Доступ к делу
Нелегальный рынок доступов к IT-инфраструктуре российских компаний продолжает увеличиваться, однако темпы этого роста замедляются. В 2026 году предложение открытых уязвимостей на теневом рынке увеличилось на 20%, в то время как за тот же период в прошлом году прирост превышал 150%. Медианная цена за типовой доступ варьируется в диапазоне $500–600, и продавцы вынуждены сдерживать цены из-за растущей конкуренции. При этом больше всего предложений фиксируется с доступом к организациям в сфере промышленности.
В 2026 году предложение о продаже корпоративных доступов к ИТ-инфраструктуре российских компаний на теневом рынке выросло на 20%, приводят данные аналитики Bi.Zone Threat Intelligence. При этом темпы этого роста замедлились. Так, в прошлом году аналогичный период показывал прирост в 2,5–3 раза относительно 2024 года (см. “Ъ” от 22 августа 2025 года).
Ежегодно фиксируется по несколько тысяч предложений о продаже первоначальных доступов в корпоративные сети, приводит данные представитель департамента киберразведки компании F6. По их данным, эта услуга до сих пор крайне востребована на теневом рынке, в том числе из-за простой монетизации, так как заинтересованные киберпреступники предпочитают массово приобретать готовую точку входа, нежели самостоятельно искать способ проникновения.
400 миллионов рублей
достиг максимальный запрошенный хакерами выкуп в 2025 году, по данным F6.
Рост конкуренции вынуждает продавцов удерживать цены от резкого повышения, говорит представитель Bi.Zone. Медианная цена за типовой доступ — чаще всего это компрометация внешних служб удаленного доступа — варьируется в диапазоне $500–600 и существенно не изменилась, уточнил он. На стоимость влияет актуальность и достоверность доступа, тип подключения, уровень прав и полнота описания. При этом более заметно дорожают отдельные категории — доступы к доменной инфраструктуре, учетные данные с административными правами и возможностью работать с критичными бизнес-системами. Такие предложения оцениваются в $2–5 тыс. и выше, отмечают в Bi.Zone.
Значительная часть публикаций на теневых площадках — это продажа через посредников, отмечает руководитель Bi.Zone Threat Intelligence Олег Скулкин. По его словам, особенно это заметно в Telegram, где базы данных, доступы и другие материалы нередко сначала появляются на одной площадке, а затем распространяются по другим каналам уже от имени третьих лиц, иногда с измененным описанием, ценой или составом данных. Первичные публикации от тех, кто непосредственно получил данные или доступ в результате атаки, также встречаются, но в публичном пространстве их меньше. В результате один и тот же материал может несколько раз возвращаться на рынок и восприниматься как новое предложение, объясняет господин Скулкин.
В 2026 году 20% предложений о продаже доступа на теневых ресурсах приходится на промышленный сектор.
Чаще всего промышленные организации становятся мишенью шпионских кластеров, которых привлекают данные о новых разработках и технологиях. Помимо промышленного сектора популярностью у злоумышленников пользуются ритейл и финансовые организации. Реже публикуются предложения, связанные с организациями IT-сектора,— на них приходится более 10% объявлений. Замыкают пятерку сервисные компании и подрядчики с долей 8%.
В среднем предлагаемые на теневых ресурсах доступы находят своего покупателя за 7–14 дней, говорит представитель Bi.Zone. Однако если конкретное предложение очень востребовано, то такой лот обычно бронируется или переходит в статус закрытой сделки за один-три дня. А предложения дорогих или узкоспециализированных доступов, напротив, могут оставаться актуальными один-два месяца или даже дольше, добавил представитель компании.
Рынок первоначальных доступов продолжает расти, во многом потому что порог входа снижается, отмечает аналитик Positive Technologies Дмитрий Стрельцов. По его словам, развитие инструментов на базе ИИ автоматизирует рутинные этапы, например, разведку, подбор учетных данных, эксплуатацию типовых уязвимостей, что привлекает новых участников, которые раньше не обладали достаточными техническими навыками. «Однако некоторые участники рынка сами не до конца понимают природу полученного доступа. Поэтому рост числа объявлений не всегда означает рост реально опасных доступов»,— добавил он.
