Китай крадет возможности искусственного интеллекта, которые он не может создать сам, утверждает компания по кибербезопасности.

Компания CrowdStrike обнаружила, что киберпреступники, связанные с Китаем, увеличили активность целенаправленных вторжений на 38 процентов в 2025 году, включая рост атак на логистические организации на 85 процентов, поскольку китайские хакерские группы ускорили использование корпоративных технологических систем и инструментов искусственного интеллекта (ИИ).

Американская компания по кибербезопасности изложила эти выводы в своем Глобальном отчете об угрозах за 2026 год, а также в связанном с ним заявлении от 9 июня, которое CrowdStrike сформулировала как попытку китайского режима «украсть возможности ИИ, которые он не может создать».

В докладе говорится, что противники, связанные с Китаем, неоднократно атаковали доступные из интернета «периферийные» устройства, такие как VPN-устройства, межсетевые экраны и шлюзы, чтобы получить доступ к сетям и закрепиться на них в долгосрочной перспективе для сбора разведывательной информации.

Компания CrowdStrike заявила, что 67 процентов уязвимостей, использованных участниками китайского сетевого взаимодействия в 2025 году, обеспечивали немедленный доступ к системе. Согласно отчету, 40 процентов из использованных этими участниками уязвимостей были нацелены на периферийные устройства, подключенные к интернету.

Компания сообщила, что число атак с участием китайских партнеров также выросло на 30 процентов против телекоммуникационных организаций и на 20 процентов против финансовых компаний.

Логистика, телекоммуникации, финансы (целевые показатели)

Компания CrowdStrike заявила, что выбранная схема нацеливания соответствует стратегическим приоритетам Коммунистической партии Китая, включая наблюдение за телекоммуникациями, экономический шпионаж и передачу технологий.

В докладе говорится, что участники связей с Китаем продолжают концентрироваться на секторах, содержащих ценную интеллектуальную собственность, коммерческие секреты, данные связи и доступ к инфраструктуре.

В отчете наиболее резкий рост был отмечен в секторе логистики. Адам Майерс, руководитель отдела противодействия враждебным действиям CrowdStrike, заявил во время презентации CrowdStrike 9 июня, что логистика «вероятно, является главной целью» китайских злоумышленников, демонстрируя рост на 85 процентов.

В отчете говорится, что телекоммуникационный сектор остается узкоспециализированной целью для игроков, связанных с Китаем. Компания CrowdStrike сообщила, что оператор Panda постоянно атаковал телекоммуникационных провайдеров в период с 2021 года по июль 2025 года, в то время как Genesis Panda сосредоточилась на телекоммуникационных компаниях в Восточной Азии, Восточной Африке и Северной Америке.

В компании CrowdStrike заявили, что эти закономерности указывают на то, что Китай, вероятно, отдает приоритет возможностям перехвата коммуникаций.

Периферийные устройства, используемые для доступа

В отчете говорится, что группы, связанные с Китаем, — включая Warp Panda, Operator Panda, Hollow Panda, Genesis Panda, Phantom Panda, Vault Panda и Veiled Panda — использовали уязвимости в VPN-устройствах, межсетевых экранах, шлюзах и других системах, подключенных к интернету.

Уязвимости удаленного выполнения кода позволяют злоумышленникам запускать команды в целевой системе извне сети. Компания CrowdStrike заявила, что многие из уязвимостей, используемых субъектами, связанными с Китаем, предоставляют злоумышленникам прямой доступ без необходимости дополнительных действий для получения контроля.

Согласно отчету CrowdStrike, Operator Panda использовал одну уязвимость через шесть дней после того, как исследователи опубликовали общедоступный код, демонстрирующий работоспособность системы. Phantom Panda использовал другую уязвимость через три дня после того, как о ней сообщил поставщик, а Vault Panda и Genesis Panda использовали уязвимости React2Shell через два дня после их публичного раскрытия.

Компания с высокой степенью уверенности оценила, что противники, связанные с Китаем, располагают выделенными ресурсами для мониторинга раскрытия уязвимостей и быстрого преобразования вновь обнаруженных недостатков в работающие инструменты для вторжения.

В CrowdStrike заявили, что выявленная закономерность указывает на попытку злоумышленников использовать короткий промежуток времени между публичным раскрытием информации и выпуском обновлений целевыми организациями.

