Как просчитать стоимость атаки для вашего бизнеса

Статистика 2024 года подтверждает, что хакеры направляют свои усилия на малый и средний бизнес, региональные компании. Например, в первом полугодии на организации Поволжья совершено на 47 тысяч DDoS-атак больше, чем в 2023 году. На сибирские компании — на 24 тысячи больше, на уральские — на 50 тысяч. В СМИ этой информации обычно нет — туда попадают в основном данные о масштабных атаках, затрагивающих социально значимые сервисы или крупные холдинги. О малых компаниях никто не говорит, но это не значит, что они в безопасности. Особенно уязвимы веб-ресурсы, поскольку они играют важную роль в продвижении бизнеса.

Один из распространенных видов атак — DDoS-атаки. Они происходят довольно часто, потому что их легко заказать и стоят они недорого. Например, стоимость простого HTTP-флуда продолжительностью 12 часов стартует от 7000 рублей. Получается, что «положить» сайт на 6 часов можно по цене ужина в кафе или не самого дорогого букета цветов. А вот убытки для бизнеса от DDoS-атаки будут ощутимыми. Это не только прямые потери, но и затраты на работу специалистов, которые займутся восстановлением сайта. Если атака произошла в нерабочее время (как чаще всего и бывает), то придется дополнительно оплачивать внеурочные. Бывает и так, что владельцы бизнеса долго не подозревают об атаке, думая, что сайт просто «тормозит», и пытаются решить проблему путем увеличения мощностей. А на это тоже нужны немалые средства.

В статье для примера рассчитаем стоимость DDoS-атаки на малый бизнес и расскажем, как защитить свой сайт с помощью доступного и простого в использовании сервиса — WEB AntiDDoS от Solar Space.

Как рассчитать стоимость DDoS-атаки на бизнес и оценить потери выручки

Для примера возьмем региональную пиццерию, которая принимает заказы через сайт. Исходные данные для расчета: выручка с веб-ресурса — 84 000 рублей в сутки, продолжительность атаки — 6 часов.

Считаем сумму недополученной прибыли:

• 84 000 / 24 = 3500 рублей выручки в час,
• 3500 × 6 = 21 000 рублей недополученной выручки за время атаки.

И это без учета затрат на восстановление работоспособности сайта.

Теперь сопоставим стоимость атаки на бизнес с ценой защиты. Для небольшого сайта пиццерии может быть достаточно минимального тарифа WEB AntiDDoS —1200 рублей в месяц. Это около 40 рублей в день. Значит, блокировка 6-часовой атаки обойдется примерно в 10 рублей. Эти расходы и так невелики, а в сравнении с возможными потерями из-за действий хакеров покажутся уж точно незначительными.

Влияние атак на маржинальность

Один из ключевых показателей бизнеса — маржинальность. Он помогает оценить рентабельность бизнеса, понять соотношение между маржой и прибылью. Маржа показывает, сколько денег у бизнеса остается «чистыми» после закупок всего необходимого, выплаты заработной платы сотрудникам, других текущих расходов.

Сначала рассчитаем маржу для пиццерии из примера выше:

• 2 520 000 руб. (месячная выручка компании от онлайн-продаж) − 850 000 руб. (переменные затраты на производство) = 1 670 000 рублей, маржа

Теперь рассчитаем маржинальность:

• 1 670 000 / 2 520 000 × 100% = приблизительно 66%

Если показатель маржинальности каждый месяц примерно одинаковый — бизнес работает стабильно, если падает — бизнес недополучает прибыль. В случае атаки из-за простоя сайта снизится выручка, а переменные затраты увеличатся, поскольку придется справляться с последствиями атаки — восстанавливать работоспособность сайта и его позиции в поисковой выдаче. Оба этих фактора повлияют на покрытие маржинальной прибылью постоянных расходов, что приведет к снижению маржинальности. Да, если включить в операционные издержки стоимость защиты, показатель маржинальности тоже снизится. Но ненамного — по сравнению с тем, что будет без защиты.

Что повлияет на маржинальность, если защиты нет:

1. Затраты на восстановление работоспособности сайта, включая ресурсы ИТ-специалистов, возможное привлечение консультантов и т. д.
2. Регулярно повторяющиеся атаки, особенно в период праздников. Конкуренты могут понять, что компания уязвима, и постоянно заказывать атаки.

Резюмируем — если рассчитать стоимость DDoS-атаки на бизнес и оценить последствия, будет видно, что важные финансовые показатели могут пострадать в долгосрочной перспективе. На высококонкурентных рынках это особенно критично.

