9 сентября F6 (бывшая Group-IB) опубликовала свежую статистику по утечкам, и СМИ разнесли её с заголовками в духе «Россия оказалась впереди всех по утечкам баз данных». ComNews даже вынес это в лид.

Мне стало интересно, насколько заголовок соответствует самим данным. Забегая вперёд: цифры честные, заголовок — нет.

Что реально сказала F6

Threat Intelligence-подразделение F6 сообщило: за 2025 год и первое полугодие 2026-го обнаружено 326 публикаций баз данных российских компаний, впервые выложенных киберпреступниками, — около 1,175 млрд строк. В отдельном международном отчёте за тот же период — 164 новые публичные утечки из прочих стран. (Ведомости)

ComNews эту часть пересказывает корректно: 326 против 164 — это действительно почти двукратная разница. (ComNews)

Но дальше начинается самое интересное.

Сноска, которая всё меняет

Международный отчёт F6 содержит принципиальную оговорку: данные по России и Беларуси в него не включены — для них существует отдельный ежегодный отчёт. То есть это не «весь мир», а «остальной мир за вычетом РФ и РБ».

И считает F6 не «все утечки в мире», а новые базы, которые аналитики нашли на отслеживаемых ими андеграундных форумах и в тематических Telegram-каналах. Из 164 международных публикаций 91 выложили бесплатно, 73 — на продажу.

Поэтому корректная формулировка звучит так: «на ресурсах, которые мониторит F6, за период обнаружено 326 публикаций российских баз против 164 публикаций из остального исследованного массива». Это далеко не то же самое, что «в России произошло больше утечек, чем во всём остальном мире».

Дыра в цифрах самой F6

И вот тут — самое любопытное. Сложим публичные данные F6 за тот же период.

В годовом отчёте за 2025 (от 2 февраля 2026) F6 писала: 230 публикаций российских баз и более 767 млн строк. (SecurityLab, РБК) В июле сообщила итоги I полугодия 2026: ещё 88 публикаций и 114 млн строк.

Считаем:

• 230 + 88 = 318, а не 326.
• 767 + 114 ≈ 881 млн строк, а не 1,175 млрд.

По количеству баз разница ерундовая — 8 публикаций можно списать на позднюю атрибуцию. А вот по строкам — около 294 млн записей, плюс 33% к прежней сумме. Это уже не округление.

Публичного объяснения пересчёта я в материалах F6 не нашёл. Технически такое бывает: Threat Intelligence ретроспективно находит старые базы и относит их к моменту первой публикации — тогда февральский срез 2025 мог быть актуализирован задним числом. Но если так, это стоило бы прямо написать. Сейчас пояснения нет.

Игра со знаменателями

Ещё одна тонкость. ComNews пишет, что Центральная Азия (257 млн строк) — «более трети от общемирового объёма». Внутри глобального отчёта так и выходит: остальной мир — более 600 млн записей, и 257 млн — это за 40%.

Но в этот «общемировой» массив не входят Россия и Беларусь. Добавь туда заявленные 1,175 млрд российских строк — и 257 млн превращаются в жалкие 14–15%. Разные знаменатели, разные проценты, а звучит одинаково.

Что говорят другие источники

Теперь главное: можно ли из данных F6 сделать вывод «Россия — мировой лидер»? Независимые исследования рисуют другую картину.

InfoWatch за 2025 год зарегистрировал в мире 5985 утечек. Распределение: США — 37,6%, Россия — 12,3% (второе место), далее Франция 3,4%, Канада 3,2%, Индия 3,1%. (InfoWatch)

Surfshark считает скомпрометированные аккаунты: за 2025 год в мире их 425,7 млн, и США снова первый — 142,9 млн, далее Франция, Индия, Германия, и только потом Россия. (Surfshark)

И даже внутри России три источника дают три разные цифры за один и тот же 2025 год:

Это не значит, что кто-то врёт. Они измеряют принципиально разное: РКН — установленные факты компрометации операторов ПДн, InfoWatch — зарегистрированные инциденты, F6 — базы, всплывшие на теневых площадках. Одна выложенная база может быть компиляцией нескольких утечек, содержать старые данные и дубликаты, а реальная утечка может вообще никогда не появиться публично.

Для контраста: Smart Business Alert за I полугодие 2026 насчитал лишь 54 базы и 24,3 млн строк с «актуальностью 2026 года» — против 88 публикаций и 114 млн строк у F6 за тот же период. Разница почти в пять раз по объёму при одном и том же теневом рынке.

Эффект наблюдателя

F6 объясняет высокий российский показатель в том числе геополитически мотивированными атаками. Правдоподобно. Но есть и другая причина, о которой пишут реже.

F6 выросла из Group-IB и исторически глубже всех мониторит русскоязычный криминальный сегмент. Международный отчёт F6 — фактически первый глобальный у компании. Сравнивать 326 в давно и глубоко наблюдаемом рунете с 164 в новой международной выборке некорректно: покрытие России и, скажем, Аргентины или Нигерии у F6 заведомо не одинаковое.

Мнение — не факт

И последнее. Объяснения в духе «в Латинской Америке, Африке и на Ближнем Востоке украсть особо нечего» и «глубокая цифровая экосистема России» — это мнение эксперта Игоря Бедерова, которого цитирует ComNews, а не результат исследования F6. ComNews, к чести, так и подаёт это как цитату. Аналогично связь показателя с конфликтом — правдоподобная гипотеза, но статистика сама по себе причинность не доказывает.

Вердикт

• Достоверно: в России гигантский теневой оборот украденных баз, и F6 фиксирует аномально много российских сливов на отслеживаемых площадках. Это подтверждают и другие источники.
• Недоказано: что Россия «впереди всех в мире» по утечкам. Наиболее широкое международное исследование InfoWatch ставит США на первое место (37,6%), Россию — на второе (12,3%).
• Кликбейт: формулировка «Россия оказалась впереди всех» методологически некорректна — смешивает разные знаменатели и игнорирует сноску F6.
• Вопрос к F6: почему 230 + 88 превратились в 326, а 767 + 114 млн — в 1,175 млрд? Откуда взялись дополнительные ~294 млн строк? Явного ответа в опубликованных материалах я не нашёл.

Собственно, именно последний пункт мне и кажется самым интересным: не заголовок, а скачок оценки почти на 300 млн строк без объяснения методики. Если будет настроение — разберу по конкретным базам, откуда они взялись.

#security #openclaw