В Сингапуре выявили 284 300 систем, заражённых вредоносным ПО

Десятый отчёт Singapore Cyber Landscape рисует неоднозначную, но тревожную картину кибербезопасности страны в 2025 году. За год резко выросло число выявленных систем, заражённых вредоносным ПО, немного увеличилось количество атак с использованием программ-вымогателей, а зарегистрированных фишинговых случаев стало меньше. Одновременно угрозы стали более масштабируемыми: преступники используют модель «вредоносное ПО как услуга», уязвимые устройства интернета вещей и инструменты на базе искусственного интеллекта.

Главная цифра — 284 300 заражённых систем

В 2025 году сингапурские специалисты выявили 284 300 систем, заражённых вредоносным ПО. В 2024 году таких систем было 117 300, то есть показатель вырос на 142%. По данным отчёта, на результат повлияли как сохраняющаяся активность злоумышленников, так и улучшение обнаружения устройств, заражённых ботнетами.

Это важная оговорка: цифра не означает, что все 166  000 дополнительных заражений появились именно в течение 2025 года. Более эффективное обнаружение могло выявить устройства, которые раньше оставались незамеченными. Однако показатель хорошо отражает масштаб компрометированной инфраструктуры, видимой сингапурским защитникам, и уязвимость подключённых устройств.

Почему ботнеты и домашние устройства стали проблемой

Рост угрозы связан, в частности, с распространением malware-as-a-service — модели, при которой преступники получают доступ к готовым вредоносным инструментам, не разрабатывая их самостоятельно. Большой резерв для создания ботнетов дают потребительские устройства интернета вещей: маршрутизаторы, сетевое оборудование и другие устройства со слабыми настройками или давно не устанавливавшимися обновлениями.

CSA также сообщило об атаках на несколько организаций через не обновлённые маршрутизаторы. Злоумышленники создавали несанкционированные учётные записи администратора и устанавливали инструменты, способные сохраняться даже после последующих обновлений безопасности.

В ответ Сингапур планирует обязать продавцов домашних маршрутизаторов обеспечить соответствие устройств требованиям Cybersecurity Labelling Scheme Level 2 к концу 2027 года. Цель этой меры — повысить минимальный уровень защиты оборудования, которое может стать входной точкой для атаки или частью ботнета.

Искусственный интеллект ускоряет атаки и делает мошенничество убедительнее

В отчёте искусственный интеллект рассматривается как один из факторов формирующейся угрозы — более сложной и масштабируемой, чем прежде. ИИ помогает злоумышленникам быстрее создавать правдоподобные сообщения и синтетический медиаконтент. Отдельное предупреждение сингапурских властей касалось мошеннических схем с использованием изменённых материалов, включая дипфейки.

На практике это означает, что нельзя полагаться только на поиск очевидных опечаток, некачественных изображений или неестественных формулировок. Организациям и частным пользователям нужны дополнительные проверки необычных запросов через надёжные каналы, многофакторная аутентификация и ограничения, способные уменьшить ущерб при компрометации устройства или учётной записи.

Фишинга стало меньше, но это не повод расслабляться

Число зарегистрированных фишинговых попыток сократилось примерно на одну пятую: с около 6 100 случаев в 2024 году до примерно 4 800 в 2025-м.

Эти данные нужно трактовать осторожно. Они отражают обращения, поступившие в соответствующие органы, а не все фишинговые атаки, произошедшие в стране. Кроме того, контент, созданный с помощью ИИ, может сделать мошеннические сообщения более убедительными, даже если их общий зарегистрированный объём снизился.

Предоставленные данные не позволяют надёжно назвать отрасли или иностранные организации, которые чаще всего выдавали себя за другие в 2025 году. Поэтому такие рейтинги нельзя приводить без дополнительных подтверждений.

Атаки вымогателей по-прежнему сильнее всего бьют по малому бизнесу

Количество зарегистрированных случаев ransomware — атак с блокировкой данных и требованием выкупа — немного выросло: со 159 в 2024 году до 165 в 2025-м. Непропорционально часто жертвами становились малые и средние предприятия, которым сложнее поддерживать зрелую систему киберзащиты при ограниченных ресурсах.

