Кіберзлочинність давно перестала бути справою одинаків-ентузіастів. Сьогодні це багатомільярдна тіньова економіка з власною спеціалізацією професій, маркетплейсами в стилі Amazon, відгуками клієнтів і навіть «технічною підтримкою». За оцінкою Cybersecurity Ventures, у 2025 році збитки від кіберзлочинів у світі сягають близько 10,5 трлн доларів — це більш ніж утричі перевищує показник 2015-го. У цьому матеріалі — як працює тіньовий ринок кіберзлочинності, скільки коштують вкрадені дані українців і чому війна робить нас особливо вразливими.

Від «магазинів вкрадених карток» до екосистеми «злочин як послуга»

Ще кілька років тому тіньові ринки сприймалися здебільшого як торгові майданчики для викрадених банківських карток і піратського ПЗ. Сьогодні картина принципово інша: ринок став модульним і спеціалізованим. За даними звіту KELA «State of Cybercrime 2026», у 2025 році в підпільному обігу перебувало щонайменше 2,86 млрд скомпрометованих облікових даних — від паролів і файлів cookie до повних «логів» інфостілерів, що містять усю цифрову особистість користувача.

Дослідники Constella підрахували, що лише за 2025 рік було оброблено 51,7 млн «пакетів» інфостілерів, які походили з 24,8 млн унікальних інфікованих пристроїв. Усередині — близько 2,3 млрд викрадених паролів. А американський Internet Crime Complaint Center (IC3) при ФБР зафіксував, що сумарні втрати від кіберзлочинів у 2025 році в США перевищили 20,9 млрд доларів — на 26% більше, ніж роком раніше.

Принципова зміна — у самій бізнес-моделі. Якщо раніше один зловмисник міг сам зламувати, сам красти й сам продавати, то сьогодні ринок повністю розділений на ролі: розробники шкідливого програмного забезпечення, оператори ботнетів, «ініціатори загроз», що отримують первинний доступ до мереж, оператори програм-вимагачів, відмивачі криптовалюти. Цей підхід отримав назву Cybercrime-as-a-Service (CaaS) — кіберзлочин як послуга.

Скільки коштують ваші дані: ціни тіньового ринку у 2025–2026 роках

За даними щорічного звіту SOCRadar та аналітичних публікацій Privacy Affairs і Trustwave SpiderLabs, середні ціни на вкрадені дані у тіньовому сегменті 2025 року виглядають так:

• базові персональні дані (номер телефону, адреса, e-mail) — від 1 долара;
• номер соціального страхування США (SSN) — приблизно 1–6 доларів;
• викрадена банківська картка без CVV — близько 10 доларів;
• картка з CVV — 10–40 доларів, з високим балансом (від 5 000 доларів) — до 120 доларів;
• зламаний акаунт PayPal або Revolut — у середньому близько 100 доларів;
• верифікований акаунт Kraken із криптовалютою — понад 1 100 доларів;
• повні медичні записи — 250–310 доларів за запис;
• DDoS-атака на замовлення — від 20 доларів;
• підписка на інфостілер (malware-as-a-service) — від 15 доларів на місяць;
• кастомна фішингова сторінка — 50–2 000 доларів;
• експлойт нульового дня (zero-day) — до 150 000 доларів і вище.

Окрема й найдорожча категорія — корпоративні доступи. За даними Rapid7, у другій половині 2025 року середня ціна лоту від «ініціатора загроз» (Initial Access Broker) зросла з приблизно 2 726 доларів у 2024-му до понад 113 000 доларів. Йдеться про повний адміністративний доступ до мережі великої компанії, що дозволяє покупцеві — як правило, оператору програми-вимагача — одразу переходити до фінальної стадії атаки.

Як виглядає сучасний даркнет-маркет: рейтинги, відгуки, «чорна п’ятниця»

Сучасні тіньові ринки візуально й функціонально майже не відрізняються від легальних e-commerce-платформ. Зловмисники мають свої рейтинги продавців, відгуки покупців, систему ескроу-платежів (умовного депонування коштів до підтвердження покупки), розділи «поширені запитання», іноді — навіть live-чат із «технічною підтримкою». Періодично з’являються «акції», «купони знижок» і сезонні розпродажі — для імітації звичного клієнтського досвіду.

