Подпишитесь на этот дайджест — и он будет приходить вам прямо в почтовый ящик! Это бесплатно и безопасно.

Образ хакера давно стал частью массовой культуры – фигура одиночки, который с помощью вычислительной мощности и таланта способен открыть любые цифровые двери. Но за этим романтизированным штампом скрывается куда более сложная реальность. В современном киберпространстве существуют не просто отдельные специалисты, владеющие методами атаки и защиты, а целые экосистемы акторов, которые определяют динамику цифровых конфликтов, вмешиваются в работу инфраструктур и формируют новые типы угроз. Понять, как устроены эти угрозы, невозможно без взгляда на самих хакеров – их мотивацию, подходы и этику.

Какие бывают хакеры?

Несмотря на то, что исследователи выделяют десятки типов хакеров, классифицируя их по самым разным признакам (от уровня навыков и используемых технологий до характера атак и степени риска для целей) в целом, их деятельность и мотивацию можно обобщить в три большие группы.

«‎Черные» хакеры («‎black hat»)

Это те, кто использует знания о системах для откровенно преступных целей. Они взламывают корпоративные сети ради выкупа, крадут базы данных, продают доступ к чужим серверам и создают вредоносные программы, которыми потом пользуются другие злоумышленники. Среди них есть опытные разработчики, которые пишут сложные вирусы, и «новички», запускающие готовые скрипты, чтобы, например, парализовать сайт атаками через ботнет. К этой же категории относятся инсайдеры, которые выносят конфиденциальные данные своей же компании, и криптодобытчики, незаметно превращающие чужие компьютеры в источник прибыли. Общий знаменатель прост: сознательное нарушение закона ради денег или вреда.

Белые хакеры («‎white hat»)

Специалисты, которые используют те же методы, но с противоположной целью. Они намеренно пытаются взломать систему, чтобы хозяева узнали о слабых местах: проверяют, можно ли подобрать пароль, обойти защиту или внедрить вредоносный код. В компаниях такие специалисты проводят «учебные» атаки, чтобы показать, где защита хрупка, а иногда исследуют новые продукты, чтобы убедиться, что их можно вводить в оборот без риска. Белые хакеры работают легально и помогают предотвращать реальные инциденты до того, как ими воспользуются преступники.

Серые хакеры («‎gray hat»)

Это те, кто действует «между двух огней». Они могут проникнуть в систему без разрешения, но движимы не жаждой наживы, а любопытством, желанием проверить свои навыки или показать владельцам, что их защита далека от безупречности. Иногда они передают найденные уязвимости администраторам, иногда публикуют их открыто, подталкивая организации к исправлению проблемы. Порой их действия переходят в сферу цифрового «мстительства»:  они вмешиваются в мошеннические схемы или выводят из строя инструменты преступников. Иногда серые хакеры действуют по логике общественного раскрытия значимой информации: обнародуют данные или факты, которые, по их мнению, важно вынести на свет ради безопасности или интересов общества – даже если это связано с нарушением правил доступа. Но, как бы ни были высоки мотивы, юридически такие действия остаются в «серой зоне», где намерения сталкиваются с законом. 

Эта классификация показывает, насколько различны роли и намерения отдельных специалистов. При этом даже в эпоху организованных кибератак одиночные хакеры продолжают оставлять заметный след и удивлять масштабом своих действий. Так, британец Кай Логан Вест (псевдоним IntelBroker) с 2021 по 2025 год совершил серии взломов и последующую продажу украденных баз данных десятков компаний, включая телеком‑операторов и медицинские учреждения, что принесло многомиллионный ущерб. В то же время швейцарка, хакерка-анархистка maia arson crimew (ранее Tillie Kottmann) прославилась рядом одиночных действий с идеологическим мотивом: она публиковала исходники и данные компаний, включая Intel и Nissan, а также обнародовала уязвимости в облачных сервисах, заявляя, что делает это в интересах общественного контроля и прозрачности. Эти истории показывают: одиночки могут потрясти мир, привлекать внимание и открывать уязвимости. Но их возможности и устойчивость все же не сравнимы с тем, что достигается объединенными коллективами хакеров.

