Рост штрафов за утечки данных в РФ спровоцирует волну шантажа и «двойного выкупа»

Эксперты прогнозируют увеличение числа атак с вымогательством на фоне ужесточения штрафов за утечки персональных данных. По оценкам участников рынка ИБ, рост финансовой ответственности операторов ПДн создает для злоумышленников дополнительный рычаг давления: к классическому сценарию шифрования и требования выкупа добавляется угроза обращения к регулятору и публичного раскрытия инцидента.

Согласно данным исследователей, 76% похищенных в финансовом секторе сведений приходится именно на персональные данные. Для сравнения, информация о банковских картах составляет около 12% украденных массивов. Это отражает смещение фокуса атакующих: вместо кражи платежных реквизитов они предпочитают массовые базы клиентов, пригодные для дальнейшего шантажа, повторных атак и перепродажи.

Эксперты отмечают формирование гибридных группировок. Часть хактивистов, ранее ограничивавшихся политически мотивированными атаками, начали использовать инструменты, характерные для финансово ориентированных киберпреступников: шифрование инфраструктуры, эксфильтрацию данных, публикацию «доказательств» в даркнете и требование выкупа за неразглашение. Такая модель повышает монетизацию атак и одновременно усиливает репутационное давление на жертву.

Отдельный фактор риска - ускоренное импортозамещение ИТ-решений. Переход на новые платформы часто проходит в сжатые сроки без полноценного аудита защищенности, анализа кода и стресс-тестирования. Это увеличивает вероятность наличия уязвимостей нулевого дня, ошибок конфигурации, некорректной сегментации сети и избыточных привилегий. В результате компрометация может происходить через стандартные векторы: фишинг с последующим захватом учетных записей, эксплуатация уязвимостей веб-приложений, доступ к незащищенным резервным копиям.

По данным «Информзащиты», официально в 2025 году в России зафиксировано около 120 утечек персональных данных. При этом участники рынка считают, что реальное число инцидентов в несколько раз выше из-за непубличных договоренностей и попыток скрыть факт компрометации. Объем утекших данных оценивается на уровне сотен миллионов записей в год, при высокой вероятности одной-двух «мегаутечек» с десятками или сотнями миллионов строк.

Аналитики обращают внимание на дисбаланс между размером штрафов и фактическим ущербом для граждан. Даже если санкция достигает десятков миллионов рублей, при крупной утечке сумма в пересчете на одну запись может составлять порядка сотен рублей. При этом средний мировой штраф за утечку в 2025 году, по оценкам экспертов, находился на уровне около 1,16 млн долларов.

Сценарий «двойного давления» становится все более типичным: злоумышленники требуют выплату за расшифровку инфраструктуры и отдельно - за неразглашение похищенных данных, одновременно угрожая сообщить об инциденте регулятору. Для малого и среднего бизнеса, чувствительного к репутационным потерям и регуляторным санкциям, такая модель создает критическую нагрузку.