Оплата майже завжди відбувається у криптовалюті. Bitcoin усе ще використовується для виплат викупу за програмами-вимагачами, але для розрахунків на самих маркетплейсах злочинці все частіше переходять на Monero — через вбудовану анонімність транзакцій. За даними звіту Chainalysis «2025 Crypto Crime Report», близько 63% усього нелегального обігу криптовалют у 2025 році припадає на стейблкоїни, передусім USDT.

Russian Market та інфостілери: чому крадені облікові дані опиняються в продажу за 48 годин

Окрему й болючу для українців роль відіграє маркетплейс під назвою Russian Market. За оцінкою компанії Rapid7, у 2026 році це найбільший у світі майданчик для торгівлі «логами» інфостілерів — пакетами даних, які зловмисне ПЗ викрадає з інфікованого комп’ютера: збережені паролі браузерів, файли cookie сесій, дані автозаповнення форм, гаманці криптовалют. Російські злочинні форуми XSS та Exploit залишаються основними майданчиками для пошуку партнерів, попри періодичні правоохоронні втручання — зокрема у липні 2025 року XSS втратив адміністратора в результаті спецоперації.

Дослідження Whiteintel, опубліковане в березні 2026 року, описує типовий шлях вкрадених даних: від моменту зараження пристрою до появи облікових даних на маркеті проходить менш ніж 48 годин. У багатьох випадках — суттєво менше. Логи свіжих заражень (24–48 годин) продаються з преміальною надбавкою саме тому, що сесійні токени ще не встигли застаріти й дозволяють обійти двофакторну автентифікацію.

Згідно з звітом Verizon Data Breach Investigations Report 2025, 54% жертв атак програм-вимагачів виявили свої корпоративні облікові дані в логах інфостілерів ще до самої атаки. Тобто доступ було продано — а вже потім ним скористалися.

Найпоширеніші інфостілери, логи яких зараз можна знайти на тіньових ринках: Lumma (донедавна — лідер ринку, доки в травні 2025 року правоохоронні органи не вилучили його інфраструктуру), Acreed (швидко зайняв звільнену нішу — за оцінками Bitsight, до середини 2026 року кількість його логів зросла зі сотень у березні 2025 року до понад 118 000 у червні), а також Vidar, Stealc, Rhadamanthys, RedLine, Raccoon.

Ініціатори загроз і RaaS: як працює конвеєр сучасних атак

Ініціатори загроз (Initial Access Brokers, IABs) — це спеціалізована «професія» на тіньовому ринку. Їхня єдина задача — отримати первинний доступ до корпоративної мережі (через фішинг, експлуатацію вразливостей, перебір паролів або купівлю логів інфостілерів) і продати цей доступ далі. За даними дослідницької компанії Intel 471, у період з червня 2024 по травень 2025 року зафіксовано щонайменше 70 кореляцій між лотами IAB-брокерів і подальшими атаками програм-вимагачів. Середній час між появою оголошення про доступ і фактичною атакою — лише близько 19 днів.

Найактивніші групи програм-вимагачів, які закуповують доступи: Play, RansomHub, Everest, Medusa, Sarcoma. Ця модель «розподілу праці» отримала назву Ransomware-as-a-Service (RaaS): розробники створюють шкідливе програмне забезпечення й здають його в оренду «афілійованим партнерам», а ті, своєю чергою, купують доступ до конкретних компаній у брокерів. Прибуток ділиться у відсотках — як у звичайній партнерській програмі.

Що цікаво, у березні 2026 року американський суд виніс вирок російському «ініціатору загроз» Олексію Волкову із Санкт-Петербурга — 81 місяць ув’язнення. Волков, відомий під ніком chubaka.kor, продавав доступи групам Yanluowang та іншим. Його затримали в Римі та екстрадували до США. Це один із небагатьох прецедентів, коли «архітектора» сучасних атак вдалося реально притягнути до відповідальності.

Великі операції правоохоронців: чи вдається перемагати?

Останні роки принесли кілька гучних міжнародних операцій, які показали: тіньовий ринок не є безкарним.