Хакерские группировки

Именно такие группы формируют наиболее опасный слой цифровых акторов: они ведут разведку, координируют операции, распределяют роли, строят собственные экосистемы и действуют не эпизодически, а как тщательно организованные структуры. Чтобы понять их логику, важно рассматривать их не просто как технарей, а как полноценные политические, криминальные или идеологические силы со своей мотивацией и стратегией. И эта мотивация – ключевой ориентир, который позволяет разделять хакерские группировки на несколько крупных категорий.

Государственные группы (state-sponsored groups)

Организованные хакерские группы, действующие в интересах государства, ведут операции, направленные на скрытое проникновение в цифровые системы других стран, кражу конфиденциальной информации и нарушение функционирования критически важных инфраструктур. Такие атаки становятся инструментом современной кибервойны: они могут включать внедрение вредоносного ПО, фишинг, атаки «‎отказа в обслуживании» и даже эксплуатацию уязвимостей «нулевого дня». Государственные группы часто используют сложные методы социальной инженерии и многослойные стратегии проникновения, что делает их действия практически незаметными и чрезвычайно эффективными.

Киберпреступные группировки (cybercriminal groups)

Преступные организации, использующие хакерские методы ради заработка, выстраивают свою деятельность как теневой технологический бизнес. Они зарабатывают на вымогательстве, краже и перепродаже данных, взломе корпоративных сетей и создании собственного вредоносного софта, который распространяют через партнерские схемы. В их арсенале фишинговые рассылки, проникновение через уязвимости, покупка доступа у специальных посредников, использование загрузчиков и стилеров, а также сервисы по аренде вредоносных инструментов. Такая инфраструктура позволяет им вести атаки серийно, быстро менять тактику и оставаться скрытыми, превращая киберпреступность в устойчивую и прибыльную индустрию.

Идеологические и хактивистские сообщества (hacktivist groups)

Хактивистские группы – это сообщества, для которых хакерские инструменты становятся формой публичного высказывания. Они действуют не ради наживы, а ради идеи: вмешиваются в работу цифровых ресурсов, чтобы выразить протест, привлечь внимание к социальной или политической проблеме, поддержать движение или обнажить несправедливость. Их атаки превращаются в информационные акции, где главная страница сайта может стать цифровым плакатом, утечка данных – способом вывести проблему на свет и создать резонанс, а выведение сервисов из строя – жестом давления.

Хакерская кибер-элита — Advanced Persistent Threat

Но внутри этого многообразия есть особая «весовая категория». Речь идет о тех объединениях, что действуют не эпизодически, а методично и стратегически, ведут разведку, строят инфраструктуру и месяцами удерживаются в сетях «‎жертвы». Именно такие коллективы выполняют то, что в профессиональной среде называют Advanced Persistent Threat (APT) – высокоуровневые, скрытные и продолжительные кибероперации. 

APT-группы действуют целенаправленно и системно, месяцами удерживая доступ к чужим сетям. В исследовательской литературе такие акторы описываются как технически оснащенные, настойчивые и ориентированные на конкретные цели коллективы. Их атаки строятся вокруг собственных инструментов, эксплойтов «‎нулевого дня» и методик, которые позволяют обходить даже продвинутые механизмы защиты. В отличие от обычных киберпреступников, использующих готовые уязвимости, APT-группы создают свои средства атаки, тщательно подбирают жертву и готовы тратить значительные ресурсы ради достижения результата. Эти группы работают как долгосрочные проекты: выбирают цель заранее, проводят разведку, медленно разворачивают операцию и годами удерживают присутствие в инфраструктуре противника. Их мотивы – доступ к важным конфиденциальным данным, промышленный и государственный шпионаж, политическое влияние или стратегическое ослабление оппонента. Из-за высокой ресурсоемкости такие группы почти всегда связаны с государствами:  чаще всего исследования и отчеты указывают на Россию, Китай, Иран и Северную Корею, где APT-формирования действуют как часть национальных киберопераций.

Однако даже внутри категории APT и других организованных коллективов различия остаются огромными. Одни группы специализируются на кибершпионаже, другие – на саботаже или вымогательстве, третьи –  на целевых атаках против конкретных отраслей. Каждая из них выстраивает собственную инфраструктуру, использует уникальные инструменты и оставляет характерные «почерки» в своих операциях. Понять современную карту цифровых угроз невозможно без знакомства с теми, кто сегодня формирует ее контуры на практике.

