Кибератаки — это уже не только попытки отдельных преступников украсть пароли или выманить деньги. За некоторыми из наиболее сложных операций стоят связанные с государствами группировки, цель которых — получение разведывательной информации, нарушение работы критической инфраструктуры или доступ к стратегически важным технологиям. Новейшее исследование ESET показывает, что направления таких атак всё чаще определяются войнами, политической напряжённостью и экономическими интересами государств.

Исследователи компании в сфере кибербезопасности ESET проанализировали деятельность отдельных группировок, осуществляющих длительные целевые кибератаки, или APT, с октября 2025 года по март 2026 года. Описанные в отчёте случаи затронули государственные учреждения, энергетический и оборонный секторы, технологические компании, производителей беспилотников, разработчиков программного обеспечения и другие организации в разных регионах мира.

Что такое APT-атаки?

APT — это целевые и продолжительные кибератаки, при которых злоумышленники стараются незаметно проникнуть в системы организации и сохранять доступ к ним как можно дольше. В отличие от массовых мошеннических кампаний, такие атаки обычно тщательно готовятся для конкретной цели.

Злоумышленники могут использовать фишинговые электронные письма, уязвимости в публично доступных системах, украденные данные доступа или скомпрометированное программное обеспечение. Целью не всегда является немедленная финансовая выгода — нередко собираются документы, переписка и техническая информация либо создаётся возможность позднее нарушить работу организации.

Социальный опрос Что государству делать с «airBaltic»? Голосовать

Согласно данным ESET, 36,2% проанализированных атак были связаны с APT-группировками, относимыми к Китаю, а 28% — с группировками, относимыми к России. На связанные с Северной Кореей группировки пришлось 13,5%, тогда как 11,6% активности не удалось с уверенностью отнести к конкретному государству или известной группировке. Эти показатели характеризуют исключительно совокупность наблюдений ESET, проанализированных в отчёте, а не распределение всех происходящих в мире кибератак.

Связанные с Китаем группировки интересуются энергетикой и технологиями

Исследователи ESET пришли к выводу, что в рассматриваемый период связанные с Китаем субъекты киберугроз сохраняли высокую активность по всему миру. Их операции были тесно связаны с экономическими интересами и интересами безопасности Пекина.

Группировка FamousSparrow атаковала государственное учреждение, связанное с морской отраслью Венесуэлы. По оценке ESET, целью атаки, вероятно, было получение информации об устойчивости перевозок нефти. В свою очередь, активность группировки SteppeDriver была обнаружена в сети правительства Сирии — её могли мотивировать как интерес к проектам восстановления страны, так и вопросы безопасности.

В другом случае группировка NegativeGlimmer скомпрометировала государственные учреждения в Камбодже и Панаме, а также компанию в сфере искусственного интеллекта и робототехники в Южной Корее. Это показывает, что целью кибершпионажа может быть не только политическая информация, но и знания о стратегически важных технологиях.

Цепочка поставок программного обеспечения может стать путём к миллионам пользователей

Один из наиболее значимых описанных в отчёте случаев затронул широко используемую программную библиотеку JavaScript «axios». Она доступна в реестре npm — онлайн-хранилище, из которого программисты загружают готовые программные компоненты JavaScript, — и скачивается более 100 миллионов раз в неделю. Злоумышленники получили данные доступа главного сопровождающего библиотеки и опубликовали вредоносные версии «axios», внедрявшие вредоносный код в системы пользователей. Позднее эти версии были обнаружены и удалены.

Такая атака на цепочку поставок особенно опасна, поскольку преступникам не требуется отдельно атаковать каждую компанию. Компрометация одного широко используемого программного компонента или учётной записи, через которую он распространяется, позволяет одновременно получить доступ к очень большому количеству систем.

Связанные с Северной Кореей группировки также продолжали атаковать разработчиков программного обеспечения и криптовалютную отрасль. Некоторые атаки начинались с социальной инженерии и продолжительного выстраивания доверия, например с использования поддельных предложений о работе. Это означает, что технические средства защиты необходимо дополнять умением сотрудников распознавать подозрительные сообщения.

В центре внимания связанных с Россией группировок — Украина

Связанные с Россией киберзлоумышленники преимущественно продолжали концентрироваться на Украине и организациях, имеющих отношение к её оборонным возможностям. Атаки были направлены против военнослужащих, производителей беспилотников и исследовательских организаций, а также логистических и транспортных компаний за пределами Украины.

ESET также наблюдала усиление разрушительной активности группировки Sandworm. В государственных и частных организациях Украины использовалось несколько новых вредоносных программ для уничтожения данных. Особое внимание привлёк инцидент, произошедший в декабре 2025 года в польской энергетической компании, который ESET со средней степенью уверенности связывает с Sandworm.

Атаки на критическую инфраструктуру государства — члена НАТО подтверждают, что риск, создаваемый кибероперациями, не ограничивается границами Украины. Для латвийских компаний, особенно работающих в энергетике, транспортной и технологической отраслях, а также в сфере государственного управления, это напоминание о необходимости регулярно оценивать не только наиболее распространённые виды киберпреступлений, но и вероятность целевых атак.

Какие выводы из исследования ESET могут сделать латвийские компании?

Описанные в отчёте атаки сложны, однако их отправной точкой нередко становятся хорошо известные проблемы: неустранённая уязвимость, украденные данные доступа, вводящее в заблуждение электронное письмо или недостаточно проверенный программный компонент. Снизить риски помогут несколько практических мер:

  • своевременно обновлять операционные системы, VPN-оборудование, серверы и другие доступные из интернета системы;

  • использовать многофакторную аутентификацию, особенно для учётных записей администраторов, разработчиков и электронной почты;

  • ограничивать права доступа пользователей необходимым для выполнения работы минимумом;

  • контролировать программные библиотеки и другие компоненты внешних поставщиков;

  • регулярно создавать резервные копии данных, отделённые от основной сети компании, и проверять возможность их восстановления;

  • обучать сотрудников распознавать фишинг, поддельные предложения о работе и другие методы социальной инженерии;

  • разработать план реагирования на инциденты, чтобы в случае обнаружения подозрительной активности ответственные сотрудники знали, как действовать незамедлительно.

Кибербезопасность должна основываться как на технологиях, так и на информации

Отчёт ESET об активности APT-группировок основан преимущественно на телеметрических данных компании, проверенных исследователями ESET. Такое исследование угроз помогает своевременно выявлять используемые злоумышленниками методы, инфраструктуру и цели, а многоуровневые решения в сфере безопасности — обнаруживать и блокировать вредоносную активность в системах организаций.

Полная версия отчёта ESET APT Activity Report Q4 2025–Q1 2026 доступна на сайте о кибербезопасности WeLiveSecurity