• Operation Cronos (лютий 2024)— спільна операція 10 країн на чолі з Національним агентством злочинності Великої Британії (NCA), ФБР та Європолом. Інфраструктуру однієї з найвпливовіших груп програм-вимагачів LockBit було захоплено, а її лідер Дмитро Хорошев («LockBitSupp») із росії — публічно деанонімізований. Заарештовано 200 криптогаманців і 34 сервери; затримано трьох співучасників у Польщі та Україні. Уряд США оголосив винагороду в 10 млн доларів за інформацію, що приведе до арешту Хорошева.
• Operation Endgame (травень 2024)— за даними Європолу, найбільша в історії операція проти ботнетів. Вилучено понад 100 серверів, що обслуговували завантажувачі шкідливого ПЗ IcedID, Pikabot, Trickbot, Bumblebee, SmokeLoader та SystemBC. У 2025 році проведено серію подальших арештів — уже клієнтів цих сервісів, дані яких знайшли в захопленій базі.
• Захоплення BreachForums (травень 2024)— ФБР перехопило контроль над форумом, де роками публікували й продавали бази даних великих витоків. Сам форум кілька разів відроджувався, але остаточно розпався протягом 2024–2025 років. У судових документах Міністерства юстиції США згадуються 888+ викрадених датасетів і 14+ мільярдів записів, що там обертались.
• Знищення LummaC2 (травень 2025)— у скоординованій операції вилучено понад 2 300 доменів, які обслуговували найпопулярніший на той момент інфостілер. До цього на LummaC2 припадало близько 92% усіх логів на Russian Market.

Втім, фахівці з компанії Cognyte застерігають: ці успіхи не означають перемоги. Замість одного знищеного гравця з’являється кілька дрібніших. Ринок став більш фрагментованим, а отже — складнішим для моніторингу. Уже через кілька днів після кожної великої операції постачальники й покупці мігрують на запасні майданчики, як це сталося з TorZon і Nemesis після обвалу Abacus Market у середині 2025 року.

Що це означає для українців: ціна вашої цифрової особистості в умовах війни

Для України тіньовий ринок кіберзлочинності — це не абстрактна проблема. Це передовий край гібридної війни.

Згідно зі звітом ESET за Q2–Q3 2025, російська група Sandworm (пов’язана з ГРУ) продовжує систематичні атаки програм-знищувачів даних (wiper) на українські державні установи, енергетику, логістику і — що стало новою тенденцією 2025 року — на зерновий сектор як основне джерело валютних надходжень. Використовуються wipper-програми ZEROLOT і Sting.

У травні 2025 року дослідники ESET зафіксували атаку, в якій угрупування, назване InedibleOchotense, видавало себе за саму компанію ESET: українським організаціям розсилали спірфішингові листи й повідомлення в Signal із посиланнями на нібито офіційні інсталятори ESET, які насправді містили бекдор Kalambur (SUMBUR).

Державна служба спеціального зв’язку та захисту інформації України (Держспецзв’язку) повідомила, що в першій половині 2025 року зафіксувала 3 018 кіберінцидентів — на 17% більше, ніж у другому півріччі 2024-го. Атаки на місцеві органи влади та військові структури зросли особливо помітно.

Окрема загроза для українських користувачів — те, що частина російськомовних маркетів буквально торгує доступом до українських сервісів, акаунтів і навіть інфраструктури. Логи інфостілерів із заражених у 2022–2025 роках українських комп’ютерів досі циркулюють у продажу. Це означає, що пароль, який ви зберегли в браузері три роки тому, теоретично все ще може бути «свіжим товаром» на тіньовому ринку.

ШІ як новий інструмент: фішинг і дипфейки на потоці

Окрема тривожна тенденція 2025–2026 років — масштабне впровадження генеративного ШІ в арсенал кіберзлочинців. За даними IBM Threat Intelligence Index, кількість шкідливого ПЗ, доставленого через фішингові листи, у 2025 році зросла на 84% порівняно з попереднім роком — значною мірою завдяки автоматизованій генерації переконливих текстів.

Зловмисники використовують ШІ для створення фішингових листів без характерних граматичних помилок, для адаптації повідомлень під конкретну жертву (так званий spear-phishing), для генерації дипфейкових голосових і відео-повідомлень. Окремий бізнес-сегмент на тіньовому ринку — «комплекти дипфейк-особистостей» для фінансового шахрайства й обходу процедур верифікації.

Як захиститися: базовий мінімум для пересічного користувача

Хороша новина: попри ускладнення тіньового ринку, базова гігієна цифрової безпеки залишається ефективною проти переважної більшості атак. Ось мінімум, який варто дотримуватися.

