DDoS-атаки для российского финансового сектора давно перестали быть исключительно технической проблемой. Сегодня под ударом может оказаться не только канал связи или публичный сайт банка, но и конкретный API, отдельный микросервис или бизнес-логика приложения. При этом злоумышленники всё чаще используют автоматизацию, распределённые бот-сети и сценарии, которые позволяют имитировать поведение реального пользователя.

Кто атакует банки, почему крупный объём трафика не всегда означает наиболее опасную атаку, как меняется роль L7-атак, и почему банкам приходится постоянно выбирать между жёсткой фильтрацией и риском заблокировать настоящего клиента, говорили участники шестого подкаста «DDoS-устойчивость российских банков», который состоялся 10 сентября в рамках совместного проекта Национального банковского журнала и Global Digital Space.

В подкасте приняли участие:

Ведущий:

Александр ТОВСТОЛИП, руководитель управления информационной безопасности Ассоциации ФинТех

Владимир ЗАЙЦЕВ,заместитель технического директора NGENIX

Дмитрий НИКОНОВ, директор по продуктам DDoS-Guard

Светлана СТАРОСТИНА, руководитель защиты информации ДОМ.РФ Банка

Евгений МИХАЙЛОВ, начальник отдела сервисов кибербезопасности ПАО «Банк ПСБ»

Олег ВОЛКОВ. руководитель департамента информационной безопасности банка «Кубань Кредит»

От хактивистов до коммерческих группировок: кто атакует банки

Ещё несколько лет назад DDoS-атаки на финансовые организации чаще воспринимались как инструмент политически мотивированных группировок или как вспомогательный элемент при киберпреступлениях. Сегодня картина стала значительно сложнее: границы между разными типами злоумышленников постепенно размываются.

Как отметила Светлана Старостина, условно можно выделить три большие группы: хактивистов, действующих по политическим или иным мотивам; киберкриминальные группы, заинтересованные в финансовой выгоде, и профессиональные группировки, которые фактически продают свои возможности на рынке.

«Границы между этими тремя классами начинают размываться», – подчеркнула эксперт.

По её словам, политически мотивированные группировки никуда не исчезли, но одновременно выросла доля атак, связанных непосредственно с попытками заработать на клиентах банков. Кроме того, на рынке появилось больше профессиональных команд, готовых выполнять атаки под заказ. В результате финансовые организации фактически оказываются под прицелом сразу нескольких типов противников.

Дмитрий Никонов отмечает аналогичную тенденцию со стороны поставщиков защитных решений. По его словам, с 2022 года характер атак заметно менялся: первоначально значительную роль играли политические группировки, тогда как в последние полтора года усилилась коммерческая составляющая.

Причина, по его оценке, в том, что за несколько лет злоумышленники накопили технологии, инфраструктуру и опыт. Теперь эти возможности можно фактически покупать как услугу.

Изменилась и тактика. Речь уже не обязательно идёт об одном злоумышленнике, который пытается атаковать конкретный банк. По словам Дмитрия Никонова, группировки могут
одновременно сканировать десятки финансовых организаций, искать среди них наиболее уязвимую инфраструктуру и затем последовательно атаковать разные цели.

Получается своеобразная волновая атака на весь сектор: после одной организации внимание переключается на другую.

Владимир Зайцев напоминает, что исторически DDoS в банковском секторе мог использоваться как прикрытие для хищений. Однако для крупных банков такой сценарий сегодня реализовать значительно сложнее: у них, как правило, уже сформирована серьёзная инфраструктура защиты.

Поэтому, считает эксперт, небольшим банкам может быть сложнее противостоять атакам, поскольку их инфраструктура и бюджеты на информационную безопасность меньше. В отношении крупных организаций атака зачастую имеет другую мотивацию – например, политическую или имиджевую.

Почему гигабиты уже не главный показатель опасности

Публичное обсуждение DDoS часто строится вокруг цифр: скольких терабит в секунду достигла атака, сколько устройств участвовало в ботнете, и насколько масштабным оказался всплеск трафика. Однако для банков подобная статистика далеко не всегда позволяет понять реальный уровень угрозы.

Светлана Старостина обращает внимание на то, что потенциальная мощность бот-сетей практически не имеет чёткого потолка. В их состав могут попадать домашние роутеры, старые устройства, телевизоры, смартфоны и другая техника с необновлённым программным обеспечением.

«Все это материал для будущих бот-ферм», – говорит эксперт.

