Эксперты Positive Technologies изучили черный рынок и выяснили, что готовый доступ к корпоративной инфраструктуре обычно стоит от 100 до 10 000 долларов США. При этом подчеркивается, что ущерб от последующей атаки может достигать миллионов долларов.
Исследователи пишут, что стоимость доступа прежде всего зависит от размера компании и ее выручки. Значительная часть подобных объявлений касается организаций с годовым доходом от 1 млн долларов США, а доступы к сетям небольших компаний обычно продают оптом, поэтому в статистику такие предложения попадают редко.
Дороже всего стоят «лоты», связанные с государственными и финансовыми организациями. Так, доступ к инфраструктуре госучреждения может стоить до 1,5 млн долларов США, а финансовой компании — до 1 млн долларов США (сообразно потенциальной прибыли атакующих).
По количеству объявлений лидируют сферы промышленности и торговли — на них приходится 20% и 19% всех сообщений.
Также в отчете отмечается, что помимо готовых доступов на хак-форумах и в даркнете активно торгуют уязвимостями. Почти половина таких объявлений связана с 0-day-багами, для которых еще нет патчей. Еще 11% предложений связаны с 1-day-уязвимостями, исправления для которых уже вышли, но еще не установлены на всех системах.
Чаще всего продавцы предлагают баги, позволяющие удаленно выполнить произвольный код (43%) или повысить привилегии в системе (25%). Комбинация таких уязвимостей дает атакующим возможность захватить контроль над устройством и продолжить продвижение по корпоративной сети.
При этом 38% публикаций содержат не предложения о продаже, а запросы на покупку конкретных уязвимостей. По мнению аналитиков, это свидетельствует о высоком спросе на готовые инструменты для атак.
Основными целями атак, связанных с эксплуатацией уязвимостей, становятся интернет-сервисы (36%) и корпоративное ПО (33%). Последнее представляет для преступников особую ценность: взлом внутренней системы открывает им доступ к инфраструктуре, информации о сотрудниках и клиентах, а также помогает развить атаку.
Эксперты предупреждают, что в итоге ущерб для бизнеса может исчисляться десятками и сотнями миллионов рублей. Помимо ликвидации последствий, компаниям приходится оплачивать восстановление инфраструктуры и внешнюю экспертизу, терять выручку из-за простоя и иметь дело с репутационным ущербом.
«Затраты на проактивную защиту, как правило, более предсказуемы и зачастую оказываются значительно ниже по сравнению с ущербом от успешной кибератаки», — отмечает младший аналитик группы международной аналитики Positive Technologies Макар Куманейкин.
