Искусственный интеллект в борьбе с киберпреступностью. Реальные кейсы
Рост киберпреступности: масштабы угрозы
По итогам 2024 года в РФ было зарегистрировано свыше 765 тыс. ИТ-преступлений, в первом полугодии 2025 года их количество достигло 371,4 тыс., хотя их рост замедлился до 0,7%, против двузначных темпов ранее. Всего за семь последних лет масштаб киберпреступности в РФ увеличился в 7,5 раз.
Стремительно растут и ущербы от таких атак. По данным МВД РФ, за пять месяцев 2025 года зарегистрировано свыше 308 тыс. ИТ-преступлений, львиная доля из которых – дистанционные хищения и мошенничеств, а совокупный урон от действий ИТ-преступников превысил 81 млрд рублей.
Несмотря на принимаемые меры, раскрываемость остается низкой: около 75% киберпреступлений остаются безнаказанными. В 2024 году не раскрыто 571 тыс. из 765 тыс. Причины – транснациональный характер угроз и использование злоумышленниками передовых технологий для сокрытия следов.
На глобальном рынке ситуация не лучше. Эксперты прогнозируют, что в 2025 году мировой ущерб от кибератак достигнет колоссальных $10,5 трлн.
Вопросы кибербезопасности стали критически важны и для государств, и для бизнеса. Традиционных средств защиты явно недостаточно, особенно учитывая, что сами киберпреступники осваивают искусственный интеллект и другие инновации. Например, мошенники уже используют нейросети для создания «цифровых двойников» реальных людей – заводят фейковые аккаунты, имитируют стиль общения, подделывают голос и внешность в видеозвонках. С помощью ИИ собирается информация об инфраструктуре жертвы и разрабатываются индивидуальные планы атак. Появляется и новый класс вредоносного ПО на базе машинного обучения, способного действовать автономно, без команд от внешних серверов. Эксперты отмечают, что атаки на основе ИИ могут обходить традиционные системы обнаружения более чем в 15% случаев, тогда как средняя фишинговая атака без ИИ успешна лишь в 0,3% случаев.
Внедрение ИИ в кибербезопасность
Использование алгоритмов AI/ML в ИБ-сфере давно стало повседневной практикой. По оценкам опросов, большинство компаний, внедривших ИИ-технологии, зафиксировали положительный эффект – повысилась эффективность расследования инцидентов, улучшилось обнаружение угроз и скорость реакции на атаки, сократилось число ложных тревог. Около 60% специалистов по безопасности подтверждают, что ИИ ускоряет анализ угроз на рабочих станциях и приложениях. Отмечается особенно ценный его вклад в выявление неизвестных ранее угроз – по данным SANS, порядка 30% экспертов считают, что машинное обучение заметно усиливает обнаружение новых типов атак. В результате внедрение ИИ-инструментов обычно сокращает время обнаружения и реагирования, одновременно оптимизируя нагрузку на персонал.
Глобальный рынок ИИ-решений для кибербезопасности к 2025 году прогнозируется на уровне $30 млрд, с ежегодным ростом примерно в 23%. Бизнес вкладывается в «умную» защиту, ожидая от нее реальной отдачи.
Доверие к технологиям высоко. Согласно недавнему опросу, в России 77% инженеров по ИБ готовы внедрять возможности ИИ в своей работе. Прежде всего, для аналитики и прогнозирования инцидентов, фильтрации спама и фишинга, автоматического написания правил (регулярных выражений, скриптов) и анализа сетевого трафика на аномалии.
Обнаружение атак и вредоносного ПО
Проактивное обнаружение угроз – одна из главных задач. Современные средства киберзащиты интегрируют ML-алгоритмы на всех уровнях инфраструктуры. Например, системы класса Endpoint Detection & Response (EDR) с поддержкой ИИ способны по едва заметным признакам выявлять на рабочих станциях новые, ранее неизвестные образцы вредоносного ПО и мгновенно блокировать их. Машинное обучение позволяет таким решениям автоматически классифицировать угрозы и реагировать без участия человека, используя коллективную базу знаний (данные от тысяч защищаемых устройств). Некоторые EDR-продукты с ИИ умеют даже помечать критичные файлы на конечных точках и отслеживать их перемещение, чтобы распознавать подозрительную активность и внутренние угрозы (инсайдеров).
На уровне сети применяются системы Network Detection & Response (NDR) – «умные» анализаторы трафика. Используя статистику и известные сигнатуры атак, подкрепленные ML-моделями, NDR-платформы в реальном времени находят аномальные паттерны в сетевом трафике (сканирование, подозрительные соединения, нетипичные протоколы) и могут автоматически предпринимать меры, например, менять настройки брандмауэров, блокировать вредоносный поток или изолировать скомпрометированный узел.
