Кибербезопасность ноябрь 2025: итоги недели

Последняя полная неделя ноября 2025 года оказалась одной из самых плотных по инцидентам за год: генеративный ИИ превратился из эксперимента в рабочий инструмент атакующих, шифровальщики вышли на рекордные объёмы, а утечки исчисляются миллионами пострадавших.

Ниже — сводка главного за 24–28 ноября: что произошло, какие цифры это подтверждают и какие меры имеет смысл поставить в план на следующую неделю. Без паники и без пересказа пресс-релизов: только то, что влияет на решения в области обзора кибербезопасности и бюджета на защиту.

Главное за неделю в цифрах

620% — рост объёма фишинговых кампаний с поддержкой ИИ перед «чёрной пятницей».
4 701 атака шифровальщиков в мире за январь–сентябрь 2025 года, на 34% больше, чем годом ранее.
477% — рост упоминаний ИИ-агентов для автоматизированной социальной инженерии на подпольных форумах.
6,4 млн фишинговых атак выявлено за первые десять месяцев 2025 года.
262 млн долларов — ущерб от захвата аккаунтов по данным ФБР.
23–37% жертв шифровальщиков платят выкуп, тогда как в 2024 году таких было около 50%.

Два последних числа важнее остальных: атакуют чаще, но платят реже. Это прямое следствие работы над резервными копиями и планами реагирования — и аргумент в пользу того, чтобы продолжать вкладываться в устойчивость, а не только в предотвращение.

Фишинг с поддержкой ИИ вырос на 620%

Перед сезоном распродаж атакующие перевели генеративные модели из разряда «интересных экспериментов» в ежедневную практику. Главное следствие: исчезли грамматические ошибки и неуклюжие формулировки, по которым раньше учили распознавать поддельные письма.

Что изменилось качественно:

Клонирование голоса и дипфейки. Несколько организаций сообщили о случаях, когда синтезированная речь руководителя использовалась для подтверждения переводов. Подробнее о признаках — в материале о фишинге с использованием ИИ.
Автоматизированная социальная инженерия. ИИ-агенты ведут переписку, уточняют детали и меняют тактику по ходу диалога, что делает сценарии устойчивее к шаблонным проверкам.
Поддельные бренды. За десять месяцев 2025 года аналитики зафиксировали 6,4 млн попыток фишинга, значительная часть — через фальшивые магазины люксовых брендов и «слишком выгодные» предложения.
Теневой ИИ. Сотрудники подключают неутверждённые модели и сервисы, и данные уходят за периметр без контроля.

Практический вывод: обучение «ищите ошибки в тексте» больше не работает. Работают проверка личности по независимому каналу, многофакторная аутентификация и регламент, что вообще можно отправлять во внешние сервисы.

Шифровальщики: рекорды при падающих выплатах

За январь–сентябрь 2025 года зафиксирована 4 701 атака — на 34% больше, чем за тот же период 2024-го. Неделя добавила к статистике несколько заметных эпизодов: банк Habib Bank AG Zurich, где группа Qilin заявила о выкачивании более 2,5 ТБ данных; японский ритейлер ASKUL, подтвердивший атаку RansomHouse; Allianz UK, где Clop использовала уязвимость в Oracle E-Business Suite (CVE-2025-20333).

Одновременно оформились две тактические линии:

Двойное и тройное вымогательство. Сначала шифрование, затем угроза публикации украденного, затем DDoS-давление на инфраструктуру.
Атаки без шифрования. Данные просто копируют и требуют деньги за неразглашение. Быстрее, тише, но с меньшей конверсией в оплату — что как раз объясняет падение доли заплативших.

Отдельная тема — коммерциализация: Ransomware-as-a-Service для малого бизнеса снизила порог входа до уровня «аренда панели и готовый плейбук». Разбор одного из свежих семейств — в материале Benzona: анатомия атаки.

Крупные утечки данных

Утечки недели охватили ритейл, медицину, финансы и медиа.

Macy's — доступ через уязвимость Oracle E-Business Suite; под вопросом записи клиентов, история транзакций и кадровые данные.
Kering (Gucci, Balenciaga, Alexander McQueen) — имена, контакты, адреса и история покупок клиентов нескольких брендов.
Episource — 351 562 человека, защищённая медицинская информация.
Doctor Alliance — около 1,2 млн человек, одна из крупнейших медицинских утечек года.
Miljödata (Швеция) — до 1,5 млн человек: имена, адреса, правительственные идентификаторы, даты рождения.
Nikkei — более 17 000 сотрудников и партнёров; вход через украденные учётные данные сотрудника в корпоративный мессенджер.

