Что такое DDoS и почему он бьёт по малому бизнесу
DDoS-атака (distributed denial of service, распределённый отказ в обслуживании) это когда на сайт одновременно идут запросы с тысяч заражённых устройств, и настоящие посетители не могут до него достучаться. В глоссарии Yandex Cloud это сравнивают с тем, как «множество людей толпится в дверях магазина и не дает никому пройти».
Атаки бывают двух видов, и это важно для выбора защиты:
- На сетевой канал (в отчётах их называют L3 и L4, по уровням сетевой модели). Они забивают канал трафиком, как пробка на въезде.
- На уровне приложения (L7). Они не забивают канал, а заваливают сам сайт запросами, похожими на обычные: поиск, корзина, оформление заказа. Сервер тратит силы на каждый и перестаёт отвечать людям.
Зачем кому-то атаковать небольшой магазин, «Лаборатория Касперского» объясняет в самом отчёте: среди заказчиков есть «экономические антагонисты», которые хотят снизить доступность чужого сайта, ухудшить его позиции в поисковой выдаче и потратить его рекламный бюджет «мусорным» трафиком.
Отдельно отчёт говорит, что с DDoS-атакой может столкнуться компания любого размера и из любой отрасли.
Что произошло
29 сентября «Лаборатория Касперского» опубликовала пресс-релиз и полный отчёт об устройстве теневого рынка DDoS-услуг.
Аналитики Kaspersky Digital Footprint Intelligence, подразделения, которое следит за даркнетом, разобрали больше 256 тыс. сообщений и нашли 148 активных продавцов, работающих как минимум с 2024 года. В тот же день исследование пересказал CNews.
Рынок устроен по 3 моделям: атака на заказ через посредника, подписка на готовые инструменты (DDoS как услуга) и собственная инфраструктура злоумышленника.
Сколько стоит атака
Цены по отчёту «Лаборатории Касперского», заказ через посредника у 36 продавцов, рубли наш пересчёт по курсу ЦБ на 29.09.2026 (84,41 ₽ за доллар):
| Что заказывают | Средняя цена | В рублях |
|---|---|---|
| Пробная атака | $10, иногда бесплатно | около 840 ₽ |
| Атака на 1 день | $100 | около 8 400 ₽ |
| Атака на 7 дней | $500 | около 42 200 ₽ |
| Атака на 30 дней | $1 250 | около 105 500 ₽ |
Весь разброс заказных атак от $30 до $2 000 и зависит от цели, срока и заявленной мощности. Подписка на инструменты стоит от $1 до $30 тыс. в месяц: с ней заказчик сам запускает атаки, а их длительность, по пресс-релизу, от минуты до 48 часов.
Что ещё в отчёте:
- Атаки на сайт в ходу чаще всего. Атаки уровня приложения предлагали 92% продавцов, на сетевом уровне 74%, отдельные атаки на самом нижнем уровне 9%. Причина простая: для них есть готовые открытые инструменты, а для запуска нужен почти только адрес сайта.
- Треть обещает обойти защиту. 33% продавцов заявляли инструменты для обхода защиты от DDoS, а в объявлениях упоминались 32 компании по информационной безопасности.
- Реклама как у обычного бизнеса. Продавцы продвигаются через каталоги-агрегаторы, спам в мессенджерах, связи с хактивистами (хакерами, которые атакуют по идейным мотивам), теневые форумы и публичные рейтинги мощности.
- Рынок пополняется. Средний продавец работает 2,5 года, самые опытные около 10 лет. Только за I квартал 2026 года нашли 16 новых, и если темп сохранится, новичков в 2026 году будет минимум на 25% больше, чем в 2025-м.
Атак в России при этом становится больше. По данным Kaspersky DDoS Protection, с января по май 2026 года число DDoS-атак в России и странах СНГ (Содружества Независимых Государств) выросло на 27% к тому же периоду 2025 года, а доля атак уровня приложения поднялась до 51% против 31% годом ранее.
Это данные по клиентам сервиса защиты, отдельной статистики по малому бизнесу нет ни у кого.
Сколько стоит защита сайта
Главное различие в том, какой уровень атак закрыт. Бесплатная защита хостингов обычно фильтрует только сетевые атаки: в справке Selectel прямо написано, что базовая защита «не защищает от DDoS-атак на уровне приложений (L7)». А продают, как видно выше, в первую очередь именно такие атаки.
Наш срез тарифов со страниц провайдеров на 29.09.2026, цена за месяц:
| Где | Что входит | Цена |
|---|---|---|
| Рег.ру, хостинг | автоматическая защита от сетевых атак | бесплатно |
| Selectel | базовая защита сетевого уровня для своих продуктов | бесплатно |
| Timeweb, виртуальный хостинг | защита L3, L4 и L7 через DDoS-Guard, дополнительная услуга | 300 ₽ |
| DDoS-Guard, тариф Basic | защита 1 домена, 3 дня бесплатно | 8 000 ₽ |
| StormWall, тариф Personal | защита 1 домена для небольших проектов | 12 000 ₽, при оплате за год 10 800 ₽ |
| Cloud.ru, Qrator Professional | защита от DDoS, 10 Гбит/с | 28 060 ₽ с НДС |
Конструкторы сайтов часто включают защиту в платформу: у Tilda, например, на странице о безопасности заявлена защита от DDoS-атак и фильтрация аномального трафика без отдельной цены.