Отдельные решения данного класса фокусируются на облачной инфраструктуре, где анализ больших объемов телеметрии без ИИ практически невозможен.
Кроме того, ИИ все чаще применяется для мониторинга специфических каналов. Например, анализ почтового трафика на предмет фишинга теперь тоже нередко интегрирован в сетевые системы защиты.
В антивирусные продукты нового поколения также активно внедряются ИИ-техники. Если традиционный антивирус опирался на базы сигнатур, то современные средства используют ML-алгоритмы для выявления 0-day вредоносных программ по поведению. ИИ-модуль антивируса анализирует миллионы характеристик известных угроз и предсказывает появление новых атак, предлагая способы обнаружения и блокировки ранее невидимых файлов или процессов. Благодаря этому время реакции на появление нового вредоноса резко сокращается. Зачастую его успевают остановить еще до того, как он нанес вред, даже если сигнатура отсутствует в базах.
Например, в 2023 году исследователи смогли обойти один из ИИ-антивирусов (Cylance), лишь вручную изучив его срабатывания и найдя способ обхода без стандартного «отравления» моделей. Этот случай подчеркнул, что человеческий фактор остается важным – полностью полагаться на ИИ-защиту нельзя. Тем не менее, сочетание человеческого и машинного интеллектов сегодня дает наилучший результат: когда атаки нового поколения используют ИИ, только защитные решения на основе ИИ способны успевать за противником.
Отдельно стоит упомянуть инструменты раннего предупреждения. Платформы Threat Intelligence (TI) на базе ИИ собирают данные из огромного числа источников – телеметрии, логов, сообщений в даркнете и соцсетях – и автоматически выявляют зарождающиеся угрозы и индикаторы компрометации. По сути, они действуют как «цифровой радар»: непрерывно сканируют киберпространство и с помощью машинного анализа сигналят о подозрительных событиях (утечках данных, обсуждениях уязвимостей на хакерских форумах и пр.). Такие системы схожи с SIEM по принципу сбора событий, но ориентированы на внешние угрозы и работают проактивно. Системы управления событиями и инцидентами (SIEM), кстати, тоже эволюционировали с помощью ИИ. Классический SIEM накапливает колоссальные объемы логов и выдает оповещения по заданным правилам. Интеграция ИИ позволила этим решениям выявлять аномалии эвристическими методами – то есть замечать отклонения от нормального поведения, которые не были явно прописаны правилами.
Кроме того, ИИ снижает число ложных срабатываний за счет адаптации к изменяющимся паттернам. Например, когда планово меняется конфигурация системы, ИИ-алгоритм понимает, что это не атака. Все это значительно упрощает работу операторов SOC. Вместо тысячи сырых алертов они получают от SIEM+AI уведомления об обоснованных, требующих внимания инцидентах.
Наконец, на смену пассивному мониторингу приходят интеллектуальные платформы автоматизации реагирования – SOAR. Эти решения не ограничиваются аналитикой, а способны автоматически выполнять шаги по нейтрализации угроз. Сценарии реагирования (playbooks) в SOAR обогащаются ИИ-модулями, которые при наступлении инцидента сами решают, какие действия предпринять, от блокировки учетной записи до изменения политик сетевой безопасности. Проще говоря, если EDR/SIEM – это «сигнализация», то SOAR с ИИ – автопилот, который и оповестит, и сразу же примет меры. Такой уровень автоматизации невозможен без продвинутого анализа, и именно здесь сегодня активно задействуют ML. В итоге «время жизни» атаки сокращается: многие инциденты купируются машиной мгновенно, еще до участия аналитика.
Анализ поведения и обнаружение аномалий
Еще одним мощным направлением применения ИИ в ИБ стали системы поведенческой аналитики. Классический пример – User and Entity Behavior Analytics (UEBA), предназначенные для выявления подозрительного поведения пользователей и устройств. Алгоритмы UEBA на основе машинного обучения строят поведенческие профили для каждого субъекта (пользователя, сервера, аккаунта и т.д.), а затем отмечают любые отклонения от нормы. Например, сотрудник обычно работает с 9 до 18, никогда не обращается к БД персонала и не выгружает большие объемы данных. Если вдруг с его учеткой в ночное время начинается массовая выборка из базы – это явное аномальное поведение, сигнал потенциальной угрозы. ИИ-система зафиксирует подобное несоответствие шаблону и присвоит ему определенный риск-балл. Далее аномалию можно автоматически классифицировать как признак внутренней угрозы, компрометации учетной записи или нарушения политики. ИИ позволяет делать такие выводы без четко заданных правил, опираясь на статистику и корреляцию событий. В результате UEBA-системы стали незаменимы для поиска инсайдеров, выявления компрометации привилегированных аккаунтов, мошенничества со стороны сотрудников или клиентов, а также для контроля соблюдения регламентов безопасности.