Общие векторы почти одинаковы: украденные учётные данные, непатченные уязвимости, доступ через подрядчиков и компрометация инструментов совместной работы. Никакой экзотики — базовые ошибки в управлении доступом.

Шпионаж под контролем государств

Группы, связанные с Китаем, активнее используют атаки типа «человек посередине» (AiTM): перехват сессии позволяет обходить MFA без взлома пароля. Атака на Hyundai AutoEver America приписывается группе Silk Typhoon.

Связанные с Россией акторы сместили фокус на энергетику, логистику и технологии Украины и стран ЕС, причём всё чаще работают через скомпрометированные идентичности, а не через классический целевой фишинг. Параллельно растёт рынок коммерческого шпионского ПО: zero-click эксплойты и социальная инженерия против пользователей мобильных мессенджеров.

Для корпоративной защиты это означает одно: проверки «логин плюс второй фактор» недостаточно. Нужны оценка риска сессии, ограничение времени жизни токенов и контроль устройств.

IoT-устройства как плацдарм

Вернулся ботнет ShadowV2 на базе Mirai: он собирает IoT-устройства по всему миру в армию для DDoS. Рядом действует RondoDox, также использующий известные уязвимости прошивок.

Типичная картина — камеры, принтеры, промышленные шлюзы и медиапанели с заводскими паролями и без обновлений. Такие устройства редко попадают в инвентаризацию, зато отлично подходят для усиления атак и как точка входа во внутреннюю сеть.

Что это значит для организации

Три вывода из недели:

ИИ сравнял качество атак. Преимущество «плохой текст выдаёт мошенника» исчезло, поэтому защита переносится на процессы: подтверждение платежей, проверка личности, ограничение прав.
Устойчивость работает. Падение доли выплат показывает, что проверенные резервные копии и отработанный план реагирования реально снижают ущерб.
Идентичность стала главным периметром. Большинство громких инцидентов начиналось с учётной записи, а не с эксплуатации внешнего сервиса.

План действий на следующую неделю

Проверить, что CVE-2025-20333 и CVE-2025-20362 закрыты, если используется Oracle E-Business Suite.
Ввести правило двойного подтверждения для переводов и смены банковских реквизитов, с проверкой по известному номеру.
Включить MFA везде, где она ещё не включена, и пересмотреть срок жизни сессионных токенов.
Протестировать восстановление из резервных копий, а не только наличие копий.
Провести инвентаризацию IoT и теневых SaaS-подписок.
Обновить программу обучения: сделать акцент на голосовых подделках и проверке по второму каналу.

Вывод

Неделя не принесла принципиально новых техник — она ускорила уже известные. Атаки стали дешевле и качественнее, а разница между пострадавшими и устоявшими определяется не бюджетом на инструменты, а гигиеной: инвентаризация, обновления, управление доступом и проверенные копии.

Нужен независимый взгляд на текущий уровень защиты? Свяжитесь с Cyberlord: работы выполняются по письменному договору, в согласованных границах и с отчётом, где каждая находка сопровождается шагами воспроизведения и приоритетом устранения.

Частые вопросы

Насколько достоверны цифры о росте фишинга на 620%? Это данные отраслевых исследователей по конкретному периоду и методике подсчёта. Абсолютное значение зависит от источника, но направление тренда подтверждают независимые отчёты: объём автоматизированных кампаний растёт кратно.

Почему доля заплативших выкуп снижается, если атак больше? Организации чаще восстанавливаются из резервных копий и реже идут на переговоры. Атакующие отвечают переходом к чистому вымогательству с угрозой публикации данных, где давление оказывается на репутацию, а не на доступность систем.

Обязательно ли платить выкуп, если данные уже украдены? Решение принимает руководство совместно с юристами и страховщиком. Оплата не гарантирует удаления копий и создаёт репутационные и регуляторные риски, поэтому основной упор делается на восстановление и уведомление пострадавших в установленные сроки.

Кибербезопасность: обзор недели 24–28 ноября 2025 года