2025 г. донесе безпрецедентен ръст на кибератаките – по-чести, по-скъпи и далеч по-усъвършенствани. Технологичният напредък в лицето на изкуствения интелект донесе безспорни удобства, но и нови уязвимости, които хакерските групи експлоатираха без колебание. На прицел бяха бизнеси, институции и цели държави.

Ransomware групите не само продължиха да функционират като истински корпорации – с клиентска поддръжка, PR екипи и партньорски програми, – но дори се разраснаха.

Според глобалния доклад Cost of a Data Breach Report 2025 средната стойност на финансова загуба от нанесена кибератака е спаднала спрямо 2024 г., но все още е висока – 4,44 млн. долара. Прогнозните световни загуби в резултат на киберпрестъпления според Cybersecurity Ventures ще надхвърлят 10,5 трлн. долара в края на 2025 г. – сума, по-голяма от БВП на почти всяка държава на планетата.

Според Microsoft Digital Defense Report 2025 критичната инфраструктура – като енергетика, водоснабдяване, транспорт и телекомуникации – остава сред най-уязвимите цели за кибератаки. Въпреки че по-големият процент от киберпрестъпленията се извършва с финансови мотиви, заплахите от държавно подкрепяни хакери остават сериозни и постоянни.

Годината в кибератаки

През 2025 г. видяхме как ransomware атаки за пари парализираха цели болници и енергийни компании, а държавно спонсорирани хакери бяха открити дълбоко в инфраструктурите на телекомуникации и транспорт.

Пробивът в DeepSeek

На 29 януари 2025 г. изследователи от Wiz откриват, че база данни на китайската AI компания DeepSeek е публично достъпна без парола. В нея са открити над един милион записа, включително чат истории на потребители, API ключове, системни логове и данни за бекенд инфраструктурата. Поради тази слабост всеки с интернет връзка е можел да изпълнява SQL заявки, да прочита и потенциално да манипулира данните. DeepSeek коригира конфигурацията и заключи базата в рамките на около половин час, но инцидентът подчерта сериозни пропуски в сигурността при AI компаниите.

Lazarus срещу Bybit – когато държавата хаква за пари

Най-голямата кибератака на 2025 г. (а и до момента в сферата на криптовалутите) беше пробивът в криптоборсата Bybit през февруари, при който бяха откраднати около 1,5 млрд. долара. Разследвания на ФБР, Chainalysis и Elliptic свързаха инцидента със севернокорейската група Lazarus, известна като дигитално продължение на държавата. Според данни на ООН подобни киберкражби са основен източник на финансиране за режима в Пхенян, използвани за заобикаляне на санкции и за подпомагане на програмите за балистични ракети и ядрено въоръжение.

Хакерите използваха комбинация от фишинг, уязвимости в портфейли и социално инженерство, за да получат достъп до „горещите“ криптопортфейли. След това разпръснаха средствата през стотици транзакции и миксиращи услуги – което е класическата тактика на Lazarus за заличаване на следи. Bybit реагира бързо: спря тегленията, информира клиентите и изолира компрометираните сегменти, като вътрешната търговия продължи. Благодарение на сътрудничество с Интерпол, ФБР и Европол част от източените средства бяха блокирани и възстановени.

Volt Typhoon – продължително скрито присъствие в системи, които никой не е подозирал

През март 2025 г. американските служби разкриха, че китайската група Volt Typhoon е стояла месеци наред в мрежата на енергиен оператор, без да бъде открита. Пробивът е започнал чрез компрометирани администраторски акаунти, след което хакерите внимателно са се придвижили навътре – не към финансови данни, а към системи, които управляват реални процеси. Volt Typhoon не са използвали зловреден софтуер, а са работили със стандартни системни инструменти, които изглеждат като част от ежедневната администрация. Това им е позволило да копират конфигурации, мрежови схеми и процедури при аварии, да картографират връзки между контролери и да анализират слабите точки в различни сегменти от инфраструктурата, без да се издадат.