Наш расчёт: атака против защиты
Сутки средней заказной атаки стоят около 8 400 ₽, это почти как месяц защиты сайта у DDoS-Guard на тарифе Basic за 8 000 ₽. Неделя атаки за $500, около 42 200 ₽, стоит как 5 месяцев того же тарифа.
Потери считаются от вашей выручки. Возьмём интернет-магазин с выручкой 150 тыс. ₽ в день: сутки недоступности обходятся ему примерно в 150 тыс. ₽ упущенных заказов, не считая рекламы, которая всё это время ведёт людей на неработающий сайт.
Заказчику атака обошлась бы примерно в 8 400 ₽. Если сайт приносит заметную часть выручки, платная защита уровня приложения окупается первой же отбитой атакой, а для лендинга, с которого приходит пара заявок в неделю, обычно хватает защиты хостинга или конструктора.
Что сделать владельцу сайта
- Узнайте, где живёт сайт и какая защита уже включена. Спросите хостинг или конструктор прямо: какие уровни атак закрыты, есть ли защита от атак на сам сайт и сколько она стоит.
- Посчитайте цену часа простоя: выручка с сайта в день, делённая на 24, плюс дневной рекламный бюджет. С этой цифрой понятно, какой тариф защиты оправдан.
- Если сайт приносит деньги, закройте уровень приложения. Для небольших проектов у провайдеров есть тарифы на 1 домен, у многих есть пробный период.
- Не светите адрес сервера. Среди рекомендаций отчёта «Лаборатории Касперского»: пускать трафик через сеть доставки контента и обратный прокси, то есть промежуточный сервер, который принимает запросы вместо вашего, чтобы распределить нагрузку и скрыть исходный сервер.
- Держите запасной канал для клиентов. Карточки на картах, мессенджеры и телефон продолжают работать, когда сайт лежит. Укажите их заранее, чтобы клиенту было куда написать.
- Во время атаки следите за рекламой. Если в рекламу льётся мусорный трафик или сайт недоступен, остановите кампании, чтобы не платить за клики впустую.
Требования к защите лучше записать ещё на этапе заказа сайта: как это сделать, мы показали в статье про техническое задание на сайт. А из чего вообще складывается цена сайта и его поддержки, разобрано в статье о том, сколько стоит сайт.
В конце новости есть промпт, который посчитает цену простоя вашего сайта и подскажет уровень защиты. Первый прогон на условном интернет-магазине с хостингом Timeweb показал изъян самого промпта: мы не написали, что услуга хостинга за 300 ₽ закрывает и атаки на сайт, и модель предложила тариф за 8 000 ₽.
После правки она выбрала услугу своего хостинга. Цену простоя, 65 000 ₽ в сутки и около 2 700 ₽ в час, мы пересчитали вручную. Одно преувеличение осталось: 300 ₽ окупаются не «за секунды», как написала модель, а примерно за 7 минут простоя.
Чего ждать
Продавцов атак становится больше, а цены у большинства годами стоят на месте: по отчёту, примерно у 64% сервисов цена не менялась долгое время. Параллельно растёт доля атак на уровне приложения, которые бесплатная защита хостинга не закрывает. Для владельца сайта это означает, что вопрос «какая у меня защита» стоит задать до первой атаки, а не во время неё.
Отдельной статьи со словом DDoS в российском уголовном кодексе нет. Есть статьи о неправомерном доступе к компьютерной информации, в том числе повлёкшем её блокирование, и о вредоносных программах, а тот, кто организует преступление или склоняет к нему другого, по статье 33 УК РФ считается соучастником.
Частые вопросы
Сколько стоит DDoS-атака? По отчёту «Лаборатории Касперского» от 29 сентября 2026 года заказная атака стоит от $30 до $2 000 за срок от 1 до 30 дней, в среднем сутки $100, неделя $500, месяц $1 250. Подписка на инструменты стоит от $1 до $30 тыс. в месяц.
Защищает ли бесплатная защита хостинга от DDoS? Обычно только от атак на сетевой канал. Атаки на уровне приложения, то есть на сам сайт, бесплатная защита, как правило, не закрывает: в справке Selectel это написано прямо.
Сколько стоит защита сайта от DDoS? На 29 сентября 2026 года: у хостинга Timeweb дополнительная услуга 300 ₽ в месяц, у DDoS-Guard тариф Basic 8 000 ₽, у StormWall тариф Personal 12 000 ₽, защита Qrator в Cloud.ru от 28 060 ₽ в месяц с НДС.
Что делать, если сайт атакуют? Сообщить хостингу или провайдеру защиты, остановить рекламу, пока сайт недоступен, и перевести клиентов в запасные каналы: мессенджеры, телефон, карточку на картах.
Могут ли атаковать маленький сайт? Да. В отчёте прямо сказано, что с DDoS-атакой может столкнуться компания любого размера и из любой отрасли, а среди заказчиков есть конкуренты, которые хотят снизить доступность сайта и потратить чужой рекламный бюджет.