• Використовуйте менеджер паролів і унікальні складні паролі для кожного сервісу. Якщо одне зі сховищ зливається — постраждає лише один акаунт, а не вся ваша цифрова особистість.
• Увімкніть багатофакторну автентифікацію всюди, де це можливо. Бажано — через застосунок-автентифікатор або апаратний ключ, а не через SMS.
• Переходьте на ключі доступу (passkeys) там, де це підтримується. Вони стійкі до фішингу й крадіжки облікових даних інфостілерами.
• Регулярно оновлюйте операційну систему й програмне забезпечення. Більшість успішних атак експлуатує вразливості, для яких уже існують патчі.
• Встановіть надійне антивірусне рішення. Для українських користувачів окрема рекомендація: НЕ використовуйте антивіруси російського походження (Kaspersky, Dr.Web), оскільки вони є джерелом ризиків як для приватності, так і для національної безпеки. Серед перевірених альтернатив — ESET (Словаччина, має офіційне представництво в Україні).
• Не зберігайте чутливі паролі (банкінг, корпоративна пошта, криптогаманці) у браузері. Саме ці дані — основна ціль інфостілерів.
• Будьте критичними до листів і повідомлень із посиланнями, навіть якщо вони здаються офіційними. Російські угрупування періодично видають себе за відомі компанії, включно з Microsoft та Google.
• Регулярно перевіряйте свої e-mail-адреси на сервісах Have I Been Pwned, щоб дізнаватися про потрапляння ваших облікових даних у відомі витоки.
• Не намагайтеся «зайти на даркнет із цікавості». Це не цікава екскурсія, а потенційно небезпечне середовище з шкідливим ПЗ, шахрайськими сторінками й наглядом правоохоронних органів — що погано закінчується для випадкових туристів.

Висновок: чому інформованість важлива більше, ніж будь-коли

Тіньовий ринок кіберзлочинності за останнє десятиріччя пройшов шлях від примітивних форумів до повноцінної підпільної ІТ-індустрії з власною спеціалізацією, фінансовими потоками й корпоративною культурою. Він став дорожчим, складнішим, географічно розмазаним — і водночас доступнішим для входу: підписку на інфостілер сьогодні може купити навіть підліток за 15 доларів.

Боротьба з цією індустрією потребує спільних зусиль урядів, правоохоронців, виробників технологій безпеки й кожного користувача окремо. Великі операції на кшталт Cronos та Endgame показують, що це можливо. Але водночас вони ж демонструють: ринок надзвичайно адаптивний, і кожна знищена платформа замінюється кількома меншими.

Для України, яка перебуває в стані повномасштабної війни, ставка особливо висока: наші персональні й корпоративні дані — це не просто товар на тіньовому ринку, а потенційний інструмент у руках ворога. Тому елементарні правила цифрової гігієни сьогодні — це не параноя, а внесок у безпеку країни.

Ця стаття Вкрадені дані, доступи до серверів і RaaS-сервіси: як влаштований сучасний тіньовий ринок кіберзлочинності раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Німецька федеральна кримінальна поліція (BKA) розкрила особу хакера, відомого під псевдонімом UNKN (або UNKNOWN), який очолював два найвідоміші російські ransomware-угруповання — GandCrab та REvil. Ним виявився 31-річний росіянин Данііл Максимович Щукін з Краснодара.

Звинувачення та масштаби збитків

За даними BKA, Щукін разом з іншим росіянином — 43-річним Анатолієм Сергійовичем Кравчуком — здійснив не менше 130 кібератак і актів комп’ютерного саботажу проти жертв у Німеччині в період з 2019 по 2021 рік. У рамках двох десятків атак зловмисники вимагали і отримали загалом близько 2 мільйонів євро, а сукупні економічні збитки перевищили 35 мільйонів євро.

Ім’я Щукіна фігурує також у поданні Міністерства юстиції США від лютого 2023 року щодо конфіскації криптовалютних рахунків, пов’язаних з доходами від діяльності REvil. Цифровий гаманець, пов’язаний зі Щукіним, містив понад 317 000 доларів у криптовалюті, отриманій злочинним шляхом.