В одном из случаев, упомянутых в отчете, Warp Panda атаковала юридические, технологические и производственные компании в США, используя уязвимости VPN-устройств. Компания CrowdStrike сообщила, что злоумышленник поддерживал постоянный доступ к одной из целевых сред в течение 22 месяцев, с октября 2023 года по середину 2025 года.

Искусственный интеллект входит в сферу применения навыков.

В докладе говорится, что число атак со стороны противников, использующих искусственный интеллект, выросло на 89 процентов в годовом исчислении к 2025 году.

Компания CrowdStrike заявила, что использование ИИ в основном ускорило существующие методы кибератак, а не создало совершенно новые способы нападения. По данным компании, злоумышленники используют ИИ для поддержки социальной инженерии, информационных операций, разработки вредоносного ПО, генерации кода и постэксплуатационной деятельности.

В качестве примера, касающегося Китая, компания CrowdStrike сообщила, что китайские спецслужбы использовали ИИ для создания авторитетных консалтинговых фирм, которые ориентировались на бывших сотрудников правительства США на платформах по поиску работы.

В отчете говорится, что инструменты искусственного интеллекта помогли злоумышленникам планировать разведку, создавать убедительные фишинговые сообщения и целевые страницы, масштабировать спам-деятельность и обходить средства защиты для создания незаконного контента.

Компания CrowdStrike также сообщила, что злоумышленники начали атаковать сами системы искусственного интеллекта. В одном из инцидентов 2025 года вредоносные пакеты, загруженные в реестр программного обеспечения Node Package Manager, были разработаны для использования локальных инструментов командной строки ИИ жертв, включая Claude и Gemini, для генерации команд с целью кражи материалов аутентификации и криптовалютных активов.

В компании CrowdStrike заявили, что их команды отреагировали на запросы более чем 90 клиентов, в системах которых был обнаружен вредоносный код.

Скорость сужает окно отклика

По данным CrowdStrike, среднее время «прорыва» в киберпреступлениях — время между первоначальным доступом и продвижением к более ценным системам — сократилось до 29 минут в 2025 году по сравнению с 48 минутами в 2024 году. Согласно отчету, самое быстрое время прорыва составило 27 секунд.

В ходе презентации Мейерс заявил, что такая скорость оставляет защитникам очень мало времени для обнаружения и реагирования до того, как злоумышленники проникнут глубже в сеть.

«Потенциально каждые 30 секунд происходит утечка данных, которую специалистам по защите необходимо выявлять, расследовать и реагировать на нее», — сказал он.

В отчете говорится, что 82 процента обнаружений вредоносного ПО компанией CrowdStrike в 2025 году были свободны от вредоносных программ, что означает, что злоумышленники часто использовали легитимные учетные данные, авторизованные инструменты, системы идентификации, облачные сервисы или доверенные программные отношения, а не традиционные вредоносные программы.

Такого рода действия сложнее обнаружить, поскольку они могут напоминать обычное поведение пользователя.

Американские спецслужбы предупреждают о подобных тактиках.

Агентства кибербезопасности США и союзных стран также предупреждали о том, что спонсируемые Китаем государственные киберпреступники нацелены на объекты критической инфраструктуры.

В консультативном сообщении от августа 2025 года Агентство национальной безопасности и партнерские организации заявили, что спонсируемые Китаем государственные структуры нацелены на телекоммуникационные, правительственные, транспортные, гостиничные и военные инфраструктурные сети по всему миру.

В предупреждении говорилось, что эта деятельность частично совпадала с сообщениями индустрии кибербезопасности о спонсируемых китайским государством субъектах угроз, известных под такими названиями, как «Соляной тайфун».

В своем отчете о цифровой обороне за 2025 год компания Microsoft заявила, что Китай продолжает широкомасштабную шпионскую деятельность в различных отраслях, и что связанные с государством субъекты используют скрытые сети и уязвимые устройства с доступом в интернет для проникновения и избежания обнаружения.

Компания CrowdStrike рекомендовала организациям уделять первоочередное внимание обновлению периферийных устройств в течение 72 часов после обнаружения критической уязвимости, усилить мониторинг признаков компрометации периферийных устройств и сегментировать сети для ограничения горизонтального перемещения данных из скомпрометированных периметровых систем.