Positive Technologies: доступ к инфраструктуре компаний на теневом рынке можно купить за 100$
Стоимость доступа к инфраструктуре компаний на теневом рынке в большинстве случаев составляет от $100 до $10 тыс (данные приведены в соответствии с форматом размещаемой на теневом рынке информации). При этом ущерб от успешной кибератаки с использованием первичного доступа может достигать миллионов долларов. К таким выводам пришли эксперты Positive Technologies, изучив существующие рынки монетизации уязвимостей. На этом фоне затраты на превентивную защиту — кибериспытания и программы багбаунти — оказываются в десятки и сотни раз ниже возможных потерь бизнеса. Об этом CNews сообщили представители Positive Technologies.
Цена доступа зависит в первую очередь от размера организации и ее выручки. Значительное количество объявлений на теневых форумах нацелено на компании с годовым доходом от $1 млн. Вход в небольшие организации обычно продают «оптом», поэтому в статистику они попадают редко.
На стоимость влияет и отрасль, в которой работает компания. Например, доступ к инфраструктуре государственных учреждений может стоить до $1,5 млн, а к финансовой организации — до $1 млн. Высокая цена объясняется потенциальной выгодой для злоумышленников. По числу объявлений лидируют промышленность и торговля — на них приходится 20% и 19% всех сообщений.
Помимо готовых доступов, на теневых площадках активно продаются и сами уязвимости. Среди таких объявлений преобладают предложения о продаже уязвимостей 0-day (49%) и 1-day (11%). Чаще всего речь идет об удаленном запуске произвольного кода (43%) или повышении прав в системе (25%). Совокупность этих уязвимостей позволяет атакующему получить контроль над устройством и развивать атаку внутри сети. При этом 38% публикаций в этом сегменте содержат информацию не о продаже, а о намерении купить конкретные уязвимости, что свидетельствует о высоком спросе на готовые инструменты для атак.
Основными целями эксплуатации уязвимостей становятся интернет-сервисы (36%) и корпоративное программное обеспечение (33%). Причем корпоративные системы имеют более высокую ценность для злоумышленника: их компрометация открывает доступ к внутренней инфраструктуре, данным сотрудников и клиентов, а также дает возможность для дальнейшего распространения атаки.
Реальные инциденты показывают, что цена успешной атаки может исчисляться десятками и даже сотнями миллионов рублей. Помимо затрат на устранение последствий, бизнес сталкивается с потерей выручки из-за простоя, необходимостью восстанавливать инфраструктуру, расходами на внешнюю экспертизу и репутационным ущербом.
«Затраты на проактивную защиту, как правило, более предсказуемы и зачастую оказываются значительно ниже по сравнению с ущербом от успешной кибератаки. Так, в 2025 г. медианный размер вознаграждения за выявление критически опасной уязвимости в рамках программ багбаунти составил 200 тыс. руб., а медианная стоимость участия в кибериспытаниях — 1 млн руб. Причем кибериспытания позволяют на практике проверить возможность реализации недопустимого события и выявить угрозы до наступления реального инцидента», — сказал Макар Куманейкин, младший аналитик группы международной аналитики Positive Technologies.
Эксперты Positive Technologies советуют компаниям не дожидаться инцидента, а выстраивать превентивную защиту. Программы багбаунти помогают находить уязвимости на внешнем периметре силами независимых исследователей, а кибериспытания позволяют проверить устойчивость инфраструктуры к реальным сценариям атак. Кроме того, решения класса Threat Intelligence заранее предупреждают компании о появлении данных о них на теневых площадках. Такой подход требует предсказуемого бюджета и обходится бизнесу в разы дешевле, чем ликвидация последствий взлома.