Поэтому ниже приведен обзор наиболее активных и заметных хакерских группировок последних лет: тех, чьи действия определяли и определяют динамику киберконфликтов, влияют на безопасность государств и корпораций и задают тон развитию наступательных кибертехнологий. Этот список, очевидно, не исчерпывает все существующие коллективы, но он отражает основные тенденции и демонстрирует разнообразие подходов, мотиваций и стратегий, которые формируют глобальную киберсреду.

При этом важно учитывать, что одна и та же хакерская группа может иметь десятки разных названий: разные компании используют собственные схемы классификации. Например, одна и та же группа у Microsoft называется Forest Blizzard (компания использует для названий термины, связанные с погодой), у CrowdStrike – Fancy Bear (компания использует для обозначения животных), а в отчетах Mandiant фигурирует как APT28. Такие расхождения нередко создают путаницу, поэтому в обзоре ниже группы приведены под наиболее распространенными и узнаваемыми именами.

10 самых заметных хакерских группировок

Midnight Blizzard (APT29, Cozy Bear)

Активность: примерно с 2008 – по настоящее время
Страна / аффилиация: Россия, предполагаемая связь со Службой внешней разведки (СВР)
Специализация: кибершпионаж против правительств, дипломатических структур, аналитических центров и высокотехнологичных компаний по всему миру

Деятельность: APT29 использует методы малозаметного и точного проникновения, от тщательно подготовленного фишинга, имитирующего внутреннюю переписку, до эксплуатации доверенных облачных сервисов. Их операции построены так, чтобы растворяться в обычной активности сети: злоумышленники копируют поведение сотрудников, постепенно повышают привилегии и закрепляются в системе, оставаясь незамеченными длительное время.

• Компрометация цепочки поставок SolarWinds (2019–2021) – одна из крупнейших кибершпионских операций десятилетия: APT29 внедрила вредоносный модуль прямо в процесс сборки обновлений SolarWinds Orion. Эти «официальные» обновления получили около 18 000 организаций, включая госведомства и крупные корпорации в Северной Америке, Европе, Азии и на Ближнем Востоке. После попадания в сеть жертвы злоумышленники выбирали только самые важные организации, ставили дополнительные скрытые инструменты, изучали внутренние сети, скачивали почту, документы и исходный код.
• Облачные атаки (2021–2023) – серия скрытых атак на правительственные структуры, дипломатические миссии и технологические компании, в ходе которых злоумышленники использовали уязвимости в облачных сервисах и украденные токены доступа, чтобы незаметно проникать в рабочие среды жертв и собирать конфиденциальные данные.

LockBit

Активность: с 2019 года – по настоящее время
Страна / аффилиация: международная киберпреступная группировка,  с государственным структурам не аффилирована
Специализация: масштабные вымогательские атаки на корпорации, государственные учреждения, больницы, промышленные предприятия и инфраструктурные объекты по всему миру

Деятельность: LockBit действует как высокотехнологичная криминальная сеть, используя комбинацию шифровальщиков, кражи данных, взломов цепочек поставок и сложных техник проникновения, чтобы парализовать работу организаций и требовать многомиллионные выкупы. Несмотря на масштабные международные операции правоохранителей и серьезные удары по ее инфраструктуре, в 2025 году LockBit продолжает оставаться крайне активной группировкой, регулярно проводя новые вымогательские атаки.

• Атака на Royal Mail (2023) – одна из самых резонансных вымогательских атак в Великобритании, когда LockBit нарушила работу национальной почтовой службы, заблокировав международные отправления и выкрав внутренние документы компании.
• Атака на Boeing (2023) – глобальная авиастроительная корпорация Boeing стала жертвой атаки LockBit, после чего злоумышленники похитили внутренние документы, вывели из строя часть IT-систем и опубликовали украденные данные на своем портале после отказа компании платить выкуп.

Lazarus Group (APT38)

Активность: примерно с 2009 года – по настоящее время
Страна / аффилиация: КНДР, предполагаемая связь с Главным разведывательным бюро страны
Специализация: гибридная; кибершпионаж, финансовые кибератаки, атаки на криптобиржи как государственный источник дохода, атаки на оборонные и технологические компании по всему миру

Деятельность: Lazarus действует как многопрофильная государственная кибергруппа, сочетая шпионские операции с агрессивными финансовыми атаками и целевыми взломами высокотехнологичных компаний, используя кастомные трояны, внедрение через фальшивые компании, стратегическую социальную инженерию и сложные цепочки проникновения.