Атаката не е имала непосредствен ефект, но е дала на групата изключително детайлна представа как работи мрежата отвътре – знания, които могат да бъдат използвани във всеки бъдещ момент. Точно този тип „тихо позициониране“ прави случая толкова важен. Ако подобно присъствие може да остане незабелязано в добре наблюдавана среда, същото е напълно възможно и в много други системи, включително при организации, които не се възприемат като критични, но произвеждат или поддържат елементи, използвани масово в инфраструктурите.

DaVita – поредната атака срещу здравеопазването в САЩ

DaVita, един от най‑големите доставчици на диализни услуги в САЩ, стана жертва на ransomware атака, извършена от групата Interlock, при която бяха компрометирани мрежови сървъри и лабораторни бази данни. Хакерите получиха неоторизиран достъп и криптираха части от системите, като откраднаха чувствителна лична и медицинска информация на около 2,7 млн. пациенти – имена, адреси, номера на социални осигуровки, здравен статус и резултати от изследвания. Това беше третата голяма атака по доставчик на здравни услуги в САЩ за годината.

Рискът отвътре: хакери използваха подкупени служители за атака срещу Coinbase

Криптоборсата Coinbase стана жертва на ransomware атака през май 2025 г. Киберпрестъпна група подкупи нейни служители и чрез тях получи достъп до лични данни на клиенти – имена, адреси, телефонни номера, документи за самоличност и банкова информация. Хакерите поискаха 20 млн. долара откуп, които Coinbase отказа да плати. Вместо това борсата създаде награден фонд за информация, която може да доведе до залавянето на престъпниците. Компанията уведоми засегнатите потребители, уволни замесените служители и засили мерките за сигурност, подчертавайки риска от trusted insiders в криптоиндустрията.

Пробивът в UNFI разтърси хранителната верига на САЩ

В началото на месец юни дистрибуторът на храни United Natural Foods Inc. (UNFI) – основен доставчик за Whole Foods Market и над 30 000 други супермаркета и хранителни магазини в Северна Америка – засече неоторизирана активност в информационните си системи и спешно изключи част от тях. Това блокира обработката на поръчки и логистиката: множество магазини нямаха доставки, а рафтовете в някои супермаркети останаха празни.

Най‑голямото изтичане на данни

През май 2025 г. изследователи от Cybernews и SecurityDiscovery откриха 631‑гигабайтова база данни, оставена без парола, с над 4 млрд. записа, предимно на китайски граждани. В нея имаше данни от WeChat и Alipay, финансова информация, адреси, лични идентификационни номера, телефонни номера, информация за платежни карти, както и метаданни и логове — общо 16 отделни колекции. Изследователите смятат, че това е централизирана, агрeгирана база, вероятно създадена за масово наблюдение, профилиране и проследяване на поведението, икономическите и социалните характеристики на гражданите. Няма официална информация за собственика ѝ, а самата база беше свалена почти веднага след нейното откриване.

Този инцидент се смята за най-голямото известно до момента единично изтичане на лични данни на китайски граждани и повдига остри въпроси за мащаба на цифровото наблюдение и уязвимостта на милиони хора.

Microsoft SharePoint – глобална уязвимост

През юли 2025 г. критична Zero-Day уязвимост в Microsoft SharePoint Server компрометира гръбнака на корпоративната комуникация, излагайки на риск хиляди организации едновременно.

Софтуерен пропуск, идентифициран по-късно като CVE-2025-53770, позволи на киберпрестъпници да заобиколят автентикацията и да инсталират уебшел – инструмент за пълен дистанционен контрол над сървъра. Стана ясно, че първите атаки са започнали още преди Microsoft да публикува предупреждение.

Според CISA и Microsoft Threat Intelligence уязвимостта е била експлоатирана активно от китайската група Flax Typhoon и руската Midnight Blizzard – не за пари, а за шпионаж и кражба на вътрешни документи. Сред засегнатите са енергийни оператори, телекомуникационни компании и държавни агенции на няколко континента.

Най-опасното в случая е, че за атаката не е използван зловреден код, а легитимни системни команди – така нареченото living off the land (LotL), което прави проникването почти невидимо. Microsoft издаде спешен пач, а CISA препоръча временно изключване на уязвимите SharePoint сървъри.

Този инцидент показа колко крехка е дигиталната ни зависимост – една-единствена уязвимост в масов софтуер може да се превърне в инструмент за глобален шпионаж.

