«Хто нас атакуватиме, ми ж не банк?» — питання, яке чують від кожного другого підприємця. Відповідь неприємна: атакують не вас особисто, а всіх, хто погано захищений. Розберемо, що показують цифри, хто стоїть за атаками й чого вони хочуть.
Кіберінцидент — це подія, а не спроба
Кіберінцидент — це подія, яка фактично порушила захищеність: витік даних, зашифровані системи, злам облікового запису, недоступний сервіс.
Плутати його не варто ані із кібератакою (спроба, яка могла й провалитися), ані з подією безпеки (будь-який сигнал, зокрема хибний) — див. SIEM і SOC.
Різниця практична: атак у вас щодня сотні, подій — тисячі, а інцидентів, дасть Бог, жодного. Рахувати варто саме третє.
Статистика кібератак: що показують цифри
В Україні кіберінциденти реєструє й аналізує CERT-UA — національна команда реагування у складі Держспецзв'язку, яка веде державний реєстр.
Ключові показники за 2025 рік:
- 5927 опрацьованих інцидентів — майже шість тисяч;
- близько 15 на добу в середньому;
- понад 150 кластерів кіберзагроз під наглядом;
- перше півріччя — 3018 інцидентів, друге — близько 2,9 тисячі: перше зниження від початку повномасштабного вторгнення.
Розподіл за мішенями теж промовистий: місцеві органи влади — 2115 інцидентів (35,7%), урядові організації — 1170 (19,7%), сектор безпеки й оборони — 1039 (17,5%), енергетика — 279.
Для контексту: у 2023 році CERT-UA фіксувала близько 2,5 тисячі інцидентів, у 2024-му — близько 4,5 тисячі. Тобто за два роки показник зріс більш ніж удвічі, і лише наприкінці 2025-го крива вперше пішла вниз.
Головне застереження до будь-якої статистики. Ці цифри показують не всі атаки, а лише ті, про які повідомили. Держсектор зобов'язаний звітувати — приватний бізнес здебільшого мовчить: соромно, ніколи, «самі розберемося». Тож реальна картина гірша за офіційну, а частка бізнесу в ній занижена.
Другий висновок парадоксальний: зростання числа інцидентів не завжди означає більше атак. Іноді воно означає, що навчилися їх помічати. І навпаки — «у нас торік не було жодного інциденту» частіше свідчить про відсутність моніторингу, ніж про безпеку.
Чому бізнес мовчить — і чому це дорого
Причини зрозумілі: страх репутаційних втрат, страх перевірок, надія «замести й забути». Наслідки менш очевидні.
По-перше, ви втрачаєте безкоштовну допомогу: національна команда реагування приймає звернення й допомагає із розбором. По-друге, той самий інструмент за тиждень прийде до вашого партнера — і саме ваше мовчання йому в цьому допоможе. По-третє, приховати вдається рідко: про витік зазвичай дізнаються від клієнтів, і тоді питань стає вдвічі більше. Мовчання працює рівно доти, доки мовчить і той, хто вас зламав.
Хакерські угруповання: як їх називають і рахують
Стійкі групи зловмисників позначають кодами — в українській практиці це кластери UAC із номером. Такий підхід зручний: замість «якісь хакери» з'являється конкретний профіль зі звичками, інструментами й улюбленими мішенями.
Хакерські угруповання поділяють за мотивом.
1. Кіберзлочинці — мотив гроші. Найчисленніші. Їм байдуже, хто ви: вони шукають, де можна заробити.
- як заробляють: програми-вимагачі, крадіжка й перепродаж даних, шахрайство із платежами, злам облікових записів;
- як діють: масово, автоматизовано, за принципом «де тонко».
2. Державні угруповання (APT) — шпигунство й диверсії. Добре забезпечені, наполегливі, працюють роками (див. APT-групи проти України).
- мішені: держоргани, оборонний сектор, критична інфраструктура, а також бізнес як сходинка до них;
- як діють: довго, тихо, через цільовий фішинг.
3. Хактивісти — ідеологія. Атакують заради розголосу: підміна сторінок, DDoS, демонстративні витоки.
4. Інсайдери — помста, гроші або звичайна недбалість. Найнедооціненіші. Працівник із доступом небезпечний навіть без злого наміру: помилка, загублений ноутбук, надіслані «не туди» файли.
5. Низькокваліфіковані зловмисники. Беруть готові інструменти без глибокого розуміння. Небезпечні саме масовістю: б'ють по всьому, що погано зачинене.
Окремо про інсайдерів. Їх недооцінюють, бо шукають зраду, а зустрічають утому. Типовий сценарій виглядає буденно: людина пересилає робочі файли на особисту пошту, аби попрацювати ввечері, — і за півроку ці файли лежать у зламаній приватній скриньці. Проти такого жоден фаєрвол безсилий; рятують зрозумілі правила, зручні робочі інструменти й вчасне відкликання доступів.
Куди дивитися бізнесу
Малий і середній бізнес рідко цікавить розвідку супротивника — зате постійно цікавить першу й п'яту групи. А ще існує третій сценарій, про який забувають: вас можуть використати як міст. Ваша пошта, ваш договір, ваш рахунок-фактура — ідеальне маскування для листа партнерові, якого й прагнуть зламати.
Саме тому «ми нікому не потрібні» — найдорожча фраза в українському бізнесі.
Перевірка проста: подумайте, чиї листи ви відкриваєте, майже не читаючи. Бухгалтерії? Постачальника? Банку? Рівно так само хтось відкриває ваші — тому ваша скринька коштує дорожче, ніж вам здається.
Як ваша компанія виглядає очима зловмисника
Вас ніхто спеціально не обирає — автоматичний сканер збирає профіль за кілька хвилин:
- відкриті назовні панелі керування й служби віддаленого доступу;
- версія системи керування вмістом — і перелік відомих дір саме для неї;
- поштові адреси працівників, зібрані із відкритих джерел разом з посадами;
- згадки компанії у витоках паролів;
- ваші підрядники, згадані в новинах і на сайті.
Далі рішення ухвалює арифметика: якщо зламати дешевше, ніж заробити, — вас беруть у роботу. Уся «персональна увага» полягає рівно в цьому.
Добра новина: такий самий профіль здатні зібрати й ви самі. Погляньте на власну компанію ззовні — які панелі відкриті назовні, які адреси лежать у вільному доступі, чи згадані ваші паролі у відомих витоках. Дві години роботи, нуль витрат.
Як вони заходять: шість дверей
Мотиви у зловмисників різні, а двері однакові:
- Фішинг — найпоширеніший вхід. Один лист — і пароль уже чужий.
- Вразливості — невстановлені оновлення, застаріле програмне забезпечення.
- Слабкі й повторно використані паролі — особливо без другого фактора.
- Незахищений віддалений доступ — відкриті адміністративні панелі.
- Ланцюг постачання — злам через підрядника або вразливий компонент.
- Людський фактор — помилки, поспіх, недбалість.
Ключове спостереження: у чотирьох випадках із шести технологія другорядна. Головне — люди й дисципліна.
Що змінилося останнім часом
Три тенденції, які помітили аналітики:
- більше соціальної інженерії — коли технічні двері зачиняють, зловмисники йдуть через людину;
- штучний інтелект на боці нападу — грамотні листи, підроблений голос, швидша розвідка;
- вразливості, які не потребують дій користувача — жертві навіть не треба нічого відкривати.
Висновок незручний: рівень захисту зріс, тому зловмисники змістилися туди, де його майже немає, — до людей і до підрядників. Технічний бар'єр підняли, а людський лишився там само, де й був десять років тому.
Кібербезпека та стійкість: різні речі
Кібербезпека — намагання не допустити інциденту. Стійкість — здатність пережити той, який усе-таки стався.
Друге стає важливішим, бо перше ніколи не буває стовідсотковим. Три опори стійкості:
- швидке виявлення — щоб не дізнаватися про злам від клієнтів;
- обмеження шкоди — сегментація, мінімальні права;
- швидке відновлення — перевірені копії й план реагування.
Практична перевірка: якщо завтра шифрувальник дістанеться бухгалтерії, за скільки годин ви виставите перший рахунок? Потрібне число, а не «ну, десь відновимось».
Поки цього числа немає, будь-які інвестиції в захист лишаються ставкою навмання: ви не знаєте ані того, що рятуєте, ані того, скільки коштує хвилина простою.
Керівник з кібербезпеки: навіщо потрібне прізвище
Керівник з кібербезпеки — роль, якої в невеликих компаніях «не бачать», доки не станеться інцидент. Його завдання зовсім не в тому, аби налаштувати антивірус, а в тому, аби керувати ризиками: розуміти, що для бізнесу критичне, і забезпечити готовність.
У держорганах і на об'єктах критичної інфраструктури таку посаду запроваджено нормативно. Решті компаній ніхто не наказує — але відповідальний усе одно має бути призначений. «Відповідають усі» на практиці означає «не відповідає ніхто».
Мінімальний варіант для невеликої фірми: одна людина, десять відсотків її часу, чотири обов'язки — доступи, копії, оновлення, реагування. Цього достатньо, аби ви не потрапили в наступну статистику.