• Ограбление Bybit (2025) – Lazarus осуществила крупнейшую в истории криптовалютную кражу, похитив 1,4 млрд долларов у биржи Bybit через поддельную систему управления кошельками и последующее выводу средств через цепочку миксеров и децентрализованных сервисов.
• Ограбление национального банка Бангладеш (2016) – Lazarus попыталась вывести почти 1 млрд долларов со счетов Центрального банка Бангладеш через взлом системы SWIFT, сумев успешно похитить 81 млн, что стало одним из крупнейших банковских киберограблений в истории.

Equation Group

Активность: примерно с начала 2000-х – по настоящее время
Страна / аффилиация: США, предположительно связана с Национальным агентством безопасности (NSA), подразделением Tailored Access Operations (TAO)
Специализация: кибершпионаж высочайшего уровня, разработка сложных эксплойтов «‎нулевого дня», создание кибероружия, проникновение в военные, правительственные и технологические сети по всему миру

Деятельность: Equation Group действует как высокотехнологичная государственная кибергруппа, сочетая кибершпионаж, разработку собственных эксплойтов нулевого дня и внедрение скрытых инструментов в инфраструктуру правительств, военных и технологических компаний. Они используют уникальные методики, включая перепрошивку микропрограмм жестких дисков, скрытые импланты и сложные цепочки проникновения, которые позволяют оставаться незаметными годами. За свою техническую сложность и масштаб атак исследователи иногда называют их «‎Звездой Смерти в галактике вредоносного ПО».

• Операция против ядерных объектов в Иране (2010) – предполагается, что группа имеет отношение к целевой кибероперации спецслужб США и Израиля против иранских ядерных объектов в Натанзе с использованием вредоносной программы Stuxnet, которая тайно вмешивалась в работу центрифуг, используемых в обогащении урана, заставляя их выходить из строя, пока операторы видели на экранах нормальные показатели. Эта атака стала первым известным примером кибероружия, способного физически повредить стратегическое оборудование.
• Перепрошивка жестких дисков – вредоносная программа переписывала «микропрограмму» жесткого диска и превращала его в постоянный шпионский инструмент: удалить такой имплант было невозможно даже переустановкой системы. Эти атаки применялись против дипломатических миссий, военных организаций, телеком-операторов, энергетических компаний и исследовательских учреждений на Ближнем Востоке, в Европе, Азии и Африке,

Wicked Panda (APT41)

Активность: примерно с 2007  года по настоящее время
Страна / аффилиация: Китай, связь с Министерством госбезопасности (MSS) через региональные подрядные спецгруппы
Специализация: гибридная; государственный кибершпионаж и криминальные операции ради прибыли, взломы цепочек поставок, компрометация игровых платформ, атакующие кампании против телекомов, здравоохранения, финансового сектора и технологических компаний

Деятельность: APT41 – одна из самых универсальных и гибких кибергрупп, использует редкие уязвимости «нулевого дня», проникает через поддельные обновления программ, сканирует сети в поисках слабых мест, ставит скрытые «задние двери» через обычные инструменты администрирования и быстро меняет свои методы под новые цели.

• Кампания эксплуатации Citrix, Cisco и Zoho (2019–2020) – APT41 взломала десятки компаний и госструктур по всему миру, используя слабые места в популярных корпоративных программах: системах удаленного доступа Citrix, сетевом оборудовании Cisco и серверных инструментах Zoho, которые используются для управления сотрудниками и IT-инфраструктурой. Хакеры атаковали практически сразу после появления уязвимостей, получали полный доступ к внутренним сетям, устанавливали скрытые точки входа и свободно перемещались по инфраструктуре. Кампания стала одной из самых массовых и быстрых по размаху для китайских APT-групп.
• Взлом сетей американских штатов через приложение для учета скота (2021–2022) – APT41 использовала уязвимость в системе управления животноводством USAHerds, чтобы проникнуть в государственные сети сразу нескольких штатов США; компрометация позволила хакерам установить «бэкдоры», получить удаленный доступ и тайно собирать данные из правительственных систем.