Хакът срещу Range Rover

В края на лятото на 2025 г. Land Rover и Range Rover – Jaguar Land Rover (JLR) – станаха жертва на една от най-мащабните кибератаки в историята на британската индустрия. Атаката започна в края на август и принуди компанията на 1 септември да спре производството и да изключи голяма част от вътрешните си системи, което блокира сглобяването на автомобили и продажбените операции по целия свят.

В резултат на инцидента фабриките, произвеждащи Range Rover и останалите модели на JLR, останаха затворени над три седмици, а щетите за компанията и свързаната с нея верига от доставчици се оценяват на милиарди. Някои анализи го описват като най-скъпата кибератака в историята на Обединеното кралство с общ ефект върху икономиката от порядъка на 1,9 млрд. паунда. За атаката поемат отговорност киберпрестъпни групи, свързвани с т.нар. Scattered Spider.

Този инцидент показа колко тясно са свързани киберсигурността и физическото производство: един успешен пробив в IT средата може буквално да спре поточните линии, да остави хиляди хора без работа за седмици и да нанесе сериозни репутационни и финансови щети на глобален бранд като Range Rover.

Collins Aerospace MUSE – когато един доставчик спре половин Европа

През септември 2025 г. една „невидима“ за пътниците система показа колко зависима е авиацията от трети страни. Кибератака срещу Collins Aerospace – доставчик на софтуера за чекиране и бординг MUSE – доведе до хаос по летища в цяла Европа. Засегнати бяха ключови хъбове като Лондон Хийтроу, Брюксел, Берлин Бранденбург и Дъблин, където автоматизираните системи за чекиране и бординг спряха да работят и авиокомпаниите бяха принудени да минат на ръчно обслужване.

Атаката започва вечерта на 19 септември 2025 г., а на следващия ден последствията вече са повсеместни – стотици отменени и закъснели полети, опашки и пътници, които научават за проблема.

По-късно ENISA, Агенцията на ЕС по киберсигурност, потвърждава, че става дума за ransomware атака срещу трета страна, а не директно срещу самите летища. Отделни анализи свързват инцидента с групата Everest ransomware, която твърди, че е откраднала база данни от сървърите на Collins Aerospace и е поставила срок за откуп.

Атакуваната платформа е софтуер, който обслужва множество авиокомпании и им позволява да споделят гишета за чекиране, бординг портове и свързани системи. Точно тази централизация превръща пробива в така наречения single point of failure.

Инцидентът Google Cloud

Случаят не е хакерска атака, но е включен тук, защото показва, че не само хакери, но и вътрешни технически грешки могат да предизвикат глобални последствия.

Дефектна конфигурация по време на рутинна поддръжка срина глобалната услуга за разпределяне на трафика Google Cloud Load Balancer. В рамките на 90 минути услуги като Spotify, Snapchat, Discord и множество корпоративни платформи останаха недостъпни.

България: киберфронтът у дома

Януари 2025 г. – Върховен административен съд (ВАС)

В ранните часове на 27 януари кибератака спира работата не само на уебсайта на Върховния административен съд, но и на Единната деловодна информационна система (ЕДИС), която обслужва всички 28 административни съдилища в страната. Зловредният софтуер – рансъмуерът White Rabbit („Бял заек“) – достига до около две трети от компютрите в съда и криптира всички данни, до които има достъп. В резултат електронната система за управление на делата временно спира, нови дела не могат да се въвеждат в ЕДИС, а съдиите и съдебните служители са принудени да преминат към работа „на хартия“.

Случаят показа колко уязвима може да бъде дори държавната съдебна инфраструктура при успешна кибератака. Още по-притеснителни бяха изводите от публичните изявления на ГДБОП и ръководството на ВАС – пробивът най-вероятно не е резултат от сложна, високотехнологична операция, а от комбинация от човешка грешка, остарели и неподдържани операционни системи и слаби пароли. Това е перфектна илюстрация за риска, който носят т.нар. „наследствени системи“, когато не се поддържат и защитават адекватно.