Стоит отметить, что технологии UEBA тесно интегрируются с упомянутыми выше SIEM/SOAR: поведенческие аномалии, выявленные ИИ, могут сразу же запускать сценарии реагирования. Например, временно блокировать учетную запись до выяснения обстоятельств.
В антифрод-системах поведенческий анализ лежит в основе работы. По сути, ML-модели обучаются на нормальных транзакциях и процессах, чтобы затем мгновенно распознавать отклонения, характерные для мошеннических операций. Такой подход используется для защиты банковских услуг, e-commerce, платежных систем: любая подозрительная активность (финансовая операция вне привычного сценария, аномальное изменение реквизитов, последовательности действий) может указывать на попытку мошенничества или эксплуатацию уязвимости в бизнес-процессе. Преимущество ИИ здесь – в способности быстро адаптироваться к новым схемам злоумышленников.
Если те придумали обход правил, машинное обучение подстроит модель под изменившиеся метрики процессов и продолжит эффективно предотвращать атаки. Так поддерживается актуальность антифрода без постоянной ручной перенастройки.
Лучшие мировые практики уже внедряются и в России. В отечественном банковском секторе РФ антифрод-решения на базе ИИ стали стандартом, о чем свидетельствуют требования и рекомендации ЦБ РФ.
Предотвращение мошенничества на финансовом фронте
ИИ играет ключевую роль в борьбе с финансовым кибермошенничеством. Банковские антифрод-платформы сегодня не только проверяют операции по заданным правилам, но и мониторят поведение каждого клиента с помощью ML. Алгоритмы обучаются на больших массивах транзакционных данных и формируют поведенческий профиль: какая сумма и с какой частотой обычно переводится, в какое время суток совершаются платежи, откуда пользователь выходит в приложение, с какого устройства, и даже как именно он это делает. Например, одна из российских систем анализирует, какой рукой человек держит смартфон, как двигает мышкой и нажимает клавиши при совершении платежа. Эти микро-паттерны создают уникальный «отпечаток» пользователя. Если внезапно приходит перевод, не вписывающийся в привычную картину – например, крупный перевод в страну, куда клиент раньше не отправлял деньги, да еще выполненный совсем в иной манере ввода, - ИИ мгновенно маркирует транзакцию как рискованную.
Наверняка многие сталкивались с результатом работы таких антифрод-систем. Например, когда банк блокирует перевод новому получателю и просит подтвердить операцию. ИИ проверяет транзакцию на набор признаков мошенничества, утвержденный мегарегулятором, и при совпадении ставит пометку «сомнительно». Затем, в соответствии с политикой банка, операция либо автоматически отклоняется, либо требует подтверждения клиента. В результате, огромное число мошеннических платежей останавливается «на подлете», даже если злоумышленник завладел логином/паролем жертвы. ИИ ловит не компрометацию аккаунта, а нестандартное поведение при его использовании, что гораздо эффективнее статичных правил.
Помимо банков, похожие интеллектуальные фильтры внедряют и другие отрасли. Мобильные операторы ловят аномалии с SIM-картами, онлайн-ретейлеры – необычные для клиента заказы, госпорталы – подозрительные попытки получения услуг от имени гражданина. Везде принцип один: научить машину распознавать «свой-чужой» по косвенным данным. И хотя сами сценарии мошенничества постоянно мутируют, статистика показывает, что применение ИИ дает заметный результат.
По данным исследований, более 83% всех мошенничеств сейчас совершается с использованием ИКТ. Но в 2025 году, впервые за долгое время, общее число зарегистрированных случаев мошенничества даже немного снизилось – на 0,8% за полгода. Эксперты Генпрокуратуры связывают этот перелом с тем, что удалось затормозить волну дистанционных афер, во многом благодаря совместным усилиям банков, сотовых компаний и правоохранительных органов, активно внедряющих технологические меры профилактики.
Противодействие фишингу и социальным атакам
Фишинг – один из самых массовых типов атак, направленных на кражу учетных данных и социальной инженерии пользователей. Традиционные антифишинговые фильтры (черные списки URL, сигнатуры писем) часто не поспевают за изощренностью злоумышленников, которые меняют домены и содержимое писем. ИИ выводит борьбу с фишингом на качественно новый уровень.
Нейросети анализируют содержимое писем на более глубоком уровне, чем простые правила. К примеру, если киберпреступник разослал сотрудникам компании письмо, притворяясь генеральным директором, система с ИИ проверит стилистику, сравнит стиль письма, синтаксис, выбор слов с тем, как обычно излагается реальный руководитель. Любые несоответствия манере босса будут распознаны и помечены как подозрительные.