Увеличение затрат на рекламные кампании в случае атаки

В стоимость атаки для бизнеса также стоит закладывать неэффективные расходы на рекламу. Например, бизнес запускает кампанию, а сайт тормозит из-за DDoS-атаки или не загружается при клике по рекламному объявлению. Получается, что как минимум часть рекламных бюджетов тратится впустую на привлечение трафика, который не конвертируется из-за недоступности или медленной работы сайта.

Некоторые каналы диджитал-продвижения, например Яндекс, можно «поставить на стоп», пока сайт недоступен. Что в этом случае будет с другими каналами:

• SEO-оптимизация. Если роботы поисковых систем придут на сайт, пока он не работает, то индексация контента задержится, что повлияет на позиции ресурса в выдаче.
• Email-маркетинг. Клиенты получат письма с предложениями, но не смогут перейти на сайт и совершить покупку.
• Прямая реклама на различных сайтах или в блогах. Объявления там будут показываться вне зависимости от того, работает сайт или нет. Он может не открыться у тех, кто заинтересуется рекламой и перейдет по ссылке.

В целом атака существенно повлияет на реализацию маркетинговой стратегии. Компания рискует потерять не только рекламный бюджет, но и репутацию.

Какие еще расходы может понести бизнес из-за DDoS-атаки

Помимо недополученной прибыли DDoS-атака может привести к следующим расходам:

• Наращивание мощностей: покупка сетевых ресурсов и серверов, расширение каналов. Обычно организации прибегают к этой мере, если атака длится неделями и просто замедляет сайт. Владельцы компаний думают, что проблема в сервере, который не справляется с нагрузкой, или в недостаточной ширине интернет-канала и пытаются решить эти вопросы, упуская из вида злоумышленную активность.
• Оплата труда специалистов, которые занимались устранением атаки и нейтрализацией последствий. Если сотрудники работали ночью или в выходные, придется заплатить еще и внеурочные.
• Затраты на консалтинг, аудит безопасности и работу ИБ-специалиста, если бизнес не в силах самостоятельно справиться с атакой.
• Покупка средств защиты. Обычно компании рассматривают не только защиту от DDoS-атак, но и файерволы, настраивают на них различные правила, которые будут применяться при превышении определенных показателей.
• Установка систем мониторинга и предупреждения. Они нужны для постоянного контроля работоспособности интернет-ресурса, особенно если в штате нет администратора. Без таких систем собственник бизнеса может даже не узнать, что сайт под атакой.
• Выплата компенсаций, если, например, клиент оплатил онлайн-подписку, а сервис был недоступен из-за атаки.

Анализ и прогнозирование рисков атаки

Любая компания, которая представлена в интернете, рискует оказаться под атакой. И очевидно, что без внедрения хотя бы элементарных методов защиты потери для бизнеса будут ощутимыми. Однако некоторые компании, даже подсчитав убытки для бизнеса от DDoS-атаки, все равно не спешат ставить сайт на защиту. Они оценивают риски и понимают, что несколько часов простоя веб-ресурса существенно не повлияют на прибыль и финансовые показатели.

Тем не менее стоит учитывать резкий рост более серьезных атак, которые приводят к взлому сайта и утечкам конфиденциальных данных. По данным аналитиков «Солара», 54% атак на российские компании в 2024 году были совершены с целью шпионажа и похищения конфиденциальной информации.

DDoS-атака в этом случае часто становится прикрытием. Пока владельцы бизнеса решают очевидную проблему и пытаются «реанимировать» веб-ресурс, хакеры успевают завладеть информацией, внедрить вредоносный код, перехватить управление сайтом, зашифровать данные. Если в результате таких атак «утекли» персональные данные пользователей, компании придется заплатить штраф. При неоднократных повторах таких инцидентов штрафы будут начисляться от суммы годового оборота, а это уже весомые цифры.

Большие компании понимают риски, поэтому для них использование средств защиты информации становится очевидной необходимостью. Малому и среднему бизнесу пока еще приходится выбирать между кибербезопасностью и более привычными статьями расходов, поскольку внедрение ИБ-решений может обойтись недешево.

Покупать оборудование и разворачивать кастомизированные решения на своей стороне — действительно затратно и нецелесообразно для небольших организаций. В этом случае стоит обратить внимание на облачные сервисы по подписке, такие как WEB AntiDDoS, который можно подключать даже под атакой. Для него не нужно устанавливать оборудование и привлекать технических специалистов.

WEB AntiDDoS непрерывно мониторит трафик, проводит технический и статистический анализ, блокирует подозрительную активность, чтобы веб-ресурс работал без перебоев. Сервис подключается онлайн в личном кабинете. Там же можно контролировать трафик: отслеживать аномальные всплески, видеть количество заблокированных запросов, фиксировать источники трафика.