Anonymous

Активность: с примерно 2003 года – по настоящее время
Страна / аффилиация: децентрализованное международное хактивистское движение, не имеющее единого центра управления
Специализация: хактивизм; массовые DDoS-атаки, дефейсы сайтов, утечки данных, информационные кампании, взломы в ответ на политические события или действия государств и корпораций

Деятельность: Anonymous – не структурированная APT-группа, а глобальное сетевое сообщество, которое действует хаотично, непредсказуемо и масштабно. Их технические возможности уступают государственным APT, однако мощь движения основана на массовости, идеологической мобилизации и способности быстро собирать тысячи добровольцев. В своих операциях Anonymous используют открытые инструменты для DDoS, скрипты для перебора уязвимостей, утилиты для массового взлома слабых сайтов и большие волны скоординированных атак, которые в сумме способны перегружать инфраструктуру крупных организаций.

• #OpRussia (2022) – Anonymous провели сотни атак на российские государственные сайты и инфраструктуру в ответ на агрессию против Украины, включая министерства, госмедиа и крупные корпорации, периодически выводя их ресурсы из строя и публикуя массивы переписки и внутренние документы.
• #OpISIS (2014-2016)– после парижских терактов 2015 года Anonymous публично объявили войну террористической организации ИГИЛ, начав массированный взлом и блокировку соцсетей, сайтов и аккаунтов, связанных с террористами, пытаясь разрушить их пропагандистские механизмы и онлайн-сетевые структуры.
• Операция MegaUpload (2012)– После того как ФБР закрыло MegaUpload , один из крупнейших в мире файлообменных сервисов для хранения и обмена файлами,  Anonymous запустили крупнейшую на тот момент скоординированную DDoS-атаку. В знак протеста против ареста руководства MegaUpload и блокировки сервиса хактивисты вывели из строя сайты Министерства юстиции США, ФБР, Universal Music, и ряда других организаций, связанных с борьбой с цифровым пиратством.

Charming Kitten (APT35 / Phosphorus)

Активность: примерно с 2011 года по настоящее время
Страна / аффилиация: Иран, связь с Корпусом стражей исламской революции (КСИР)
Специализация: кибершпионаж, целевой фишинг, кража учетных данных, социальная инженерия высокого уровня, кампании против диссидентов, исследователей ядерной программы, аналитических центров и международных СМИ

Деятельность: Charming Kitten активно использует многоэтапную социальную инженерию, создание фальшивых конференций и поддельных приглашений, а также легитимно выглядящие фишинговые страницы для кражи учетных данных. Группа умело задействует взломанную инфраструктуру реальных организаций, настраивает персонализированные формы авторизации через крупные сервисы (Google, Microsoft и др.), применяет взлом легитимных сайтов для размещения скрытых страниц входа.

• Кампания с поддельными учеными (2021)‎ –  APT35 маскировалась под сотрудников британского университета, завязывала переписку с учеными и журналистами, исследующих тему ядерного разоружения Ирана, и направляла им ссылку на «регистрацию» для участия в вымышленной конференции. Ссылка вела на взломанный легитимный сайт, где жертву побуждали ввести свои учетные данные. Таким способом хакеры получали доступ к почтовым ящикам и другой конфиденциальной информации целевых специалистов.
• Кампания с поддельными журналистами (2020) – В 2020 году Charming Kitten проводила фишинговые атаки против иранских диссидентов и исследователей, рассылая письма от имени известных журналистов The Wall Street Journal, CNN и Deutsche Welle. Хакеры приглашали жертв на вымышленные интервью и перенаправляли их на поддельные страницы входа Google, чтобы получить доступ к почтовым аккаунтам и собрать информацию о политически активных представителях иранской диаспоры.

Lizard Squad

Активность: примерно 2014-2016 года
Страна / аффилиация: международная децентрализованная группа без привязки к государствам
Специализация: масштабные DDoS-атаки, демонстративные взломы, аренда ботнетов; хулиганский хактивизм – деятельность мотивирована стремлением к вниманию, провокации, интернет-троллингу и желанием публично унизить крупные корпорации.

