Статья Значки, байты и шантаж

[admin]

Введение: Один из взглядов на разрозненную борьбу с киберпреступностью​

Растущая изощренность и диверсификация киберпреступлений вынуждают правоохранительные органы по всему миру реагировать посредством все более скоординированных и широко освещаемых в СМИ действий. Однако, несмотря на прозрачность этих операций, насколько нам известно, до сих пор нет всеобъемлющего обзора того, как правоохранительные органы борются с киберпреступностью в глобальном масштабе. Общедоступная информация разбросана по различным ведомствам, юрисдикциям, а также в рамках отдельных отчетов по конкретным делам (например, «Операция «Эндгейм»»). [1] Форматы отчетности и предоставляемые данные носят фрагментарный характер, а не дают целостного понимания того, какие виды преступлений преследуются, какие действия предпринимаются и кто являются преступниками. Это приводит к разрозненным сведениям, а не к последовательной глобальной картине. Поэтому, насколько нам известно, в открытом доступе не существует систематически сводной информации о действиях правоохранительных органов.

Для устранения этого пробела в данном анализе представлен систематически сформированный набор данных, включающий 418 публично объявленных мероприятий правоохранительных органов, проведенных в период с 2021 года по середину 2025 года. Данные были собраны группами разведки Orange Cyberdefense, которые постоянно отслеживают и оценивают киберугрозы для выявления новых тенденций и эволюции кибер-инцидентов.


В нашем наборе данных каждая запись представляет собой подтвержденное действие правоохранительных органов, собранное на основе официальных заявлений и сообщений в СМИ, а затем вручную дополненное командой Исследовательского центра кибербезопасности Orange путем перекрестной проверки каждой записи с целью включения контекстных и демографических данных, если таковые имеются.


Основное внимание уделяется типу предпринятых правоохранительными органами действий, таких как аресты, экстрадиция, закрытие незаконных платформ, изъятия или санкции. Тип незаконной деятельности также документировался путем указания того, к какому типу деятельности относились правоохранительные действия, например, взлом, распределенная атака типа «отказ в обслуживании» (DDoS), мошенничество со стороны ИТ-специалистов или кибервымогательство, а затем переводился в фактическое уголовное деяние таких атак.

Какие уголовные преступления были рассмотрены?​

На этом графике показаны 10 наиболее часто встречающихся преступлений, расследование которых правоохранительные органы проводили в ходе операций, о которых сообщалось публично.


Данные показывают, что вымогательство (включая программы-вымогатели) является наиболее часто встречающимся видом преступной деятельности, за которым следуют установка или распространение вредоносного программного обеспечения (вредоносных программ) и несанкционированный доступ или вторжение (взлом). Вместе эти три категории доминируют в этой сфере и демонстрируют постоянное внимание правоохранительных органов к операциям по кибервымогательству и техническим вторжениям, которые их позволяют осуществлять.

Другие распространенные виды преступлений, включая несанкционированный доступ с целью шпионажа (кибершпионаж), предоставление криминальной инфраструктуры (торговые площадки/сайты в даркнете или услуги инфраструктуры и хостинга) и мошенническое приобретение финансовых активов (мошенничество), свидетельствуют о том, что власти также преследуют пособников и организаторов киберпреступлений. Хотя и реже, такие преступления, как незаконная торговля данными/информацией (продажа краденых товаров (данных)), использование криптовалюты для сокрытия или содействия преступлению (злоупотребление криптовалютой) и сокрытие доходов от преступной деятельности с помощью ИКТ (отмывание денег), отражают растущее внимание правоохранительных органов к финансовым операциям и механизмам отмывания денег, лежащим в основе киберопераций.

Хотя финансовая выгода по-прежнему остается одним из главных факторов, побуждающих к киберпреступлениям, [2,3,4] Границы между мотивами становятся все более размытыми, в некоторых случаях меняясь в ответ на геополитические события, о чем мы постоянно сообщали в течение последних двух лет. [5,6] Действия, изначально рассматриваемые как мотивированные финансовыми соображениями, могут быстро приобрести политический или идеологический характер. Эти размытые границы демонстрируют, как финансовые, политические и когнитивные мотивы все чаще сосуществуют, бросая вызов традиционным различиям между преступной и идеологической кибердеятельностью.