Аналогичным образом ИИ-модуль просканирует заголовки и метаданные письма на предмет подделок в полях отправителя или признаков фальшивой подписи. Нейросеть также проверит все вложенные ссылки и изображения на предмет подлинности. Если они копируют дизайн известного сайта, письмо блокируется.
В отличие от традиционных средств, которые реагируют лишь на уже известные вредоносные сигнатуры, ИИ-наблюдатель умеет выявлять саму суть фишинга – приемы социальной инженерии.
Распознавая тонкие закономерности, ИИ определяет злоумышленные письма даже без явных вредоносных ссылок или кода. И может мониторить тысячи коммуникаций одновременно. Крупные компании уже включают ИИ-фильтры в свои почтовые шлюзы, мессенджеры и системы общения.
Пример из практики. В сервисах платформы VK (ВКонтакте) искусственный интеллект автоматически скрывает недоброжелательные комментарии, предупреждает пользователей о подозрительных собеседниках в чате и блокирует нежелательные звонки, защищая аудиторию от мошенников и токсичного контента с помощью проактивной модерации.
Другой вектор фишинга – поддельные сайты. Компьютерное зрение на базе ИИ помогает находить в Сети фишинговые сайты по схожести дизайна, выявлять ресурсы, где оформление - логотипы, верстка и пр. - слишком похоже на оригинал. Владельцы бренда и хостинг-провайдеры получают уведомления для блокировки. Компании начали технически защищать свои веб-интерфейсы. К примеру, вставляют уникальные скрытые метки или динамические элементы, которые при попытке копирования отправляют сигнал ИИ-агенту о том, что где-то появилась фишинговая копия. В итоге злоумышленникам все сложнее делать точные дубликаты.
Защита данных и предотвращение утечек
Критически важная задача – уберечь конфиденциальные данные компании и клиентов от утечек. Традиционно этой задачей занимались технологии DLP. Однако подход классических DLP-систем, основанный на строгих правилах (поиске определенных маркеров конфиденциальности в тексте, шаблонов, регулярных выражений, цифровых слепков документов и т.п.) уязвим. Малейшее изменение формата или попытка обойти сигнатуру могли ускользнуть от фильтра.
Методы обработки естественного языка (NLP) и машинного обучения позволили DLP выйти на новый уровень. Теперь систему можно обучить понимать смысл и контекст циркулирующих в организации документов. NLP-модуль распознает даже неформальные тексты и идентифицирует скрытые признаки конфиденциальности. Например, документ может вовсе не содержать слова «секретно», но описывать внутренние финансовые показатели компании, и ИИ это поймет.
Конкретный кейс такого внедрения – продукты российской компании SearchInform. В 2023 году они оснастили свою DLP-систему «КИБ» и инструмент контроля файлов FileAuditor встроенной нейросетью для классификации изображений. Теперь решение автоматически распознает на картинках конфиденциальные объекты – фотографии паспортов, сканы банковских карт, изображения документов с грифами – без применения OCR и текстового анализа. При попытке выгрузки или пересылке изображения, похожего на паспорт или другое личное удостоверение, ИИ мгновенно относит файл к категории «персональные данные» и применит блокирующее правило. Ранее для этого требовалось извлекать текст и сравнивать с шаблонами.
Более того, AI научился отслеживать нетипичные действия, ведущие к утечкам. У SearchInform КИБ есть модуль, который анализирует снимки с веб-камер на рабочих местах, и способен обнаружить постороннего человека за компьютером сотрудника либо попытку сфотографировать экран смартфоном. Если такое происходит, система сигнализирует службе безопасности.
Еще один инновационный подход – анализ речи. Встроенный ИИ DLP-системы Solar Dozor (ГК «Солар») распознает голосовые коммуникации «на лету»: понимает речь на 50 языках и анализирует телефонные разговоры по корпоративным линиям, выявляя передачу чувствительной информации.
Выводы: синергия человека и ИИ
Рассмотренные примеры показывают, что ИИ стал важнейшим элементом современной кибербезопасности. Практически в каждом направлении защиты реализованы AI/ML-алгоритмы. Они умеют обучаться на новых данных, постоянно совершенствуя способность выявлять возникающие угрозы.
Однако злоумышленники тоже не дремлют, и осваивают атаки на сам ИИ. Поэтому лучшие результаты достигаются, когда человек и машина работают в связке.
Для руководителей информационной безопасности (CISO) это означает необходимость использовать возможности ИИ по максимуму, но с пониманием его ограничений.
Опубликовано 07.08.2025