Деятельность: Lizard Squad прославилась серией громких атак, опирающихся не на сложные APT-технологии, а на массовые и мощные DDoS-кампании, построенные вокруг крупных ботнетов и уязвимых IoT-устройств. Используя сравнительно простые, но крайне эффективные инструменты перегрузки трафика, группа смогла выводить из строя глобальные онлайн-сервисы, игровые платформы и корпоративные сайты. Техническая составляющая их операций ниже, чем у профессиональных кибершпионских групп, однако эффект основывается на масштабе, внезапности и создании громкого резонанса, превращая атаки в заметные события с высокой публичностью.

• Атака на PlayStation Network и Xbox Live (2014) – в канун Рождества 2014 года Lizard Squad провела одну из самых громких DDoS-атак в истории гейминга, ради развлечения выведя из строя PlayStation Network и Xbox Live – крупнейшие игровые сервисы мира. Платформы были недоступны от нескольких часов до нескольких дней, что затронуло миллионы игроков по всему миру. 
• Атака на Malaysia Airlines (2015) – в январе 2015 года из хулиганских побуждений Lizard Squad взломала сайт Malaysia Airlines и разместила на главной странице сообщение «Hacked by Lizard Squad» вместе со ссылками на собственные соцсети. В течение нескольких часов сайт был недоступен, а пользователи видели измененный интерфейс и искаженные элементы.

Carbanak / FIN7

Активность: Carbanak – примерно 2013–2018; FIN7 – примерно с 2015 года по настоящее время
Страна / аффилиация: международная русскоязычная киберпреступная сеть
Специализация: взлом банков и больших компаний ради прибыли; фишинг, внедрение вредоносного ПО, компрометация платежных систем и POS-терминалов. FIN7 считается организационным преемником Carbanak, унаследовавшим ее инструменты и часть участников.

Деятельность: Эти группы стали одними из самых результативных преступных акторов: они использовали не только фишинг, но и собственные вредоносные программы, инструменты удаленного доступа и захваченные учетные данные сотрудников. Carbanak и FIN7 заражали компьютеры через поддельные письма, закреплялись в сети с помощью бэкдоров, использовали обычные администраторские утилиты, чтобы не привлекать внимания, и постепенно получали контроль над внутренними системами банков и компаний. Это позволяло им управлять транзакциями, банкоматами или платежными терминалами и выводить деньги, оставаясь незамеченными.

• Удаленное управление банкоматами (Carbanak, 2013–2015)– группа Carbanak рассылала сотрудникам банков фишинговые письма, маскирующие вредоносные вложения под обычные документы. После заражения рабочей станции хакеры получали доступ ко внутренней сети банка и могли управлять серверами, контролирующими банкоматы. Это позволяло им отдавать устройствам дистанционные команды на выдачу наличных в заранее выбранный момент: курьер подходил к банкомату, когда банкомат «сам» начинал выдавать деньги.
• Операция с вредоносными USB-накопителями (FIN7, 2020–2022). FIN7 рассылала компаниям по почте посылки с зараженными USB-накопителями BadUSB, маскируя их под подарки от Amazon, Best Buy или письма от госведомств. Получатель, считая флешку обычным сувениром, подключал ее к компьютеру – и устройство под видом «клавиатуры» автоматически вводило команды, устанавливая вредоносные программы. Так FIN7 получала доступ к корпоративной сети и могла разворачивать инструменты для последующей атаки, включая вымогательское ПО.

SideWinder (T-APT-04)

Активность: примерно с 2012 года – по настоящее время
Страна / аффилиация: Индия
Специализация: высокоточный политический кибершпионаж; атаки на военные структуры, внешнеполитические ведомства, критическую инфраструктуру и телекомы соседних государств.

Деятельность: SideWinder считается одной из самых активных APT-групп в Азии: она регулярно создает новые инструменты, меняет их буквально каждые несколько недель и тщательно подстраивает атаки под конкретные ведомства или страны региона. Группа часто начинает с правдоподобного письма или документа, а затем незаметно загружает на устройство шпионский модуль, который закрепляется в системе и позволяет собирать данные длительное время.