GandCrab: піонери подвійного здирництва

Партнерська програма ransomware GandCrab вперше з’явилася у січні 2018 року. Вона виплачувала хакерам-партнерам значну частку прибутку за злам корпоративних мереж і акаунтів великих компаній. Команда GandCrab потім розширювала отриманий доступ, викрадаючи великі масиви внутрішніх документів. За час існування угруповання розробники випустили п’ять основних версій шкідливого ПЗ з новими функціями для обходу антивірусних рішень.

31 травня 2019 року GandCrab оголосив про припинення діяльності, заявивши, що вимагачі загалом здобули понад 2 мільярди доларів від жертв по всьому світу. Прощальне повідомлення групи містило цинічне вихваляння: «Ми — живий доказ того, що можна робити зло і залишитися безкарним».

REvil: еволюція в «машину для полювання на великих»

Партнерська програма ransomware REvil з’явилася приблизно одночасно з розпуском GandCrab. Її фронтменом став користувач під ніком UNKNOWN, який на одному з російських кіберзлочинних форумів продемонстрував серйозність намірів, розмістивши 1 мільйон доларів в ескроу. На той час більшість фахівців із кібербезпеки вже дійшли висновку, що REvil — це фактично реорганізований GandCrab.

В інтерв’ю аналітику Recorded Future Дмитру Смілянцю UNKNOWN описав своє життя у стилі «з багна в мільйонери»: «У дитинстві я рився в смітті і підбирав недопалки. До школи ходив 10 км пішки. Носив одні й ті ж речі шість місяців. У комунальній квартирі не їв два або навіть три дні. Зараз я мільйонер».

Як описано в книзі Рене Дадлі та Деніела Голдена «The Ransomware Hunting Team», REvil реінвестував значну частину злочинних доходів у розвиток і вдосконалення своєї інфраструктури, копіюючи практики легального бізнесу: залучав вузьких спеціалістів, наймав підрядників для окремих завдань — від обходу антивірусів до «відмивання» виплат через біткоїн-мікшери.

Угруповання перетворилося на потужну машину для атак на великий бізнес, зосередившись переважно на організаціях з річним доходом понад 100 мільйонів доларів, які мали страховки від кіберризиків з відомою готовністю до виплат.

Атака на Kaseya та крах REvil

4 липня 2021 року REvil атакував компанію Kaseya, яка обслуговувала IT-інфраструктуру більш ніж 1 500 підприємств, некомерційних організацій і держустанов. Пізніше ФБР повідомило, що на момент атаки агентство вже мало доступ до серверів угруповання, однак не могло розкривати цього публічно. Після того як ФБР випустило безкоштовний ключ розшифрування для жертв REvil, угруповання так і не оговталося від цього удару.

Хто такий Щукін і як його встановили

BKA припускає, що Щукін перебуває на території росії, у рідному Краснодарі, проте не виключає можливих переміщень за кордон. Прямих зв’язків між Щукіним та акаунтами UNKN на злочинних форумах порівняно небагато. Водночас аналіз даних, проіндексованих компанією Intel 471, свідчить про значний збіг між Щукіним та хакером на ніку «Ger0in», який керував великими ботнетами і продавав так звані «installs» — послугу масового розгортання шкідливого ПЗ на тисячах комп’ютерів одночасно. Втім, Ger0in був активний лише у 2010–2011 роках — задовго до появи UNKNOWN у ролі фронтмена REvil.

Додатковим підтвердженням особи слугує збіг фотографій: порівняння поліцейських знімків через сервіс Pimeyes знайшло відповідність з фото з вечірки 2023 року, де молодий чоловік на ім’я Даніель носить той самий дорогий годинник, що і на знімках BKA.

Ця стаття Поліція Німеччини розкрила особу лідера хакерського угрупування REvil: ним виявився 31-річний росіянин із Краснодара раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Кіберзагрози продовжують зростати за масштабом, складністю та цілеспрямованістю. Для організацій критично важливо розуміти провідних зловмисників, нові ризики та тактики, що формують ландшафт кібербезпеки, аби зміцнити власний захист.

Нещодавній звіт компанії Bridewell демонструє, наскільки динамічним стало середовище кіберзагроз упродовж останнього року. Зловмисники змінили поведінку, вдосконалили інструментарій та адаптували тактики. Ось ключові висновки, які організаціям необхідно знати для протидії актуальним загрозам.

