Как падение курса биткоина меняет ландшафт кибератак
Автор: Петухов Олег Анатольевич, эксперт по информационной безопасности, руководитель юридической компании ЛЕГАС
Сайт: legascom.ru
Email: petukhov@legascom.ru
Падение курса биткоина в начале 2026 года влияет на экономику киберпреступности: меняются доходность, риски и тактика злоумышленников. При этом сама структура теневого рынка тоже трансформируется - от ухода мелких игроков до консолидации вокруг крупных платформ. Разберём, какие изменения в ландшафте атак наиболее вероятны в ближайшие 3–6 месяцев и как бизнесу учитывать эти тренды в защите.
Что происходит с числом атак при снижении курса биткоина
Наиболее вероятен сценарий стагнации общего объёма рынка киберпреступности при одновременном росте количества атак и сокращении числа атакующих:
Злоумышленники переключаются на «количество вместо качества». Поскольку потенциальный доход от одного выкупа снижается, хакеры компенсируют это массовостью: запускают больше кампаний, используют типовые векторы (фишинг, компрометация учётных данных).
Часть мелких игроков уходит с рынка. У небольших групп нет ресурсов на масштабирование и поддержание сложных операций, поэтому они либо сворачивают активность, либо становятся партнёрами крупных игроков.
Лидеры рынка адаптируются. Крупные группировки и RaaS‑платформы (Ransomware‑as‑a‑Service) наращивают долю, предлагая инструменты и инфраструктуру по подписке или за процент от выкупа.
При этом курс криптовалюты не является определяющим фактором для активности вымогателей: выкуп часто фиксируют в долларах, а криптовалюту используют как промежуточный инструмент для расчётов. Сильнее на ландшафт угроз влияют геополитика и регуляторные изменения, особенно в отдельных регионах.
Консолидация вместо хаотичного роста: как меняется структура киберпреступных групп
Вместо появления новых независимых группировок вероятнее укрупнение и перераспределение ролей:
Развитие RaaS‑моделей. Неопытные злоумышленники получают доступ к готовому набору инструментов, а владельцы платформ берут на себя часть рисков и логистики. Это снижает порог входа, но концентрирует контроль у ограниченного числа организаторов.
Гибкая специализация вместо жёстких «группировок». В реальности многие кампании строятся как партнёрские программы: десятки участников используют один шифровальщик, не будучи организационно связаны. Также распространены временные команды под конкретную задачу - одни специалисты ищут уязвимости, другие пишут бэкдоры, третьи проводят проникновение.
Переток кадров и повторное использование техник. Из‑за мобильности специалистов одни и те же тактики могут встречаться в разных кампаниях, что усложняет атрибуцию.
Станут ли атаки более рискованными
Да, в погоне за объёмом и компенсацией падения доходности злоумышленники могут действовать агрессивнее и допускать больше ошибок:
Упрощение векторов проникновения. Больше фишинга, кражи учётных данных, подкупа инсайдеров.
Сокращение времени на маскировку и переговоры. В попытке быстрее получить выкуп хакеры могут пренебрегать тщательной разведкой и заметанием следов.
Рост числа ошибок и раскрываемости. Чем выше доля массовых кампаний и чем меньше времени тратится на подготовку, тем выше вероятность оставить индикаторы компрометации.
Выбор более «сложных» целей. Чтобы компенсировать падение доходности, злоумышленники могут чаще атаковать серьёзные организации, в том числе с объектами КИИ и сильной службой безопасности.
Это создаёт парадоксальную ситуацию: с одной стороны, атаки становятся менее изощрёнными, с другой - более опасными для бизнеса из‑за их массовости и нацеленности на критичные системы.
Практические последствия для защиты бизнеса
Учитывая эти тенденции, компаниям стоит скорректировать приоритеты в киберзащите:
Усилить защиту периметра и учётных данных. Фишинг и кража доступов - самые массовые векторы. Важны MFA, контроль привилегий, обучение сотрудников и мониторинг аномальной активности.
Готовиться к «массовым, но не идеальным» атакам. Даже если злоумышленники экономят на качестве, их количество растёт. Нужны автоматизированные средства обнаружения и реагирования (EDR, XDR, SOC), способные обрабатывать поток инцидентов.
Отслеживать индикаторы, характерные для RaaS‑кампаний. Типовые шаблоны поведения, одинаковые наборы инструментов и сетевые артефакты позволяют быстрее выявлять и блокировать массовые атаки.
Проводить инвентаризацию критичных активов и сценариев ущерба. Особенно важно для организаций с КИИ: даже «некачественная» атака может нанести серьёзный ущерб, если затронет ключевые процессы.
Регулярно тестировать восстановление. Поскольку вымогатели могут давить на скорость и объём, способность быстро восстановить работоспособность становится одним из главных факторов устойчивости.
Роль новых технологий и человеческого фактора
Новые инструменты (в том числе LLM) ускоряют отдельные этапы атак и защиты, но не заменяют экспертизу. Автоматизация помогает масштабировать операции, но именно человеческий фактор остаётся ключевым: у атакующих - это креативность и адаптация, у защитников - дисциплина, качество процессов и способность принимать решения в условиях неопределённости.
Выводы
Курс биткоина влияет на экономику атак, но не на сам факт их существования. Снижение доходности провоцирует рост количества атак, уход мелких игроков и усиление RaaS‑модели.
Ландшафт угроз становится более концентрированным и массовым. Больше типовых кампаний, меньше «уникальных» сложных атак, выше вероятность ошибок со стороны злоумышленников.
Защита должна быть масштабируемой и ориентированной на скорость. Приоритеты - контроль доступов, автоматизация обнаружения, готовность к восстановлению и понимание реальных сценариев ущерба.
Понимание этих трендов позволяет бизнесу не просто реагировать на инциденты, а заранее адаптировать защиту под меняющуюся экономику киберпреступности.