Какие действия были предприняты правоохранительными органами?​

Аресты составляют наибольшую долю (29%) действий правоохранительных органов, что свидетельствует о неизменном внимании правоохранительных органов к индивидуальной ответственности и преследованию по закону. Задержания (17%) и предъявление обвинений (14%) указывают на сильный акцент на разрушении оперативных сетей и привлечении правонарушителей к ответственности и в совокупности составляют почти треть всей деятельности. Дополнительные меры, такие как вынесение приговоров (11%), санкции (7%) и изъятия (4%), показывают, что правоохранительные органы борются как с преступниками, так и с экономической инфраструктурой, поддерживающей их деятельность. В частности, санкции демонстрируют устойчивый рост в последние годы и отражают растущее использование нетрадиционных механизмов правоприменения для включения экономических и дипломатических инструментов в арсенал правоохранительных органов.




Такие действия, как расследования, объявления о розыске и экстрадиции, демонстрируют трансграничное сотрудничество и процедурную глубину каждой публично освещаемой операции по обеспечению правопорядка. Объявления о розыске представляют собой ненасильственную меру правоприменения, ориентированную на публичную идентификацию и преследование. Они преодолевают разрыв между расследованием и арестом, способствуя трансграничной координации и оказывая постоянное давление на подозреваемых. Благодаря публичному установлению личности, они также выполняют сдерживающую функцию, сигнализируя о возможностях и охвате правоохранительных органов даже тогда, когда прямое задержание невозможно немедленно.

Если мы объединим данные, показывающие тип противоправной деятельности, с типом действий правоохранительных органов, мы увидим, что аресты преобладают почти по всем видам преступлений, особенно по кибервымогательству (22) и хакерству (19).


Следующими по частоте ответными действиями являются предъявление обвинений и вынесение приговоров, что свидетельствует о том, что многие дела проходят через судебный процесс. Кибервымогательство, вредоносное ПО, хакерство и кибершпионаж вызывают наиболее разнообразный спектр реакций (включая аресты, предъявление обвинений, вынесение приговоров и санкции).


Удаление сайтов и торговых площадок тесно связано с подобными проектами. [7,8,9] и инфраструктура вредоносного ПО [10,11,12] Это вполне логично, учитывая оперативную логику подобных действий. Эти операции обычно включают скоординированный демонтаж онлайн-инфраструктуры, такой как серверы, домены или коммуникационные платформы, которые позволяют осуществлять преступную деятельность. В случае с торговыми площадками в даркнете, закрытие часто включает в себя изъятие серверов, арест администраторов и замену целевых страниц веб-сайтов баннерами правоохранительных органов, что сигнализирует о контроле и сдерживании. Санкции, по-видимому, в основном связаны с кибершпионажем и операциями, направленными против государства, отражая действия на государственном уровне, а не направленные против отдельных лиц.

Какие организации являются ведущими в сфере правоохранительной деятельности? ​

Лидерство Соединенных Штатов в мире в сфере киберправоохранения подтверждается тем, что они являются основным участником почти половины всех операций (45%).


Вторая группа, а именно Германия, Великобритания, Россия, Украина, Нидерланды, Испания и Франция, представляет собой ядро глобального потенциала в области кибербезопасности за пределами США. Активное участие государств-членов ЕС в операциях, проводимых при содействии Европола и Евроюста, демонстрирует акцент Союза на совместном трансграничном подходе к обеспечению соблюдения законодательства.


Присутствие России и Украины в верхней части этого списка заслуживает внимания. Эти государства часто становятся объектами глобальных правоохранительных действий, но также проводят собственные внутренние судебные процессы и операции по борьбе с киберпреступностью, часто связанные с политически чувствительными делами. Такие записи, как «Международные страны» и «Европейские страны», отражают роль многонациональных оперативных групп, где лидерство разделяется между сторонами. К ним относятся операции по задержанию, координируемые Европолом, операции Интерпола и сотрудничество в рамках альянса «Пять глаз». В некоторых случаях заявления правоохранительных органов не содержали подробностей и описывали только многонациональные действия европейских или международных стран; всякий раз, когда страны указывались отдельно, это было задокументировано в наших данных.


Распределение участвующих национальных органов власти, естественно, отражает те же географические закономерности, которые наблюдались при анализе на уровне стран.




Исследование 20 ведущих учреждений, участвовавших в зафиксированных операциях правоохранительных органов, подчеркивает явное доминирование американских ведомств. Министерство юстиции США (DOJ) и Федеральное бюро расследований (FBI) лидируют с большим отрывом, за ними следуют частные организации, которые, по-видимому, играют важную роль в борьбе с киберпреступностью. Присутствие OFAC (Управление по контролю за иностранными активами) также играет свою роль. [13] Это также иллюстрирует интеграцию финансовых и политических инструментов в меры реагирования на киберпреступность.


Особого внимания заслуживает значительное представительство частных организаций среди поддерживающих субъектов. В данном наборе данных частные организации входят в тройку наиболее часто упоминаемых участников. Из 169 проанализированных учреждений 74 различных частных организации были определены как оказывающие поддержку усилиям в той или иной форме. Это важный показатель расширения масштабов государственно-частного сотрудничества, демонстрирующий его растущую важность в борьбе с киберпреступностью.

Типологии киберпреступлений в целом и по возрастным группам.​

Анализ распределения участников киберпреступлений по возрастным группам выявляет значительные различия в типах преступлений на протяжении всей жизни.




Следует отметить, что некоторые возрастные группы представлены очень небольшим количеством случаев, что ограничивает возможности интерпретации. В нашем наборе данных (n=193 правонарушителя с подтвержденными данными о возрасте) на возрастную группу 35-44 года приходится 37%, за ней следуют 25-34 года (30%) и 18-24 года (21%), которые вместе составляют почти 90% всех выявленных правонарушителей. Напротив, на более молодые (12-17 лет) и более старшие (55 лет и старше) группы приходится менее 5% случаев каждая, что делает статистический анализ этих категорий менее значимым. Особенно в случае с лицами в возрасте 12-17 лет и младше следует отметить, что более молодые правонарушители, вероятно, недопредставлены, поскольку несовершеннолетние часто защищены от судебного преследования и публичного разглашения в рамках национальных правовых систем, что ограничивает их видимость в отчетах правоохранительных органов.


Соответственно, мы сосредоточимся в первую очередь на трех основных возрастных группах (18-24, 25-34 и 35-44 года), где представленность правонарушителей наиболее высока.


Среди молодых людей (18-24 лет) киберпреступления демонстрируют большое разнообразие, но преимущественно ориентированы на технические аспекты. В этой возрастной группе явно доминирует хакерство (30%), за которым следуют продажа краденых товаров (данных) и DDoS-атаки (по 10% каждая), действия, которые часто требуют технических навыков и могут служить скорее репутационным или исследовательским целям, чем немедленной финансовой выгоде. Вторичная группа преступлений — вредоносное ПО, мошенничество, телекоммуникационное мошенничество, деятельность на рынках даркнета и кибервымогательство (по 8% каждая) — иллюстрирует экспериментальный и многогранный характер участия этой возрастной группы в киберпреступности.


Среди правонарушителей в возрасте 25-34 лет наблюдается явная тенденция к смещению акцента на такие виды деятельности, как продажа краденых товаров (данных) (21%), кибервымогательство (14%) и распространение вредоносного ПО (12%). Это может указывать на переход к деятельности, мотивированной получением прибыли, среди лиц этого возраста.


Тенденция усиливается в возрастной группе 35-44 лет, которая является самой многочисленной в этом наборе данных и демонстрирует наибольшее разнообразие типов преступлений. В этой группе доминирующим видом преступлений является кибервымогательство (22%), за которым следуют вредоносное ПО (19%), кибершпионаж (13%), хакерство (10%) и отмывание денег (7%). В совокупности эти категории составляют подавляющее большинство преступлений, совершаемых этой возрастной группой, что потенциально указывает на сосредоточенность на действиях, имеющих большое финансовое и политическое значение.

Национальность​

Гражданство правонарушителя было установлено в 365 случаях. Набор данных содержит информацию о правонарушителях из 64 различных национальностей, что свидетельствует о широком географическом и культурном разнообразии. Хотя национальность может дать ценную информацию о географическом и социально-политическом контексте правонарушителей, она предоставляет лишь частичное представление в взаимосвязанном цифровом пространстве.


Учитывая транснациональный характер интернета и сложные, изменчивые идентичности субъектов, действующих в разных юрисдикциях, одной лишь национальности недостаточно для достоверного определения истинного происхождения или принадлежности к той или иной группировке киберпреступников.


Распределение сильно смещено в сторону небольшого числа стран. В наборе данных преобладают граждане России, на их долю приходится 85 человек (23%), за ними следуют граждане США (11%), Китая (11%), Украины (9%) и Северной Кореи (5%). Вместе эти пять национальностей составляют более половины всех случаев (58%). Примечательно, что одно из объяснений относительно большого числа американских преступников может быть связано с юрисдикционной и отчетной предвзятостью: власти США проводят и публично раскрывают гораздо больше дел о киберпреступлениях, чем большинство других стран, что делает американские дела более заметными в открытых данных.




Правонарушители британской национальности (n=17) также составляют значительную долю участников. Участие западных стран свидетельствует о двух вещах: о постоянных усилиях и прозрачности, которые они демонстрируют, и в то же время о том, что кибероперации и связанные с ними преступления не ограничиваются государствами, обычно причастными к киберпреступной деятельности. Одно из объяснений может заключаться в том, что мы можем наблюдать тенденцию к увеличению числа внутренних субъектов угроз, базирующихся в Европе, Соединенном Королевстве и Северной Америке, а следовательно, в англоязычных странах, как указывается в недавней статье. [14] .


Помимо первой пятерки, среди правонарушителей представлены представители многих других национальностей: голландцы, французы, немцы, канадцы, австралийцы, сингапурцы и другие. Однако следует отметить, что меньшее число правонарушителей не обязательно означает меньший уровень активности, а может отражать различия в обнаружении, раскрытии или установлении вины.

Основные выводы​

В совокупности полученные результаты предлагают двойной взгляд на борьбу с киберпреступностью, рассматривая как правонарушителей, так и сотрудников правоохранительных органов, работающих над противодействием им.


Что касается правонарушителей, данные выявляют устойчивые асимметрии. Подавляющее большинство выявленных правонарушителей — мужчины, что отражает тенденции, широко наблюдаемые в исследованиях киберпреступности. Возрастные данные показывают, что киберпреступления сосредоточены среди взрослых в возрасте от 20 до 40 лет, при этом сравнительно мало случаев с участием более молодых или более старших лиц. Типы преступлений различаются в этих возрастных группах: молодые правонарушители часто занимаются техническими и исследовательскими действиями, такими как взлом и DDoS-атаки, в то время как более старшие возрастные группы чаще участвуют в операциях, направленных на получение прибыли или сложных операциях, таких как кибервымогательство, кража данных и развертывание вредоносного ПО.


Данные о гражданстве показывают сильную концентрацию преступлений в нескольких группах, при этом на долю граждан России приходится почти четверть случаев. Хотя гражданство не может в полной мере описать происхождение киберпреступлений во взаимосвязанном цифровом пространстве, оно дает полезное представление о социально-политическом и региональном контексте, в котором действуют преступники. Типы преступлений, наиболее часто преследуемых по закону, такие как финансовые преступления с использованием кибертехнологий, вымогательство и программы-вымогатели, а также несанкционированный доступ, свидетельствуют о том, что большинство киберпреступлений по-прежнему мотивированы в первую очередь финансовыми соображениями.


Анализ 418 публично освещенных операций правоохранительных органов (2021 г. – середина 2025 г.) показывает все более активный и диверсифицированный глобальный ответ правоохранительных органов. Наиболее заметны Министерство юстиции США и ФБР, к которым присоединились ведущие европейские агентства, такие как Европол, немецкое Бюро уголовного розыска (BKA), а также власти Нидерландов и Франции. Участие Украины, России, Австралии, Сингапура, Японии и Нигерии демонстрирует, насколько интернациональным стало правоприменение. Частные организации также играют решающую роль: семьдесят четыре частные компании в той или иной степени поддерживали операции, показывая, что государственно-частное партнерство теперь имеет важное значение для постоянных усилий по пресечению противоправной деятельности.


Это лишь отрывок из материалов, посвященных актуальным темам кибербезопасности. Чтобы ознакомиться с полной информацией и подробными статьями об использовании и злоупотреблении генеративным ИИ, постквантовой криптографии, управлении уязвимостями и кибервымогательстве, а также со статистикой CyberSOC и прогнозами в области безопасности, вам следует прочитать Security Navigator 2026! Перейдите на страницу загрузки и получите копию.

• [1] Европол – Операция «Конец игры»
• [2] Verizon – Краткое изложение результатов DBIR за 2025 год
• [3] Отчет ФБР IC3 о преступлениях в интернете за 2024 год
• [4] ENISA – Обзор угроз 2024
• [5] Orange Cyberdefense – Security Navigator 2024
• [6] Orange Cyberdefense – Security Navigator 2025
• [7] Министерство юстиции США – Преступное нарушение рынка
• [8] Европол – Коалиция по ликвидации преступной платформы
• [9] Голландская полиция – зачистка даркнета Богемии/Каннабии
• [10] Европол – Удаление вредоносного ПО FluBot
• [11] Германия BKA – Рынок Королевства Даркнета
• [12] Европол – Крупнейшая в истории операция по созданию ботнета
• [13] Министерство финансов США – Управление по контролю за иностранными активами (OFAC)
• [14] Связывающий крючок – ответ Великобритании на киберпреступников

Примечание: Данная статья была профессионально написана и подготовлена Дианой Селк-Полссон, старшим научным сотрудником по вопросам безопасности в компании Orange Cyberdefense.