Зростання крадіжки даних та вимагання

Історично тактики ransomware зосереджувалися на шифруванні даних жертви та вимаганні оплати за ключі дешифрування. Однак останні атаки свідчать про зміну підходу: кіберзлочинці тепер надають пріоритет крадіжці даних та вимаганню через загрозу оприлюднення викраденої інформації.

Це продемонстрував напад на британського телекомунікаційного провайдера Colt Technology Services, коли група Warlock використала вразливість у Microsoft SharePoint для проникнення в системи компанії. Зловмисники викрали кілька сотень гігабайтів конфіденційних даних, включаючи інформацію про зарплати співробітників, фінансові звіти, контракти з клієнтами та деталі мережевої архітектури. Після відмови сплатити викуп група опублікувала список файлів на російському Tor-форумі, пропонуючи понад мільйон документів для продажу.

Аналогічно група Clop у травні 2023 року використала уразливість нульового дня в програмному забезпеченні для передачі файлів MOVEit (CVE-2023-34362), викравши великі обсяги даних у сотень організацій, включаючи BBC та Boots. Замість простого шифрування систем Clop погрожувала оприлюднити викрадену інформацію через власний сайт витоку даних.

Ця еволюція експлуатує зростаючий регуляторний та репутаційний тиск на організації, особливо в юрисдикціях зі строгими законами про приватність. Хоча атаки на основі шифрування часто призводять до більших індивідуальних вимог викупу через терміновість відновлення критичних сервісів, покращення контролю відновлення даних та резервного копіювання ненавмисно зробили крадіжку даних та вимагання більш ефективною альтернативою для зловмисників.

Останні масштабні операції з крадіжки даних, проведені хакерськими групами Scattered Spider та Shiny Hunters, пов’язаними з колективом під назвою “Com” або “Community”, спрямовані на великих постачальників програмних сервісів, таких як Salesforce та інші компанії, що інтегруються з їхньою платформою. Це знову підкреслило перевагу використання крадіжки даних та вимагання над розгортанням ransomware для шифрування файлів жертв.

Експлуатація вразливостей та периферійних пристроїв

Невиправлені вразливості в системах, що мають вихід в інтернет, та периферійних пристроях залишаються основним вектором атак для груп ransomware. Зловмисники експлуатують недоліки в широко розгорнутих технологіях, включаючи VPN, засоби віддаленого моніторингу та мережеві пристрої, для отримання початкового доступу до корпоративних систем. Ці вразливості дозволяють масову компрометацію в великих масштабах та є основним фактором успішних кампаній ransomware.

У 2024 році відомі групи Clop та Termite показали себе як надзвичайно ефективні виконавці атак на сервіси керованої передачі файлів. На початку року Clop атакувала Cleo, постачальника корпоративного програмного забезпечення для інтеграції та керованої передачі файлів, експлуатуючи уразливість нульового дня (CVE-2024-50623). Ця атака зачепила понад 80 організацій, переважно в телекомунікаційному та медичному секторах, що призвело до значного витоку даних та операційних збоїв.

Нещодавно спостерігалися масштабні атаки кількох груп на невиправлені пристрої Fortinet, Cisco та Ivanti. Це включає брокерів доступу та афілійованих учасників, пов’язаних з групами Qilin, Akira та Ransomhub.

Атаки на VMware, знищувачі EDR та наступальні інструменти

Оператори ransomware продовжують атакувати гіпервізори, зокрема середовища VMware ESXi, з метою швидкого порушення критичної ІТ-інфраструктури. Групи VanHelsing та DragonForce пов’язані з останніми атаками, активно застосовуючи цю тактику в поточних кампаніях.

Водночас зловмисники переорієнтовують зусилля на розробку можливостей обходу систем Endpoint Detection and Response (EDR), відомих як “EDR-кілери”. Це часто досягається через зловживання вразливими драйверами або вбудованими функціями програмного забезпечення.

Успіх цих атак посилюється збільшеним використанням Living-Off-the-Land Binaries (LOLBINs) та інструментів Remote Monitoring and Management (RMM) — ще одного методу обходу EDR-систем, що дозволяє зловмисникам маскуватися під звичайні системні операції та залишатися непоміченими, значно ускладнюючи виявлення та протидію для організацій.

