Иностранная разведка теперь стоит за более чем третью кибератак на Германию

Кибератаки на Германию всё чаще совершаются государственными акторами, а не только преступными группировками, охотящимися за быстрой выгодой. Новые данные показывают, что иностранные разведывательные службы были связаны с 37% атрибутированных кибератак против немецких компаний в 2026 году — это пятикратный рост по сравнению с 7% в 2023 году. Этот сдвиг знаменует фундаментальное изменение в том, кто нацеливается на немецкий бизнес и почему, переводя разговор от оппортунистической киберпреступности к организованному шпионажу при поддержке государства.

Время имеет значение. Этот всплеск происходит на фоне того, как инструменты искусственного интеллекта делают для атакующих — будь то преступники или спонсируемые государством группы — более быстрым и дешёвым сканирование уязвимостей, автоматизацию фишинговых кампаний и масштабирование попыток вторжения. ИИ не создаёт новую категорию угроз, а скорее ускоряет объём и скорость существующих, позволяя меньшему числу операторов наносить больший ущерб по большему числу целей одновременно.

Противостояние с вымогателями на фоне угрозы национальной безопасности

Наиболее заметная точка напряжения в этом тренде связана с группой вымогателей Rhysida, которая заявила, что вывела 5,79 терабайта данных немецкого государства в результате взлома сети, произошедшего перед выборами. Берлин отказался платить выкуп — решение, которое подчёркивает, как правительства всё чаще рассматривают инциденты с программами-вымогателями, затрагивающие государственные данные, как вопросы национальной безопасности, а не простое вымогательство, которое можно тихо урегулировать.

Этот отказ перекликается с более широкой мировой тенденцией. Организации, которые платят группам вымогателей, могут столкнуться с серьёзными юридическими рисками, особенно когда атакующие связаны с подсанкционными субъектами или враждебными государствами. Как описано в нашем материале о выплатах выкупа программам-вымогателям и рисках санкций OFAC, компании и правительства находятся под растущим давлением, чтобы избегать выплат, которые могут непреднамеренно финансировать подсанкционных субъектов, даже когда немедленная цена — это украденные данные на серверах преступной группировки.

Смешение криминальной тактики вымогателей с целями государственного уровня, особенно в чувствительные политические моменты, такие как выборы, иллюстрирует, почему атрибуция стала такой сложной и такой важной. Публичные заявления группы вымогателей не всегда раскрывают полную картину того, кто заказал операцию и зачем.

Почему атрибуция становится сложнее, а не проще

Одна из наиболее тревожных нитей в данных о кибератаках на Германию — это то, что компаниям трудно даже подтвердить факт вторжения и определить виновных. Это не уникальная особенность Германии. Государственные кибероперации всё чаще заимствуют методы у криминальных группировок вымогателей, а преступные группы иногда действуют с молчаливого одобрения или с ресурсами государственных акторов, стирая грань между шпионажем и преступлением, мотивированным финансовой выгодой.

Эта модель не ограничивается Германией. Критическая инфраструктура в других странах сталкивалась с аналогичными вторжениями, связанными с государствами, как видно на примере кибератаки, связанной с Ираном, на системы водоснабжения в Миннесоте, что показывает, как субъекты, связанные с иностранной разведкой, готовы нацеливаться на инфраструктуру далеко за пределами традиционных целей шпионажа, таких как оборонные подрядчики или правительственные министерства. Опыт Германии, где иностранные разведывательные службы теперь причастны к более чем трети атак, вписывается в эту более широкую тенденцию нормализации киберопераций против компаний и государственных систем.

Правительства тоже отвечают расширением своих следственных полномочий. Южная Корея недавно разрешила своей разведке расследовать корпоративные взломы на основании одних подозрений — шаг, описанный в нашем отчёте о получении NIS Южной Кореи новых следственных полномочий. Рост числа атак иностранной разведки в Германии может вызвать аналогичные внутренние дебаты о том, сколько полномочий нужно службам безопасности для расследования и атрибуции взломов, связанных с государствами.

Что это значит для вас

Если вы работаете в немецкой компании или в любой организации, обрабатывающей чувствительные данные, связанные с критической инфраструктурой, выборами или государственными контрактами, эти данные — сигнал пересмотреть свою модель угроз. Иностранные разведывательные службы не обязательно ведут себя как типичные группы вымогателей. Их цели могут включать долгосрочный сбор данных, срыв в привязке к политическим событиям или подготовку к будущим операциям, а не быструю выплату.

Для обычных потребителей и сотрудников практический вывод более скромный, но не менее важный. Атаки, ускоренные ИИ, означают, что фишинговые письма, поддельные страницы входа и попытки социальной инженерии, скорее всего, станут более убедительными и более частыми. Базовая гигиена — уникальные пароли, многофакторная аутентификация и скептицизм к неожиданным запросам на вход — важна сейчас больше, чем когда-либо.

Ключевые выводы

Прыжок Германии с 7% до 37% кибератак, связанных с иностранной разведкой, за три года показывает, что угрозы при поддержке государства больше не являются нишевой проблемой, касающейся только оборонного и правительственного секторов. Компании во всех отраслях должны рассматривать необъяснимые сетевые аномалии как потенциально связанные с государством, пока не доказано обратное, инвестировать в планы реагирования на инциденты, учитывающие требования выкупа, связанные с чувствительными данными, и оставаться бдительными к фишингу и попыткам вторжения, усиленным ИИ. Отказ Берлина платить выкуп Rhysida отражает более широкий сдвиг к рассмотрению этих инцидентов как стратегических угроз, а не рутинной киберпреступности — подход, который стоит начать применять любой организации, работающей с ценными данными.