По её словам, уже сегодня существуют бот-сети, способные формировать атаки мощностью в десятки терабит. Однако сами по себе такие цифры ещё не означают, что именно подобная атака представляет наибольшую угрозу для банка.

Гораздо опаснее могут быть небольшие, но точечные атаки, имитирующие поведение реального пользователя. Они способны воздействовать не на канал связи в целом, а на конкретный сервис – например, API или компонент, связанный с подтверждением операций.

«В первую очередь опасны точечные атаки, которые идут медленно, имитируют реального пользователя и воздействуют на какой-то уязвимый сервис», – отмечает Светлана Старостина.

Дмитрий Никонов также предлагает смотреть не только на пиковую мощность. Иногда атака объёмом 50 гигабит, распределённая между множеством микросервисов, способна причинить больше проблем, чем гораздо более мощный поток, который легко заметить по одному резкому скачку трафика.

Для защиты принципиально важно понимать, куда именно направлено воздействие и какие сервисы оно затрагивает.

При этом масштабы бот-сетей продолжают расти. По данным, которые приводит Никонов, в 2025 году специалисты компании фиксировали более 2 млн IP-адресов, участвовавших в одной атаке. Уже в первом квартале 2026 года таких адресов было более 3 млн. Это означает, что растёт не только мощность отдельных атак, но и распределённость инфраструктуры злоумышленников.

L7 выходит на первый план: атаковать бизнес-логику становится дешевле

Один из главных сдвигов последних лет – переход злоумышленников от грубого воздействия на сетевую инфраструктуру к атакам на уровень приложений.

В традиционной классификации L3 и L4 относятся к сетевому и транспортному уровням, а L7 – к уровню приложений. Если атака на нижних уровнях может выглядеть как мощный поток трафика, то L7-атака способна маскироваться под обычные запросы пользователей.

Олег Волков, говоря о практике банка «Кубань Кредит», отметил, что за последние полтора-два года банк практически не наблюдал серьёзных атак на L3/L4. При этом заметно усилилось смещение в сторону L7.

Причина понятна: для объёмной атаки необходимо обеспечить соответствующую мощность, тогда как на уровне приложения иногда достаточно небольшого количества тщательно сформированных запросов, если злоумышленник понимает особенности конкретного сервиса.

Владимир Зайцев обращает внимание на противоположную сторону вопроса. Канальную атаку технически организовать проще: условно один арендованный сервер способен генерировать значительный объём трафика, а несколько источников позволяют быстро получить крупный поток. Поэтому без специализированной защиты такой сценарий может быть эффективным.

С L7 ситуация сложнее. Здесь недостаточно просто создать большой объём запросов. Необходимо сформировать их таким образом, чтобы они выглядели правдоподобно и при этом создавали нагрузку на конкретную бизнес-логику.

Именно поэтому защита от L7-атак становится более сложной задачей. Система должна не просто отличить большой поток от маленького, а понять, какие запросы являются нормальным поведением клиента, а какие – попыткой перегрузить конкретный сервис.

Дмитрий Никонов отмечает ещё одну тенденцию: появляются комбинированные атаки. Сначала злоумышленник может воздействовать на L3/L4, создавая нагрузку на канал, а затем переключаться на L7.

При этом стоимость L7-атак постепенно снижается благодаря автоматизации и развитию специализированного инструментария. Порог входа для злоумышленников становится ниже, а значит, подобные сценарии потенциально доступны большему числу группировок.

DDoS как «дымовая завеса»: всегда ли атаки комбинируют

Участники дискуссии по-разному оценивают распространённый сценарий, при котором масштабная атака на сетевой уровень используется как отвлекающий манёвр, пока злоумышленники пытаются воздействовать на другой сервис.

Светлана Старостина предложила рассматривать такой вариант как одну из потенциальных угроз. Пока команда информационной безопасности занята отражением объёмной атаки, параллельно может происходить более незаметное воздействие на приложение или другой элемент инфраструктуры.

Дмитрий Никонов допускает такой сценарий. По его словам, широкие каналы и резервная инфраструктура у банков позволяют во многих случаях выдерживать L3-атаки, поэтому основной интерес для злоумышленника может представлять именно L7.

Евгений Михайлов также говорит, что канальная атака действительно может выступать фоном для более целенаправленного воздействия. Поэтому при серьёзном DDoS банк усиливает мониторинг инфраструктуры и сервисов, не ограничиваясь наблюдением непосредственно за атакуемым каналом.