Април 2025 – Агенция „Пътна инфраструктура“ (АПИ)

През април 2025 г. погледите се пренесоха върху АПИ. Хакери публично заявиха, че са получили достъп до данните на над 100 000 потребителски профила и близо 1000 служители чрез системата за електронни винетки LIMA. Въпреки че агенцията официално отрече да е допуснат пробив, самият инцидент беше показателен. Той извади на показ уязвимостите в защитата на публичните портали и крехкото доверие в институциите по отношение на съхранението и контрола върху личните данни.

Ноември 2025 – Walltopia

Българският производител на стени за катерене Walltopia стана жертва на ransomware атака. Собственикът отказа да плати откуп и обяви награда от 50 000 лв. срещу информация за хакерите.

Компанията възстанови системите си за броени дни – пример за прозрачна реакция и отказ на опити за изнудване.

 Вълната от AI Vishing (гласов фишинг) през цялата 2025 г.

Няма как да не сте преживели тази атака. Измамници използваха генеративен изкуствен интелект, за да клонират гласове и да изнудват жертви.

Този нов тип измами показва, че изкуственият интелект вече е достъпен инструмент за престъпници и променя ландшафта на социалното инженерство.

 Планът за 2026: От оцеляване към киберустойчивост

Уроците от 2025 г. бяха болезнени, но ясни. За да не се повтори кошмарът, 2026 г. трябва да бъде годината на радикалната промяна в мисленето – от превенция към устойчивост. Ето четирите стълба, върху които трябва да се изгради защитата на критичната инфраструктура:

 1. Принципът на „Нулево доверие“ (Zero Trust)

Трябва да погребем остарялата концепция за „периметрова сигурност“ (идеята за „замък и ров“). Новата парадигма е „Никога не се доверявай, винаги проверявай“. Това означава, че всяко устройство и потребител, дори вътре в мрежата, трябва непрекъснато да доказва самоличността си и да получава достъп само до абсолютния минимум ресурси, нужен му да работи. Чрез микросегментация,дори пробил нападател ще бъде „затворен“ в малък сегмент, неспособен да стигне до критична инфраструктура.

 2. Устойчивост, а не само превенция (Design for Resilience)

Трябва да приемем, че 100% превенция е невъзможна. Рано или късно някой ще пробие. Затова фокусът трябва да се измести от „Как да не ни хакнат?“ към „Колко бързо можем да се възстановим?“. Това означава инвестиции в архитектура за устойчивост:

• Изолирани архиви: Архиви на данните, които са физически изключени от мрежата и не могат да бъдат криптирани от ransomware.
• Резервни ръчни управления: Гарантиране, че всяка автоматизирана дигитална система (като шлюз на язовир) има надежден и бърз механичен или ръчен контрол, който заобикаля компютрите.

 3. Инвестиция в хора, а не в отметки

Провалите от 2025 г. са преди всичко провал на въображението и на остарелия, корпоративен подход към сигурността.

Години наред служителите са обучавани с еднократни, скучни PowerPoint презентации, само за да бъде сложена отметка в графа „изпълнено“ (compliance) за сертификационния одит. Това не е сигурност, това е театър. И хакерите го знаят.

Истинската защита, която малко организации всъщност практикуват, не е „едно обучение“, а непрекъснат практически тренинг. Това е фундаментална разлика. Служителят е поставен в реална, контролирана симулация, в която той ще направи грешка, като например да отвори неверифициран линк, ще се провали в безопасна среда и професионалисти ще го обучат по подходящ начин на база грешката му.

Това е изграждане на „мускулна памет“ и култура на сигурност. Докато парадигмата от ompliance към „практика“ не се промени, ще продължаваме да четем за пробиви, причинени от човешка грешка.

Поглед напред

Киберпространството вече е арена на постоянен конфликт, в който се срещат престъпност, политика и технология.

2025 г. показа, че няма „малки“ цели – има само неподготвени. През 2026 г. организациите трябва да мислят не само как да се защитят, а как да продължат да функционират по време на атака. Устойчивостта, обучението и бързата реакция вече са толкова важни, колкото и самите технологии.

Годината беше болезнен, но безценен урок. Тя ни показа, че киберсигурността не е разход, а жизненоважна инвестиция в оцеляването ни. Изборът да не повторим инцидентите е в нашите ръце.