Для таких компаний вывод носит прежде всего практический характер: регулярная установка обновлений, проверенные резервные копии, строгий контроль доступа и заранее подготовленный план реагирования могут существенно уменьшить последствия успешного проникновения.

Устойчивость организации зависит не только от способности предотвратить каждую атаку, но и от того, насколько быстро она сможет изолировать заражённые системы и восстановить ключевые процессы.

Операция Cyber Guardian проверила национальную систему реагирования

Одним из наиболее серьёзных инцидентов стала попытка проникновения со стороны группировки UNC3886, которую относят к угрозам постоянного присутствия — advanced persistent threat, или APT. Целью кампании были все четыре крупнейших оператора связи Сингапура.

В ответ власти запустили Operation Cyber Guardian, названную в предоставленных материалах крупнейшей в истории страны координированной операцией по реагированию на киберинцидент. Угрозу удалось локализовать; перебоев в работе телекоммуникационных услуг и признаков компрометации данных клиентов не сообщалось.

Этот эпизод показывает, почему критическая инфраструктура требует отдельного подхода. Атака на связь, энергетику, финансовую систему или здравоохранение может повлиять далеко за пределами одной организации. Поэтому взаимодействие операторов и государственных структур становится не менее важным, чем защита отдельных информационных систем.

Для критической инфраструктуры вводят более жёсткие стандарты

Сингапурская система защиты критической информационной инфраструктуры охватывает 11 секторов:

• авиация;
• банковская и финансовая сфера;
• энергетика;
• государственное управление;
• здравоохранение;
• информационно-коммуникационные услуги;
• наземный транспорт;
• морской транспорт;
• медиа;
• безопасность и экстренные службы;
• водоснабжение.

Агентство кибербезопасности Сингапура (CSA) требует, чтобы владельцы критической информационной инфраструктуры получили сертификацию Cyber Trust Mark Level 5 к концу 2027 года. Обновлённая программа сертификации учитывает не только традиционные ИТ-системы, но также безопасность облачных сервисов, операционных технологий и решений с ИИ.

Фокус постепенно смещается с защиты отдельной системы на контроль всей связанной экосистемы — включая поставщиков, облачные сервисы, маршрутизаторы и операционные технологии. Это особенно важно, когда злоумышленники используют уязвимый компонент как промежуточный шаг к более ценным системам.

Смена руководства CSA

Дэвид Ко, занимавший должности первого руководителя Cyber Security Agency of Singapore и комиссара по кибербезопасности, ушёл с них 1 июля 2026 года. Его преемницей стала Гвенда Фонг.

Поскольку кадровая смена произошла уже после периода, к которому относятся основные данные отчёта, её следует рассматривать как переход к следующему этапу работы по укреплению киберустойчивости, а не как вывод о состоянии угроз в 2025 году.

Что отчёт означает в целом

Главный вывод состоит не просто в том, что в Сингапуре стало больше кибератак. Меняется сама среда угроз: атакующим проще масштабировать кампании, а их сообщения и методы сложнее распознавать. При этом государственные органы одновременно наращивают возможности обнаружения и реагирования.

Можно выделить три ключевых вывода:

1. Рост числа заражённых систем серьёзен, но частично связан с улучшением видимости. На показатель 284 300 повлияли и сохраняющаяся активность ботнетов, и более эффективное обнаружение заражённых устройств.
2. Снижение числа сообщений о фишинге не отменяет риски, связанные с ИИ. Мошеннические кампании могут становиться убедительнее и масштабнее даже при падении традиционных зарегистрированных показателей.
3. Сингапур переходит к обязательным базовым стандартам безопасности. Требования к домашним маршрутизаторам и сертификация Cyber Trust Mark Level 5 для владельцев критической инфраструктуры распределяют больше ответственности между производителями устройств, операторами и организациями.

В итоге стратегия Сингапура строится вокруг трёх опор: более полной видимости угроз, скоординированного реагирования и обязательных стандартов. Но не менее важны повседневные меры — обновление устройств, защита учётных записей и готовность небольших компаний к инцидентам. Именно уязвимый маршрутизатор или недостаточно защищённая организация могут стать следующим слабым звеном.