Кибератаки обходятся компаниям в среднем в $52 тысячи и почти сутки лишают их нормальной работы

Отчёт Hiscox Cyber Readiness Report 2026, опубликованный 15 сентября, показывает среднюю стоимость одной успешной кибератаки на уровне $52 000 и почти 33 часа простоя для пострадавшего бизнеса. Опрос охватил 6 800 ИБ-специалистов и топ-менеджеров из Великобритании, остальной Европы и США, принимающих решения по кибербезопасности. За 12 месяцев с успешной атакой столкнулись 29% организаций, а у пострадавших компаний в среднем набежало по 4 инцидента за период.

Разброс по регионам вышел приличный. В Британии об успешной атаке рассказали 38% компаний, в США лишь 20%, почти вдвое меньше, хотя вроде бы все сидят в одном диджитал-мире. Стоимость инцидента скачет ещё сильнее, средние $52 000 в Италии превращаются в $134 138, и это без учёта репутационных потерь.

32,8 часа простоя это не про офис, где два компьютера полчаса не грузят Excel. Для интернет-магазина, завода на смене или банка это часы недоступных платежей, сорванных отгрузок и клиентов, которые уходят к конкурентам, пока саппорт перезагружает серверы. Keven Knight из Talion Cyber Security отметил, что простой одновременно бьёт по работе персонала, по качеству сервиса для клиентов и по способности компании вообще что-то поставлять.

После того как системы снова заработали, счёт за атаку продолжает расти. Опрошенные компании назвали главные последствия:

• 32% отложили планы роста, расширения и запуск новых продуктов;
• 31% нарастили траты на найм штатных специалистов и подрядчиков;
• 30% словили просадку по финансовым показателям, оценке бизнеса или кредитному рейтингу;
• 29% потеряли клиентов, сделки и партнёрства;
• 28% получили штрафы, а 26% огребли негативные публикации в медиа.

69% пострадавших компаний сообщили о выгорании команды, хроническом стрессе и токсичной атмосфере в коллективе. ИБ-отдел после инцидента живёт в режиме нон-стоп, расследует случившееся, чинит дыры и заодно объясняет менеджменту, что вообще произошло. Нагрузка не заканчивается вместе с восстановлением серверов, дальше идут патчи, смена процессов, аудит доступов и куча внеплановых проверок.

Интересно, что деньги на восстановление это только часть счёта, отдел ИБ после инцидента месяцами разгребает не столько технику, сколько собственное выгорание.

Для российских компаний эти цифры не про далёкую заграницу. Шифровальщики, фишинг и DDoS молотят по рунету ничуть не реже, просто про суммы ущерба у нас чаще молчат, а не публикуют в отчётах страховщиков.

Хорошая киберустойчивость начинается с ответов на скучные, но денежные вопросы:

• какие сервисы поднимать первыми после атаки;
• сколько бизнес продержится без конкретной системы;
• где физически лежат резервные копии;
• кто в компании принимает решения во время инцидента;
• какие данные придётся перепроверять после восстановления.

Средний чек на киберустойчивость у бизнеса уже добрался до $51 000 в год, почти вровень со средним ущербом от одной атаки. Деньги при этом не улетают только на очередной антивирус или файрвол. Бюджет чаще всего размазывают по трём направлениям:

• 62% обновляют тренинги персонала по кибергигиене;
• 55% нанимают больше ИБ-специалистов в штат;
• 51% закупают новый софт и инструменты защиты.

32% организаций уже привязали бонусы и KPI топ-менеджеров к результатам по кибербезопасности. Раньше защита была головной болью исключительно айтишников, теперь простой ценой в десятки тысяч долларов и сорванные сделки превращают её в вопрос уровня совета директоров.

ИИ добавляет бизнесу отдельный слой головной боли. Компании массово внедряют ИИ-инструменты и одновременно пытаются понять, что они на самом деле открывают внутрь периметра. Hiscox отдельно фиксирует новый набор рисков, повреждение и подмену обучающих данных, дыры в сторонних ИИ-сервисах и падение человеческого контроля над автоматизированными системами. Чем больше прав получает алгоритм, тем дороже обходится его ошибка или взлом.

Бизнес уже перестраивает бюджеты и процессы под эту угрозу:

• 33% прокачивают команду сразу в ИИ и кибербезе;
• 33% расширяют программы обучения работе с ИИ;
• 32% пересматривают киберстраховку под ИИ-риски;
• 31% планируют регулярные аудиты ИИ-систем.

Стоит обратить внимание, что чем больше решений компания отдаёт алгоритмам, тем дороже обходится один их сбой или один взломанный API.

Российский бизнес идёт по той же траектории, разве что страховка от киберрисков у нас пока редкость, и убытки обычно считают из своего кармана, а не получают компенсацию по полису.

Средний ущерб в $52 000 это усреднённая цифра по тысячам компаний, у конкретного бизнеса счёт может улететь в разы выше, если простой затянулся или задеты критичные данные. Если час простоя стоит $10 000, то один лишний день добавляет к счёту ещё $240 000, а для завода или крупной онлайн-площадки цифра может быть в разы больше.

Эксперты CISOCLUB отметили, что цифры Hiscox совпадают с тем, что они видят у российских заказчиков каждый день. Стоимость атаки определяет не сам факт взлома, а скорость возврата критичных сервисов в строй. По их словам, компании, заранее расписавшие план восстановления и роли ответственных, теряют кратно меньше денег и нервов, чем те, кто импровизирует на ходу.

Отдельно они указали на рост ИИ-рисков и предположили, что аудит сторонних нейросетевых сервисов скоро станет таким же обязательным пунктом, как патч-менеджмент. По их оценке, привязка бонусов топ-менеджеров к метрикам кибербезопасности постепенно доберётся и до российского рынка. В итоге специалисты сошлись на том, что киберустойчивость перестаёт быть темой одного отдела и превращается в вопрос выживания всей компании.

Ранее сообщалось, что компания Fenix24 проанализировала более 800 организаций, переживших атаки шифровальщиков, и обнаружила лишь четыре, которым удалось приблизиться к собственным целевым срокам восстановления в 24–48 часов. При этом даже у этих компаний за указанный период удалось восстановить только часть рабочих процессов, а полностью вернуть инфраструктуру в рабочее состояние быстрее нескольких недель не смогла ни одна организация. Данные представлены в первом отчёте Fenix24 State of Recoverability, опубликованном 15 сентября и основанном на более чем 500 реальных случаях восстановления после атак вымогателей.