• Кампания против госучреждений Южной Азии (2025) – SideWinder рассылала чиновникам и военным в Шри-Ланке, Бангладеш и Пакистане поддельные документы, выглядевшие как официальные письма, армейские приглашения или финансовые отчеты. Стоило открыть такой файл, как срабатывали старые уязвимости Microsoft Office, и на компьютер незаметно устанавливался многоступенчатый шпионский модуль. Он закреплялся в системе, собирал переписку, документы и логины, а сами вредоносные файлы выдавались только устройствам из нужных стран благодаря специальной геофильтрации.
• Операция с поддельными Android-приложениями (2019–2023) – SideWinder разместила в Google Play три вредоносных приложения, замаскированных под камеру и файловый менеджер. После установки они использовали уязвимость Android, чтобы без участия пользователя загрузить и установить скрытое шпионское ПО. Финальное приложение пряталось и в фоне собирало все, что могло: местоположение, файлы, списки контактов и приложений, скриншоты, а также данные из почты и мессенджеров.

Рассмотренная классификация хакерских акторов показывает, что цифровые угрозы больше нельзя воспринимать как единый феномен: за внешне схожими атаками стоят принципиально разные по мотивации и возможностям силы. Государственные APT-группы действуют медленно, скрытно и стратегически, криминальные коллективы стремятся к максимальной монетизации уязвимостей, а хактивисты ориентированы на публичный эффект и информационное давление. Эти различия определяют не только масштаб ущерба, но и то, как именно атакующие выбирают цели, инструменты и методы обхода защиты.

Понимание этой структуры имеет практическую ценность. Она позволяет увидеть логику современных киберугроз: почему одни атаки тянутся месяцами, другие происходят молниеносно, а третьи сопровождаются громкими заявлениями. Это помогает реалистично оценивать риски, понимать, какие типы угроз наиболее вероятны в конкретном контексте, и почему одни защитные меры работают против киберпреступников, но почти бесполезны против государственно поддерживаемых APT.

В мире, где кибероперации стали частью политики, экономики и даже идеологии, умение различать действующих в сети акторов превращается в ключ к пониманию того, что происходит вокруг нас, а значит – в основу цифровой грамотности и безопасности.

Если вы столкнулись с цифровой угрозой или вам нужен совет – не оставайтесь одни, напишите нам и мы вас проконсультируем по вопросам цифровой безопасности, поможем в случае обнаружения шпионских программ, и разберёмся с тем, как реагировать на инциденты.

Если вам нужна помощь с цифровой безопасностью, проверкой устройства на наличие нежелательных программ, консультация по приватности и другим цифровым правам, напишите нам: [email protected]

Digital Freedoms Lab — команда экспертов с более чем 10-летним опытом в сфере цифровых прав в Беларуси и регионе. Нам не безразлично, каким будет наше общее цифровое будущее — поэтому мы работаем уже сегодня. Наша экспертиза находится на пересечении юридических знаний, технической экспертизы и тренерских навыков. Мы мобильны и адаптивны: умеем подстраиваться под конкретные запросы и вызовы вашей команды или организации. Мы придерживаемся равного и недискриминационного подхода в нашей деятельности.

Что мы делаем:

Исследования и аналитика — мы изучаем и продвигаем лучшие практики в области цифровых прав.

Юридическая литигация — мы защищаем тех, чьи права были нарушены в международных и локальных инстанциях, добиваясь подотчётности государств и бизнеса за использование технологий против людей.

Цифровая безопасность и противодействие слежке — мы консультируем, проверяем устройства и сопровождаем тех, кто столкнулся со слежкой, взломом или шпионским ПО.

ИИ и цифровая трансформация — мы помогаем организациям и сообществам осмысленно внедрять искусственный интеллект и технологии в свою работу и активизм.

Обучение и усиление сообществ — мы проводим тренинги и делимся знаниями, чтобы люди и организации могли сами справляться с цифровыми угрозами.

Приватность и работа с данными — мы помогаем выстроить безопасную работу с персональными данными в соответствии с требованиями GDPR.

С чем к нам можно обратиться: 

• Считаете, что ваши цифровые права были нарушены 
• Хотите проверить свои устройства или безопасность инфраструктуры 
• Хотите провести цифровой аудит вашей организации/инициативы
• Нуждаетесь в консультации по вопросу цифровой безопасности, хранения данных, GDPR
• Ищете поддержку в выстраивании или усилении использования ИИ и технологий в вашей организации
• Организовать вебинар, обучающее мероприятие для вашей аудитории, команды, волонтеров