Наступальні інструменти безпеки залишаються центральними для операцій ransomware. Попри спільні зусилля підрозділу Microsoft з боротьби з цифровими злочинами, Fortra та Health-ISAC у останні роки протидіяти використанню несанкціонованих застарілих копій Cobalt Strike, він залишається найпоширенішим наступальним інструментом серед операторів ransomware.

Хоча Fortra повідомила про 80% зменшення несанкціонованих копій за останні два роки, реальність залишається грою в кота-мишу: коли зловмисну C2-інфраструктуру видаляють з більш репутаційних хостинг-провайдерів, оператори просто переміщують її до менш надійних.

Проте ця зміна все ж створює певні тактичні переваги для захисників, оскільки інфраструктура на провайдерах нижчого рівня має більшу ймовірність блокування продуктами безпеки, такими як міжмережеві екрани нового покоління та веб-проксі.

Водночас інші наступальні інструменти, такі як Metasploit, Sliver, Brute Ratel, а останнім часом варіанти на кшталт Pyramid C2 (C2-фреймворк на Python) та Adaptix C2, поступово набувають популярності.

Висновки

Рухаючись до 2026 року, очевидно, що кіберзлочинці стають більш гнучкими, опортуністичними та рішучими в експлуатації як технічних слабкостей, так і організаційних сліпих зон. Зі зростанням моделей вимагання з пріоритетом на крадіжку даних, посиленим націлюванням на периферійні пристрої та постійним вдосконаленням інструментів обходу EDR захисники стикаються зі швидко еволюціонуючим викликом, що вимагає рівноцінної адаптивності.

Організаціям необхідно надати пріоритет проактивному усуненню вразливостей, посилити моніторинг у гібридних середовищах та інвестувати в threat intelligence, що йде в ногу зі змінами тактик зловмисників. Ті, хто вибудує стійкість зараз через готовність, видимість та надійне реагування на інциденти, будуть найкраще підготовлені для протистояння загрозам, що чекають попереду.

Ця стаття Головні кіберзагрози 2025 року: від крадіжки даних до засобів знищення систем захисту раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Протокол віддаленого робочого стола (RDP) залишається найпопулярнішим вектором кіберaтак — у 2024 році його використовували у 84% інцидентів безпеки. Експерти фіксують тривожну тенденцію: спроби злому RDP-серверів починаються менше ніж за хвилину після відкриття порту в інтернет.

Масштаби загрози віддаленого доступу

Протокол віддаленого робочого стола (RDP) забезпечує доступ до серверів, робочих станцій та ресурсів віддаленої мережі, залишаючись найпопулярнішим інструментом для організації віддаленої роботи. Адміністратори мережі відкривають користувачам порти для доступу через інтернет з домашніх комп’ютерів, що створює критичну вразливість у корпоративній безпеці.

За даними компанії Sophos, яка проаналізувала понад 150 випадків реагування на інциденти у 2024 році, RDP використовувався у 84% кіберaтак. У 65% випадків цей протокол став початковим вектором проникнення зловмисників у корпоративні мережі. Дослідження Mandiant M-Trends 2025 підтверджує: атаки методом повного перебору на RDP-сервери становлять 26% усіх початкових векторів для ransomware-інцидентів.

Експериментальне дослідження Sophos виявило шокуючу статистику: після відкриття RDP-порту в інтернет спроби несанкціонованого входу починаються менше ніж за одну хвилину. Протягом 15 днів дослідники зафіксували понад 2 мільйони спроб злому з 999 унікальних IP-адрес, причому 137 500 різних імен користувачів використовувалися для атак.

Еволюція методів атак на RDP

Кіберзлочинці використовують кілька основних методів компрометації систем через протокол віддаленого робочого столу, які постійно вдосконалюються та автоматизуються.

Атаки методом повного перебору передбачають автоматизоване введення мільйонів випадкових паролів для отримання доступу до системи. Дослідження Specops за 2025 рік, яке проаналізувало 15 мільйонів паролів з реальних атак на RDP-порти, виявило найпопулярніші комбінації: “123456”, “P@ssw0rd” та “Welcome1”. Експериментальний сервер Sophos зафіксував 866 862 спроби входу під обліковим записом “administrator” лише за 15 днів.

