Рост DDoS-атак на российские компании: угрозы и тенденции 2026 года

Наиболее атакуемыми отраслями остаются телеком, финансовый сектор и государственные организации; мощность отдельных атак выросла на 173%, а атаки свыше 200 Гбит/с участились на 215%.

По данным Kaspersky DDoS Protection, за период с января по май 2026 года число DDoS-атак в России и странах СНГ увеличилось на 27% по сравнению с аналогичным периодом 2025 года*. Наряду с ростом числа инцидентов существенно изменился их характер: атаки становятся продолжительнее, мощнее и технически сложнее. Злоумышленники всё шире применяют многовекторные схемы, ИИ-инструменты для генерации трафика и арендованную облачную инфраструктуру. Наиболее пострадавшими отраслями за наблюдаемый период стали телекоммуникации, финансовый сектор и государственные организации.

Основные тренды по месяцам

Январь 2026 года открыл период ростом массовых автоматизированных атак на 54% относительно января 2025 года. В первые рабочие недели января трафик на корпоративные порталы, банкинг и государственные сервисы резко возрастает: люди возвращаются к работе, оплачивают накопившиеся счета, подают заявления. Злоумышленники намеренно выбирают этот момент — перегруженная инфраструктура менее устойчива к дополнительной нагрузке, а ущерб от недоступности сервиса максимален.

В феврале зафиксирован первый пиковый всплеск: максимальное число инцидентов за наблюдаемый период, средняя продолжительность атак превысила 48 часов, ряд атак продолжался свыше 14 дней непрерывно — свидетельство перехода к тактике методичного истощения инфраструктуры.

В марте общее число атак незначительно снизилось, однако доля многовекторных инцидентов, сочетающих объёмную нагрузку и воздействие на прикладной уровень, превысила 40%.

Апрель ознаменовался вторым и более мощным пиком: число атак выросло на 61% к апрелю 2025 года. Одним из факторов всплеска является расширение доступности DDoS-as-a-Service платформ и активизацией ботнетов на базе IoT-устройств.

В мае общее число инцидентов несколько стабилизировалось относительно апрельского пика, однако средняя сложность атак продолжила расти: злоумышленники постепенно переходят от массовых операций к таргетированным кампаниям против конкретных организаций. Так, например, была зафиксирована атака мощностью свыше 1 Тбит/с на инфраструктуру одного из государственных порталов — крупнейшая по объёму среди атак на госсектор за наблюдаемый период

Наиболее атакуемые отрасли

• Телекоммуникационные компании
  Телеком остаётся наиболее привлекательной целью для злоумышленников: в первом квартале 2026 года число атак на операторов связи в России и СНГ выросло на 31% год к году. Максимальная продолжительность отдельных атак достигала 14 дней. Пиковая мощность атак на телеком-инфраструктуру увеличилась на 27%. Операторы остаются стратегической мишенью, поскольку обеспечивают работу широкого спектра цифровых сервисов: успешные атаки ведут к деградации качества связи, сбоям у корпоративных и розничных клиентов, финансовым и репутационным потерям. Дополнительным фактором риска служит рост числа IoT-устройств в сетях операторов — они формируют ресурсную базу для масштабных ботнетов.
• Финансовые организации
  Банки, платёжные сервисы и страховые компании сохраняют второе место по числу инцидентов. Злоумышленники нацеливаются прежде всего на платёжные шлюзы, личные кабинеты клиентов и API партнёрских интеграций: точечный удар по критической бизнес-функции наносит несопоставимо больший ущерб, чем кратковременная перегрузка всего ресурса. Характерной тенденцией периода стал рост доли атак на прикладном уровне (L7) — их доля в атаках на финансовый сектор достигла 51%. Для финансовых организаций это особенно критично: атаки имитируют легитимные транзакционные сессии и с трудом поддаются фильтрации традиционными средствами.
• Государственные организации
  Органы государственного управления, федеральные и региональные порталы, а также объекты критической информационной инфраструктуры зафиксированы в тройке наиболее атакуемых секторов. Значительная часть атак на госсектор носит политически мотивированный характер и связана с активностью хактивистских группировок на фоне сохраняющейся геополитической напряжённости. Атаки на государственные ресурсы чаще других отличаются скоординированностью и продолжительностью: злоумышленники стремятся к публичному резонансу и максимально длительному выводу из строя публично значимых сервисов.

Технические особенности DDoS-атак

Ключевой технической тенденцией периода стал рост доли атак уровня приложений (L7) до 51% в общей структуре DDoS — против 31% годом ранее. Злоумышленники имитируют легитимные пользовательские сессии: авторизацию, поиск, оформление заказов, — что существенно затрудняет обнаружение традиционными средствами фильтрации по IP-адресам и ограничению скорости соединений.

Значительно выросла роль облачной и виртуальной инфраструктуры как источника атакующего трафика. Злоумышленники активно арендуют ресурсы у облачных провайдеров для быстрого масштабирования нагрузки: современные ботнеты позволяют организовывать скоординированные атаки без глубоких технических знаний и по относительно низкой стоимости. Автоматизированные боты научились точнее имитировать поведение реальных пользователей — воспроизводить паттерны навигации, обрабатывать JavaScript-вызовы и обходить стандартные CAPTCHA-механизмы, что создаёт дополнительную нагрузку на системы антибот-защиты.

Параллельно зафиксирован рост атак c низкой интенсивностью и медленным развитием — Slowloris, при которых соединения удерживаются открытыми максимально долго, постепенно исчерпывая пул потоков веб-сервера.

«Мы наблюдаем устойчивый тренд на усложнение DDoS-атак. Злоумышленники всё чаще используют длительные и мультивекторные сценарии, направленные не на кратковременное отключение сервисов, а на постепенное истощение инфраструктуры. За пять месяцев 2026 года это особенно ярко проявилось в телеком-секторе, где отдельные атаки продолжались до 60 дней, и в финансовом сегменте, где злоумышленники сместили фокус на прикладной уровень. В таких условиях комплексный подход — сочетание защиты от объёмных атак, интеллектуальной фильтрации L7 и антибот-решений — является не опцией, а необходимостью для любой организации, присутствующей в сети».

Вячеслав Кириллов Менеджер по продукту Kaspersky DDoS Protection

Рекомендации «Лаборатории Касперского»

«Лаборатория Касперского» напоминает о мерах, которые помогут компаниям успешно противодействовать DDoS-атакам и минимизировать их последствия:

• поддержку веб-ресурсов следует доверять специалистам, имеющим задокументированный план реагирования на DDoS-инциденты и практический опыт работы в условиях высоких и длительных нагрузок;
• необходимо заблаговременно проверить соглашения с провайдерами интернет-услуг и убедиться в наличии актуальных контактов для экстренной связи, включая эскалационные цепочки на случай продолжительных атак;
• следует внедрять специализированные корпоративные решения для комплексной защиты от DDoS-атак, обеспечивающие анализ сетевого трафика и очистку на уровне провайдера. Например, решение Kaspersky DDoS Protection обеспечивает мониторинг трафика в режиме реального времени и эффективно отражает атаки любого масштаба и типа;
• регулярно проводить нагрузочное тестирование инфраструктуры и учения по реагированию на инциденты, моделируя в том числе сценарии длительных и многовекторных атак.

«Лаборатория Касперского» напоминает о мерах, которые помогут компаниям успешно противодействовать DDoS-атакам и минимизировать их последствия:

*Источник: отчет Kaspersky DDoS Protection, данные за январь-май 2026 года в сравнении с аналогичным периодом 2025 года.*