При этом, по его практике, чаще речь идёт именно о многовекторных атаках, когда разные уровни инфраструктуры атакуются одновременно.

Олег Волков с таким объяснением согласен не полностью. По его наблюдениям, далеко не всегда L3-атака является дымовой завесой. Иногда цели у разных типов атак различаются.

В частности, банк может столкнуться либо с мощным воздействием на сетевом уровне, либо с точечной атакой на приложение. И если инфраструктура некорректно настроена, небольшой ботнет также способен создать серьёзную проблему.

Особенно уязвимыми могут оказаться неправильно настроенные балансировщики и системы очистки трафика. Волков отмечает, что даже ботнет примерно из 10 тыс. машин в определённых условиях может оказаться эффективным.

Таким образом, для защиты опасно ориентироваться на один сценарий. Нельзя исходить из того, что большая атака обязательно является отвлекающим манёвром, так же как нельзя считать небольшую атаку несущественной.

Бот всё больше похож на человека

Ещё одна проблема, которая усложняет защиту банков, – развитие автоматизированного трафика. Современный бот может не просто отправлять большое количество одинаковых запросов, а имитировать поведение реального пользователя.

По словам Владимира Зайцева, в отдельных сегментах интернета автоматизированный трафик уже может составлять около половины всех запросов. При этом речь идет не всегда о вредоносных ботах. Есть публичные поисковые боты, которые индексируют содержимое сайтов, боты популярных сервисов и мессенджеров, а также другие автоматизированные системы, которые регулярно обращаются к веб-ресурсам и выполняют полезные для пользователей и владельцев сайтов функции.

Поэтому задача банка или поставщика защитного решения состоит не просто в том, чтобы обнаружить бота. Нужно определить, представляет ли конкретный автоматизированный трафик угрозу.

Это особенно хорошо видно на примере других отраслей. Например, автоматический сервис может регулярно проверять стоимость авиабилетов. Для авиакомпании такой бот создает дополнительную нагрузку, но сам по себе не является злонамеренным.

В банковской сфере ситуация иная: автоматизированный запрос, связанный с попыткой подобрать параметры атаки, получить доступ к сервису или перегрузить конкретную функцию, уже представляет угрозу.

Зайцев отмечает, что для банков есть определённое преимущество: финансовая организация знает своего клиента значительно лучше, чем обычный публичный интернет-сервис. У банка есть идентификация, история операций и другие данные, которые могут использоваться для анализа.

Однако и злоумышленники совершенствуют свои инструменты. Современные боты способны имитировать поведение пользователя, менять его паттерны и использовать большое количество устройств, выполняющих, на первый взгляд, легитимные операции «ниже радаров» систем защиты (многие вспомнят популярное видео о том, как выглядит китайская мобильная бот-ферма). В результате невозможно детектировать злонамеренную автоматизацию, полагаясь на известные признаки бот-активности.

Дмитрий Никонов описывает защи­ту как постоянное соревнование между автоматизированными системами атаки и средствами обнаружения.

У поставщика защиты есть собственная репутационная и поведенческая база, скоринг IP-адресов, данные о характерных паттернах. Но этого недостаточно: трафик каждого банка индивидуален.

Поэтому эффективная защита требует обратной связи от самого банка. Только организация знает, какое поведение является нормальным именно для её клиентов и сервисов.

В результате защита превращается в постоянную совместную работу: вендор предоставляет инструменты и автоматические механизмы анализа, а банк помогает уточнять правила фильтрации ипонимать специфику собственной инфраструктуры.

Не каждого бота нужно блокировать

Проблема становится ещё сложнее, когда автоматизированный трафик не является вредоносным.

Светлана Старостина обращает внимание на принципиальную для бизнеса разницу между «ботом» и «плохим ботом». Автоматизированный запрос сам по себе ещё не означает угрозу.

Владимир Зайцев подтверждает, что определение публичных ботов – отдельная сложная задача. Вендорам приходится формировать собственные базы известных поисковых и других сервисов, регулярно обновлять их и искать новые модели поведения.

При этом злоумышленник может попытаться выдать вредоносный трафик за легитимный. Поэтому одного списка разрешённых адресов недостаточно.

Получается парадокс: чем лучше системы научатся отличать человека от бота, тем важнее станет не ошибиться и не заблокировать автоматизированный сервис, который нужен самому бизнесу.

Для банка цена ошибки особенно высока. Блокировка подозрительного запроса может повысить уровень безопасности, но одновременно создать проблему для реального клиента.