Після успішного проникнення зловмисники розгортають сучасні ransomware-програми. У 2024 році найактивнішими групами стали RansomHub, Akira та Fog, які разом контролюють понад 30% ринку програм-вимагачів. RansomHub, яка з’явилася лише у лютому 2024 року, вже перевищила активність LockBit та стала домінантним гравцем у цій сфері.

Атаки з викраденими обліковими даними використовують інформацію з численних витоків даних, які постійно з’являються в мережі. Зловмисники автоматизують процес за допомогою спеціалізованих програм та використовують мережі проксі-серверів для обходу систем захисту. Ефективність цього методу залежить від того, наскільки часто користувачі повторно використовують паролі для різних сервісів.

Атаки методом розпилення паролів становлять стратегічний підхід, коли зловмисники обирають найпопулярніші комбінації та застосовують їх одразу до багатьох облікових записів організації. Інструменти автоматизованого збору даних про співробітників з відкритих джерел, зокрема LinkedIn, дозволяють створювати списки потенційних цілей. Компрометація навіть одного облікового запису надає доступ до політики паролів Active Directory, що полегшує подальші атаки.

Фінансові наслідки RDP-інцидентів

Економічні втрати від атак через RDP продовжують зростати попри загальне зниження виплат ransomware-групам. За даними Chainalysis, у 2024 році жертви виплатили зловмисникам $813,55 мільйона — це на 35% менше за рекордний 2023 рік, але все одно значна сума. Середня виплата викупу становила $553 959, хоча медіанне значення знизилося до $110 890.

Варто зазначити, що прямі виплати становлять лише частину загальних втрат. Середня вартість ransomware-інциденту, включно з простоєм, втратою продуктивності та відновленням систем, сягає $2,73 мільйона. Для фінансового сектору ця цифра зростає до $5,9 мільйона на один інцидент.

Дослідження Sophos описує випадок, коли зловмисники успішно компрометували одну організацію чотири рази протягом шести місяців, щоразу використовуючи відкриті RDP-порти для початкового доступу. Після проникнення атакуючі переміщалися мережею, встановлювали шкідливе програмне забезпечення та вимикали системи захисту.

Стратегії захисту віддаленого доступу

Експерти з кібербезпеки рекомендують комплексний підхід до захисту RDP-серверів, який поєднує технічні та організаційні заходи.

Використання складних та унікальних паролів для всіх облікових записів залишається базовою вимогою безпеки. Сучасні менеджери паролів дозволяють зручно зберігати та генерувати криптографічно стійкі комбінації, які неможливо підібрати методом перебору.

Двофакторна автентифікація забезпечує критично важливий додатковий рівень захисту. Навіть у разі компрометації пароля зловмисники не зможуть отримати доступ без другого фактора автентифікації. За даними Sophos, організації, які впровадили багатофакторну автентифікацію для всіх зовнішніх сервісів, значно рідше стають жертвами успішних атак.

Обмеження кількості спроб неправильного вводу облікових даних ускладнює автоматизовані атаки методом перебору. Політика блокування облікових записів після певної кількості невдалих спроб входу змушує зловмисників уповільнити атаки або перейти до інших цілей.

Критично важливо ніколи не відкривати RDP-порти безпосередньо в інтернет. Експерти рекомендують використовувати VPN з багатофакторною автентифікацією для організації віддаленого доступу або застосовувати рішення zero-trust архітектури, які забезпечують додаткові рівні контролю та моніторингу.

Регулярне оновлення систем та своєчасна установка патчів безпеки мінімізують ризики експлуатації вразливостей. Мережева сегментація обмежує можливості латерального переміщення зловмисників навіть у разі успішного проникнення.

Український контекст безпеки

Для України питання кібербезпеки набуває особливого значення в умовах триваючої російської агресії. Організації мають приділяти підвищену увагу захисту критичної інфраструктури та корпоративних мереж, оскільки кібератаки часто використовуються як інструмент гібридної війни.

Впровадження належних практик захисту RDP-серверів не вимагає значних інвестицій, але забезпечує суттєве підвищення рівня безпеки. Експерти наголошують: три основні проблеми — відкриті RDP-порти, відсутність багатофакторної автентифікації та неоновлені сервери — є причиною більшості успішних атак, і всі три легко усуваються.

Ця стаття RDP-атаки: як зловмисники використовують віддалений робочий стіл для проникнення в корпоративні мережі раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин