По итогам 2026 года число участников теневого рынка DDoS-атак может вырасти как минимум на 25% по сравнению с прошлым годом — об этом предупредили эксперты. При этом заказная DDoS-атака уже превратилась в ходовой товар в даркнете — ее стоимость начинается от $30. Потенциальным покупателям охотно предлагают короткие тесты, чтобы удостовериться в качестве «товара». Подробности о том, как устроен теневой рынок DDoS-атак, почему растет число его участников и чем это грозит, читайте в материале «Известий».

О том, что по итогам 2026 года число участников теневого рынка DDoS-атак может вырасти как минимум на 25% по сравнению с прошлым годом, говорится в свежем исследовании аналитиков Kaspersky Digital Footprint Intelligence. До 2022 года они появлялись в сравнительно меньшем количестве, но в 2023 году приток заметно ускорился: только за первый квартал 2026 года исследователи выявили 16 новых поставщиков.

Средний продавец сохраняет активность около 2,5 лет, а самые опытные работают почти 10 лет. Всего эксперты насчитали почти 150 действующих поставщиков подобных услуг в даркнете. Там заказная DDoS-атака уже превратилась в ходовой товар: ее стоимость начинается от $30, а потенциальным покупателям продавцы охотно предлагают короткие тесты (стоит около $10, иногда и вовсе проводится бесплатно), чтобы удостовериться в качестве «товара».

При этом низкая цена соседствует с довольно серьезными заявленными возможностями. Как отмечают специалисты Kaspersky Digital Footprint Intelligence, часть поставщиков рекламирует специальные предложения для игровых серверов, обещает трафик мощностью в несколько Тбит/с и заявляет о возможности обходить защиту от DDoS. Продавцы также пытаются улучшать инструменты с помощью ИИ-технологий и эмуляции поведения браузера для прохождения CAPTCHA.

Заказные DDoS-атаки существуют больше 10 лет: массовому распространению этой модели помогли доступность вычислительных мощностей и развитие облаков, говорит в беседе с «Известиями» директор продукта Solar Space (ГК «Солар») Артем Избаенков. Сегодня злоумышленникам, по словам эксперта, уже необязательно создавать собственный ботнет: инфраструктуру можно арендовать в разных странах и задействовать на время атаки. При этом оплата за фактически используемые ресурсы позволяет снижать расходы между заказами — это удобно для коммерциализации.

— На этой основе появились готовые сервисы с тарифами, личными кабинетами и поддержкой, — рассказывает собеседник редакции. — Техническую работу выполняет поставщик, а заказчику достаточно выбрать параметры. Сложность организации атаки не исчезла — ее перенесли с покупателя на продавца.

Дилерами на рынке DDoS-атак выступают как технически подкованные администраторы ботнетов, так и обычные посредники (реселлеры), которые в основном и предлагают эти услуги в андеграунде, дополняют эксперты департамента киберразведки (Threat Intelligence) компании F6. При этом деятельность подобных продавцов давно вышла за пределы закрытых теневых форумов TOR и I2P.

Сегодня агрессивная реклама, техническая поддержка и витрины stresser-сервисов открыто размещаются в мессенджерах и на клирнет-ресурсах под видом легальных инструментов для тестирования сетей на нагрузку, а оперативное управление и коммуникация с клиентами сместились в Telegram-боты и специализированные каналы.

— Цель DDoS-атаки — нарушение работоспособности сети, сайта или сервиса, — объясняет начальник отдела по информационной безопасности компании «Код Безопасности» Алексей Коробченко. — Заказчиками могут выступать конкуренты, недобросовестные участники рынка, а также лица, действующие по идеологическим мотивам. Отдельно выделяются хактивисты и злоумышленники-вымогатели.

Сегодня ассортимент услуг на рынке DDoS-атак зависит от поставщика: покупатели могут заказать перегрузку сетевой инфраструктуры или атаку непосредственно на веб-приложение, а более дорогие услуги позволяют комбинировать несколько способов воздействия, объясняет аналитик угроз GSOC компании «Газинформсервис» Владислав Шелепов. Кроме того, есть разовые заказы и подписочная модель DDoS-as-a-Service, когда клиент получает доступ к инструменту на определенный срок.

— Поставщики предлагают атаки сетевого уровня L3 и L4, которые перегружают канал связи, прикладного уровня L7, которые нагружают сам сайт или приложение, а также комбинированные схемы, — дополняет технический директор компании «Стахановец», эксперт в области ИБ и IT Сергей Щербаков. — Около 70% продавцов рекламировали методы L4, а 92% предлагали L7.

По словам специалиста, разовые атаки через посредников стоят примерно от 2,7 до 180 тыс. рублей. Подписка на DDoS как услугу — от 90 до 270 тыс. рублей в месяц. Тестовая атака стоит около 900 рублей, но иногда и бесплатной. Для примера, атака L4 стоит около 7,2 тыс. рублей в час, 45 тыс. рублей — за сутки, а L7 — 54 тыс. рублей за 24 часа.

Главный риск коммерциализации DDoS–атак — снижение порога для их проведения, полагает руководитель отдела по информационной безопасности Axiom JDK Дмитрий Карасовский. Поскольку в даркнете и дипвебе предлагают услуги по разным видам, практически любой заинтересованный злоумышленник может воспользоваться готовым решением. При низкой стоимости атаки финансовый барьер становится сопоставимым с обычными операционными расходами, а значит, DDoS может использоваться не только профессиональными киберпреступниками, но и как инструмент давления в рамках конфликта или конкурентной борьбы.

— Внешняя политическая напряженность усиливает угрозу: государственные ресурсы становятся основными целями, — предупреждает собеседник «Известий». — Для государственных информационных систем основной риск связан с недоступностью услуг: граждане не могут подать заявления, организации — передать отчетность, ведомства — обменяться сведениями.

При этом особенно опасны сбои перед истечением обязательных сроков, дополняет он. Перегрузка общей авторизации или интеграционного компонента способна затронуть несколько сервисов сразу. Однако недоступность публичного сайта не обязательно означает остановку внутренних систем.

Эффективная борьба с теневым рынком DDoS невозможна силами одной лишь технической защиты — она требует комплексного подхода на стыке киберразведки и международного права, отмечают эксперты департамента киберразведки (Threat Intelligence) компании F6. Во-первых, необходимы скоординированные операции спецслужб по ликвидации инфраструктуры злоумышленников — захват C2-серверов и криминалистический анализ платежных цепочек в блокчейне для деанонимизации и ареста операторов.

— Во-вторых, критически важно ужесточать регуляцию теневых хостинг-провайдеров, пресекая деятельность так называемых абузоустойчивых хостингов, — считают специалисты. — А также повсеместно внедрять механизмы противодействия DDoS-атакам, включая защиту от наиболее сложных атак с использованием ИИ.

Организаторы, управляющая инфраструктура и сайт продавца могут находиться в разных странах, в том числе вне российской юрисдикции, дополняет Артем Избаенков. Это осложняет установление причастных и пресечение деятельности, а заблокированную площадку можно заменить. Поэтому необходима совместная работа правоохранительных органов, облачных и хостинг-провайдеров, операторов связи и специалистов по ИБ.

— Бизнесу необходимы фильтрация трафика, мониторинг аномалий, план действий при атаке и разведка теневого рынка. Но пока теневой рынок устойчив, так как площадки восстанавливаются от 30 до 40 часов, а эффект блокировок длится всего месяц, — заключает Сергей Щербаков.