Что делать, если под ударом сразу всё

Отдельный вызов для банков – многовекторные атаки, когда одновременно затрагиваются сайт, API, мобильные приложения и другие внешние сервисы.

Евгений Михайлов считает, что в такой ситуации нельзя начинать строить защиту уже после начала инцидента. Необходима заранее сформированная эшелонированная система. Она должна включать защитные механизмы на разных уровнях: от решений операторов связи и системы защиты регуляторов связи до собственных средств защиты банка.

При этом важно заранее понимать критичность сервисов. Не все компоненты инфраструктуры одинаково важны для бизнеса, а значит, и сценарии реагирования могут различаться.

Светлана Старостина предлагает в качестве основы использовать бизнес-импакт-анализ – BIA. Он позволяет заранее определить, какие процессы наиболее критичны для организации, что произойдёт при их остановке, и какие элементы инфраструктуры необходимо защищать в первую очередь.

В число таких систем могут входить взаимодействие с регулятором, платёжная инфраструктура и другие процессы, остановка которых способна привести к серьёзным последствиям для банка, отмечает эксперт.

Именно поэтому речь идёт не о попытке поставить максимальную защиту абсолютно на всё, а о правильном распределении ресурсов и эшелонов безопасности.

Главный риск – не только пропустить атаку, но и заблокировать клиента

В конечном счёте задача DDoS-защиты заключается не в том, чтобы заблокировать максимально возможный объём подозрительного трафика. Для банка критична доступность сервисов для настоящих клиентов.

Светлана Старостина отмечает, что абсолютно безошибочной системы не существует. Даже очень небольшой процент ложных срабатываний при миллионах операций может превратиться в тысячи недовольных клиентов.

При этом клиент не обязательно будет жаловаться. Он может просто уйти в другой банк.

Поэтому разные операции должны иметь разные уровни защиты. Для высокорисковых действий допустим более жёсткий порог, тогда как для низкорисковых операций избыточная блокировка может оказаться дороже потенциальной угрозы.

Евгений Михайлов также считает, что свести количество ложных срабатываний к абсолютному нулю практически невозможно. Многовекторные атаки постоянно меняются, злоумышленники ищут новые слабые места, а защитные политики приходится регулярно корректировать.

Однако задача информационной безопасности состоит в том, чтобы минимизировать влияние таких ошибок и не допускать деградации сервисов.

Олег Волков предлагает смотреть на ситуацию ещё более прагматично. Если мощная DDoS-атака полностью забивает канал, вопрос о тонком разделении легитимного и нелегитимного трафика может на некоторое время потерять смысл. В такой ситуации первоочередная задача – как можно быстрее восстановить работу сервиса.

DDoS-устойчивость становится частью бизнес-устойчивости

Главный вывод дискуссии заключается в том, что DDoS уже нельзя рассматривать как изолированную техническую угрозу. Для банка это одновременно вопрос доступности услуг, клиентского опыта, репутации и непрерывности бизнеса.

Меняется и сам объект атаки. Если раньше злоумышленнику было достаточно создать огромный поток трафика, сегодня он может искать конкретный API, микросервис или бизнес-процесс. При этом атака может быть небольшой по объёму, но хорошо подготовленной.

Растёт и автоматизация. Ботнеты становятся мощнее, боты – правдоподобнее, а инструменты для проведения атак – доступнее. Одновременно банки и поставщики защиты должны научиться различать вредоносный и легитимный автоматизированный трафик.

В этой ситуации универсального правила защиты не существует. Необходимы несколько уровней фильтрации, постоянный мониторинг, анализ поведения, обмен информацией между банком и вендором и заранее определённые сценарии реагирования.

При этом финансовому сектору приходится решать ещё одну задачу – сохранять баланс между безопасностью и удобством клиента. Слишком мягкая защита создает риски для инфраструктуры, слишком жёсткая может сделать недоступными реальные операции.

Поэтому современная DDoS-устой­чивость – это уже не вопрос, способен ли банк выдержать атаку определённой мощности. Важнее понимать, какие сервисы атакуются, насколько быстро организация может обнаружить изменение сценария, и насколько эффективно она способна сохранить работоспособность критичных процессов. 

Полную версию видеоподкаста смотрите ан ВК_видео и Rutube

Текст: Оксана Дяченко

Материал также опубликован в печатной версии Национального банковского журнала (октябрь 2026)