность в ПО AntiDDoS, объединяющая защищаемые адреса, шаблон детектирования и шаблон защиты на один канал связи или одну подсеть клиента), снизилась и составила 607 Мбит/сек и 111 млн пакетов/сек (Mpps), что дополнительно говорит о снижении интереса хакеров к проведению мощных DDoS-атак на постоянной основе.

Атакованные отрасли

Лидером по общему количеству DDoS-атак в 2025 году по-прежнему является телеком-отрасль. При этом большая часть самых мощных атак приходилась на операторов, работающих на новых российских территориях и в Южном федеральном округе. Телеком-операторы всегда вызывали интерес у злоумышленников. Данной отрасли критично важна непрерывность процесса и стабильность соединения, которую хакеры стремятся нарушить, оказывая негативное влияние на жизнь граждан.

Также можно отметить стабильно высокое количество DDoS на ИТ-отрасль. Хакеры нередко атакуют более крупные компании через подрядчика, в роли которых нередко выступают IT-организации. Традиционный интерес злоумышленники проявляют и к федеральным органам исполнительной власти. К примеру, РОИВ находятся под постоянным прицелом хакеров — за отчетный период их онлайн-ресурсы были атакованы более 32,2 тыс. раз, именно поэтому они выделены в отдельную категорию.

Топ атакуемых отраслей в 2025 году

Топ атакуемых отраслей в 2024 году

Среднее число DDoS-атак на одну компанию по отраслям, 2025 год

Телеком
ИТ
Кредитно-финансовая отрасль
ФОИВ
РОИВ

Среднее число DDoS-атак на одну компанию по отраслям, 2024 год

Телеком
ИТ
Кредитно-финансовая отрасль
ФОИВ
РОИВ

Также хакеры наращивают интенсивность DDoS-атак на телеком и ИТ. Так, в среднем на одну телеком-компанию за отчетный период было совершено порядка 340 атак — это на 34% больше, чем в 2024 году. В ИТ прирост составил порядка 11% год к году — до 150 DDoS-атак на одну компанию.

География атак

Общее количество DDoS-атак в регионах за 2025 год, тыс. шт.

Общее количество DDoS-атак в регионах за 2024 год, тыс. шт.

Лидером по общему числу зафиксированных DDoS-атак в 2025 году традиционно является Москва, так как там сконцентрировано больше организаций из различных секторов экономики, находящихся под прицелом хакеров.

Второе место занял Приволжский федеральный округ — всего в регионе за отчетный период было зафиксировано и отражено 53,1 тыс. атак. Уральский федеральный округ, который в аналогичном периоде 2024 года был на втором месте, в 2025-м сместился на 3-е место с 51,7 тыс. атак. Сразу за ним следует Сибирь, на которую пришлось 51,6 тыс. По нашему мнению, вектор атак переместился в Поволжье из-за расположения в регионе большого количества промышленных предприятий оборонной отрасли, что является объектом интереса хакеров.

Среднее число DDoS-атак на одну компанию в регионах за 2025 год

Что касается среднего числа атак во всех регионах, то здесь мы фиксируем снижение интенсивности DDoS в разрезе одной компании. Единственным федеральным округом, где отмечается сохранение среднего числа атак на одну организацию, — остается Северо-Западный. Это обусловлено тем, что в регионе много компаний — лидеров в разработке полезных ископаемых и газодобывающей промышленности, которые также вызывают повышенный интерес у злоумышленников.

Векторы атак

Топ-5 типов DDoS-атак в 2025 году, тыс. шт.

Топ-5 типов DDoS-атак в 2024 году, тыс. шт.

В 2025 году лидируют топ-5 векторов: TCP SYN, UDP Flood, атаки на DNS и атаки фрагментированными пакетами. TCP ACK, лидирующий по атакам в 2022–2024 годах, спустился на пятое место в наиболее популярных типах атак.

Также сохранился тренд на мультивекторные DDoS-атаки, который включает в себя несколько типов атак одновременно. Злоумышленники во время подобной атаки могут менять протоколы, порты и IP-адреса, чтобы увеличить разрушительную силу ударов и обойти средства защиты.

1. TCP SYN. Это флуд, направленный на создание большого числа неполных соединений, что приводит к исчерпанию ресурсов сервера и его недоступности для легитимных пользователей. До 25% всех мощных DDoS-ударов в 2025 году реализовано с применением TCP SYN. Существенная их часть осуществлялась по одному и тому же шаблону с применением ботнет-сетей, а эффективность атаки напрямую зависела от распределения элементов ботнета. Такой флуд увеличивает нагрузку на инфраструктуру даже крупных компаний и может привести к росту продолжительности обработки легитимный соединений. Именно поэтому для защиты от SYN Flood необходима опытная экспертная команда.
2. UDP Flood. Атаки типа UDP Flood создают огромный объем UDP-трафика, направленного на исчерпание пропускной способности сети и перегрузку целевых серверов. UDP Flood остается популярным методом атак, особенно в контексте мультивекторных атак.
3. IP Fragmentation. Это разновидность DDoS-атаки, которая эксплуатирует процесс фрагментации IP-пакетов для перегрузки сетевого оборудования и нарушения работы сервисов.
4. Атаки на DNS. Направлены на перегрузку серверов. Один из наиболее известных типов — DNS Flood. В этом случае злоумышленники массово отправляют ложные DNS-запросы, истощая ресурсы сервера и замедляя его работу.
5. Amplification DNS. Злоумышленник посылает (обычно короткий) запрос уязвимому DNS-серверу, который отвечает на запрос уже значительно большим по размеру пакетом. Если использовать в качестве исходного IP-адреса при отправке запроса адрес компьютера жертвы (ip spoofing), то уязвимый DNS-сервер будет посылать в большом количестве ненужные пакеты компьютеру-жертве, пока полностью не парализует его работу.
6. Amplification L2TP — тип атак, при которых для усиления их мощности применяются уязвимости протоколов, работающих по UDP. L2TP — протокол туннелирования, и его уязвимости могут быть использованы злоумышленниками для реализации таких атак.

Выводы

• Эффективность DDoS-атак на клиентов «Солара» снижается – теперь хакеры все еще совершают точечные, довольно мощные атаки на отдельные компании. Какак правило, в период ярких геополитических событий или важных для страны мероприятий.
• Телеком, ИТ-сектор и кредитно-финансовая отрасль остаются в топе наиболее атакуемых отраслей как наиболее критичные отрасли, оказывающие значительное влияние на экономику страны и жизнь граждан.
• В целом хакеры переходят на более сложные атаки — к примеру, на веб-приложения, с помощью которых можно выявить уязвимости и проникнуть в инфраструктуру компании. Именно поэтому мы рекомендуем всем российским организациям внедрять эшелонированный подход к онлайн-защите (Anti-DDoS + WAF).