Как и любой растущий рынок, рынок кибератак начинает делиться на ценовые сегменты. В нем появляется специализация. Команды различных игроков начали проводить свои подпольные «маркетинговые акции» и завлекать клиентов с разной толщиной кошелька. Одной из заметных вех в становлении андеграундного рынка стало сращивание кибермошенников с реальными криминальными элементами. Александр Лямин, руководитель Qrator Labs, отмечает, что «рынок подобного рода криминальных услуг сейчас активно растет, что неудивительно: риски быть пойманным и наказанным минимальны, а эффективность таких инструментов чрезвычайно высока».

Сколько стоит DDoS

Стоимость организации DDoS атак сейчас стала сильно варьироваться: начиная от атак базового уровня, цена которых составляет около $30 в сутки, заканчивая профессиональными атаками, стоимость которых может составлять десятки тысяч долларов за инцидент. «Здесь все зависит от того, сколько заказчик готов потратить на проведение качественной атаки. Как правило, чем больше прибыли можно извлечь, выведя из строя ресурсы компании на определенное время и тем самым убрав ее с рынка, тем больше заказчики атаки будут готовы в это «проинвестировать», – уточняет Александр Лямин.

Оценка потерь от атак является комплексной задачей, поскольку убытки компании – это не только упущенная прибыль, но и различного рода косвенные потери. Например, это повышенная нагрузка на call-центр в случае проведения DDoS, ИТ-инфраструктуру (особенно если компания размещает свои ресурсы в облаке), технический персонал, который вместо исполнения своих прямых обязанностей будет заниматься проблемой ликвидации атаки. Очень важно учитывать и репутационный урон, который может в разы превышать финансовые убытки компании. Александр Ковалев, заместитель генерального директора Zecurion, рассказывает: «Стоимость кибератаки довольно сильно зависит от степени защищенности объекта — взломать небольшой сайт может стоить и $30–40, в то время как на то, чтобы «уронить» большой проект даже временно, может не хватить и бюджета в несколько десятков тысяч долларов.

Есть различные инструменты для атаки, различные специалисты и т.п. Например, цена аренды или покупки готового ботнета составит около $150–200 или по $1,5–2 за 10 компьютеров-ботов, с помощью которых как раз можно генерировать нагрузку на чьи-то веб-сайты или серверы, отмечает эксперт из Zecurion. По оценкам американских коллег средняя цена реальной DDoS-атаки составляла в прошлом году между $160 и $170 тыс. В среднем стоимость атак выросла на 6–8% выше результатов 2012 г.

Мировая статистика потерь

Если количество публичных инцидентов из года в год остается примерно на одном уровне (800–820 шт.), то реальный ущерб компаний от утечек информации заметно растет. Так, по данным аналитического центра Zecurion, за 2013 г. он вырос почти на четверть и составил $25 110 млн. «Таким образом, в среднем, каждый инцидент обходится компании в $31,23 млн. В отдельных случаях и того больше. Так, летом 2013 г. три топ-менеджера компании HTC были задержаны за передачу конкурентам конфиденциальной информации по разработкам новых продуктов, и уже в 3 квартале 2013 г. HTC зафиксировала чистый убыток около $100 млн», – утверждает г-н Ковалев.

По данным отчета «Лаборатории Касперского» на первое место по уровню ущерба выходят персонализированные атаки. При этом если крупный бизнес имеет возможность выстроить довольно мощную ИБ-защиту у себя, ему никак не повлиять на безопасность своих поставщиков и контрагентов. Транзитом через бреши в их ИТ-системах в крупный бизнес проникают злоумышленники, нанося урон примерно на $2 млн каждой из них.

В СМБ же на втором месте находятся потери от компьютерного шпионажа со стороны таких же некрупных компаний. Здесь и инсайдеры, и трояны и весь прочий арсенал шпионских средств. Защититься от этого небольшому предприятию очень непросто. На третьем месте в обоих секторах – сетевые угрозы. Совершенно неудивительно – без работы в сети интернет мало кто сейчас обходится. А спектр угроз там для всех одинаков. Потери только разные: $65 тысяч и $1,5 млн соответственно.

В РФ официальный ущерб скромнее

В России цифры ущерба (в том числе и от утечек), по данным Zecurion, гораздо скромнее, и не в последнюю очередь благодаря фактическому отсутствию штрафных санкций со стороны регуляторов. К примеру, осенью 2013г. Citigroup заплатила 30-миллионный штраф за утечку коммерческой информации. Средний ущерб от утечек конфиденциальной информации в российских компаниях среднего и крупного бизнеса составляет чуть более $800 тыс. И лишь максимально зафиксированный ущерб составил около $30 млн.

Но, несмотря на относительно скромные официальные цифры потерь, уровень атак на государственные и частные организации в России высок и продолжает расти. Так, по данным Международного центра по борьбе с киберпреступностью компании Microsoft, ежедневно на российских пользователей совершается более 5 млн кибератак.

По итогам 2013 г. эксперты компании Group IB, выявили, что на мошенничестве в системах интернет-банкинга России и СНГ, обналичивании денежных средств, банковском фишинге и мошенничестве с электронными деньгами преступники «заработали» $426 млн. На операции по «кардингу» пришлось $620 млн, распространение спама о фальшивых медикаментах и другом контрафакте, а также поддельного ПО принесло мошенникам $841 млн. Продажа трафика, эксплоитов, загрузок, предоставление услуг по анонимизации и прочие С2С услуги обеспечили киберпреступникам финансовый приток, равный $288 млн., на DDoS-атаках интернет-воры «заработали» $113 млн, а прочие мошеннические операции принесли им еще $153 млн.

Много это или мало для РФ? Эксперты считают, что даже с учетом зимней Олимпиады и развития событий на Украине, показатели не превышают среднемировой уровень. Болельщики, побывавшие на чемпионате мира по футболу в Бразилии, пострадали ничуть не меньше. Дмитрий Титков, менеджер по работе с финансовым сектором, Check Point Software Technologies, уверен: «В России ситуация во многом схожа с общемировой. Тем более геополитические события, происходящие в этом году, только способствует развитию киберпреступности на нашей территории. Можно вспомнить немало инцидентов информационной безопасности, которые происходили в уходящем году. Например, большую огласку получили весенние DDoS-атаки на крупнейшие банки РФ».

Но все же наибольший ущерб у нас приносят утечки конфиденциальной информации, хотя здесь подсчитать цифры очень сложно. Сергей Хайрук, аналитик InfoWatch, комментирует: «Тема инсайдеров все больше уходит на второй план. Нелегитимное использование информации, кража данных у работодателя – явление настолько обыденное, что интересует лишь саму компанию. Руководство бизнеса осознает примерный размер убытков от кражи интеллектуальной собственности, баз данных клиентов, прочей конфиденциальной информации, но не спешит проводить оценку информационных активов. Вопрос оценки финансовых потерь от утечек данных по-прежнему не решен ни в России, ни в мире».

В качестве резюме можно отметить, что рынок киберкриминала находится в стадии становления. Его отличительной чертой является интернациональный характер как участников, так театра действий. Вследствие этого появляется возможность разделения труда, отмыва денег и подготовки перспективных кадров. Что касается их жертв, то, несмотря на наличие международных институтов по борьбе с криминалом, действуют они разобщенно. И если преступный интернационал суммируют свои прибыли, то жертвы считают убытки в одиночку.