Доступ к активным сессиям вместо баз данных: как изменился теневой рынок в России

Теневой рынок в России сменил приоритеты: вместо продажи массивных баз данных, украденных у корпораций, преступники теперь торгуют активным, краткосрочным доступом к аккаунтам пользователей. Стоимость информации, перехваченной вредоносными программами непосредственно с зараженных компьютеров и телефонов, за последний год выросла почти на 13%. Об этом сообщили эксперты BI.ZONE в середине августа 2026 года. Доля российских пользователей в этом сегменте достигает 14–18%.

В отличие от устаревших архивов, новые наборы содержат инструменты для мгновенного проникновения в цифровую среду человека. В таких пакетах обнаруживаются:

• токены активных сессий, позволяющие войти в систему без ввода пароля;
• действующие пароли и прямые доступы к электронной почте;
• учетные данные VPN-сервисов и облачных хранилищ;
• административные доступы к корпоративным сетям.

Розничный архив с устаревшими сведениями оценивается всего в $10–15. Однако подписка на закрытый канал с ежедневной выгрузкой свежих данных обходится злоумышленникам в $250–300 в месяц. Рынок готов платить за актуальность, а не за объем.

Официальная статистика создает иллюзию полного контроля над ситуацией. В 2024 году Роскомнадзор зафиксировал 135 случаев распространения баз, содержавших более 710 млн записей о россиянах. После введения жестких санкций количество новых крупных массивов действительно сократилось. По данным исследователей Smart Business Alert, опубликованным «Коммерсантом» 13 июля 2026 года, за первое полугодие 2026 года было обнаружено лишь 54 актуальные базы примерно с 24,3 млн строк.

Государство успешно наказывает компании за утечки из централизованных хранилищ. С мая 2025 года за повторный инцидент предусмотрен оборотный штраф. За полтора года, начиная с 1 января 2025 года, ведомство провело 52 административных расследования и назначило штрафы на сумму 2,6 млн рублей, не выявив при этом повторных нарушений. Об этом заявил заместитель руководителя Роскомнадзора Милош Вагнер 14 августа 2026 года. Однако эта мера бессильна против новой модели угроз. Вредоносное программное обеспечение похищает сведения уже после того, как они покинули защищенный периметр компании и оказались на личном устройстве человека. Формально база данных организации при этом не страдает, и регуляторный механизм просто не срабатывает.

Уязвимость корпоративной инфраструктуры

Перехват данных на конечном устройстве позволяет обходить многоуровневую защиту. Украденный токен активной сессии нередко дает возможность войти в систему без повторной аутентификации и игнорировать двухфакторную проверку. В первой половине 2026 года 6 из 10 веб-атак, изученных специалистами, были нацелены именно на получение ключей для проникновения во внутреннюю инфраструктуру компаний. Один зараженный компьютер сотрудника способен превратить защищенную сеть в открытый ресурс, что объясняет высокий спрос на свежие данные.

Аналогичный разрыв между намерениями регулятора и реальностью наблюдается в сфере телефонной связи. С 1 сентября 2025 года звонки организаций должны сопровождаться названием отправителя и категорией. Однако уже 27 января 2026 года операторы «большой четвёрки» перестали выводить пометку «банк» на звонках Сбербанка, ВТБ и Альфа-банка из-за отсутствия договоров на услугу маркировки. Об этом сообщил РБК. Позднее эти кредитные организации совместно с Совкомбанком предложили изменить правила массовых звонков, сочтя часть требований излишне сложной для исполнения.

Данная ситуация не указывает на связь легального маркетинга с киберпреступностью. Она демонстрирует, что даже крупнейшие участники рынка, заинтересованные в доверии клиентов, сталкиваются с неудобством новых инфраструктурных правил. Пользователь вынужден самостоятельно разбираться в потоке коммерческих предложений, предупреждений и мошеннических попыток, поступающих через одни и те же каналы.

Российские регуляторы сделали массовый слив баз данных экономически невыгодным для компаний. Преступные группы адаптировались, переключившись на точечную добычу активных ключей доступа. Такая атака существует в промежутке между корпоративным периметром и личным устройством, где механизмы административной ответственности не действуют. По мере перевода операций в дистанционный формат ценность короткоживущего токена, открывающего доступ к нескольким сервисам одновременно, будет только расти, оставляя эту зону уязвимости вне зоны действия существующих норм защиты.

Мнение ИИ

С точки зрения машинного анализа данных нынешний разворот теневого рынка в России повторяет сценарий, уже пройденный мировой киберпреступностью несколько лет назад. Похожую модель предлагал даркнет-маркетплейс Genesis Market: сессионные токены, «отпечатки» браузера и обход двухфакторной проверки — эту площадку в апреле 2023 года ликвидировали Европол и правоохранители 17 стран, задержав свыше сотни покупателей. Международный опыт показывает: подобные операции смещают точку сбыта, но не устраняют источник — заражение устройств инфостилерами продолжается независимо от судьбы конкретной площадки, и на смену закрытым каналам быстро приходят новые.

Ситуация подсвечивает и структурный риск, оставшийся за рамками статьи: спрос на «свежие» данные создает у операторов ботнетов стимул как можно дольше удерживать зараженную машину в рабочем состоянии, превращая её в источник постоянного дохода, а не разовый актив для продажи. Получится ли у регуляторов выработать инструмент воздействия на этот промежуточный слой между личным устройством и корпоративным периметром, или он так и останется вне зоны контроля?

Источник