Рынок эксплойтов нулевого дня

Эксплойты — это цифровой продукт, информационные товары, производимые практически с нулевыми предельными издержками^[8]. Однако, в отличие от электронных книг или фильмов, их ценность не падает из-за лёгкости копирования, а из-за того, что после раскрытия уязвимости разработчик выпускает «заплатку», уменьшая ценность товара. По данным за 2025—2026 годы, средний жизненный цикл эксплойта до выпуска патча составляет 7 дней, при этом злоумышленники часто начинают его эксплуатацию ещё до публикации уязвимости^[9].

Полная потеря стоимости эксплойта невозможна по двум причинам: (1) распространение обновления происходит неравномерно среди пользователей, (2) разработчики могут использовать исходную ошибку для создания модифицированных вариантов с меньшими затратами. Эксплойты также необычны тем, что их ценность чрезвычайно зависит от времени: компании выпускают обновления регулярно, и полезна только «заплатка», соответствующая актуальной версии; иногда уязвимость устраняется и без внешних сообщений. Даже при конфиденциальных сделках применение эксплойта может привести к проявлению сбоев у пользователя, что быстро вскроет уязвимость и приведёт к её потере ценности. В этом смысле эксплойты являются неисключаемыми товарами, но степень их невзаимозаменяемости зависит от числа пользователей: чем больше субъектов используют одну и ту же уязвимость, тем выше вероятность того, что компания быстро узнает о проблеме и выпустит «заплатку», сократив срок службы эксплойта.

В мае 2026 года произошёл фундаментальный сдвиг в технологии создания подобных товаров: подразделение Google Threat Intelligence Group сообщило об обнаружении первого эксплойта нулевого дня, полностью созданного искусственным интеллектом. Данный эксплойт представлял собой Python-скрипт, предназначенный для обхода двухфакторной аутентификации^[10].^[11]

Большинство сделок на таком рынке строится так, чтобы сохранить анонимность хотя бы одной из сторон. На «белом» рынке могут использоваться отслеживаемые валюты, но в серых и чёрных операциях чаще всего используются украденные цифровые средства (банковские карты) и криптовалюты. В последние годы доминируют криптовалюты, но на сером рынке цены зачастую фиксируются в долларах США, что подтверждается утечками из почтового архива Hacking Team^[12]. Из-за возросшего санкционного давления брокеры отказываются от публичных витрин и полностью переходят на расчёты в криптовалюте для обхода ограничений^[13][14].

В классических чёрных рынках (например, торговля оружием или наркотиками) требуется широкая сеть доверенных участников — для осуществления сделок, подделки документов, финансовых операций и транспортировки. Из-за практически невозможности юридически закрепить такие сделки, преступные организации зачастую привлекают людей из близкого круга^[15]. Такая близость увеличивает стоимость транзакций (требуется больше посредников для международных операций) и уменьшает прибыль продавца.

Эксплойты нулевого дня, напротив, являются виртуальным продуктом и могут быть реализованы через интернет напрямую, так как технология позволяет обеспечивать анонимность с низкими затратами. Даже при необходимости посредников для анонимизации могут использоваться «невольные переносчики данных». Это делает чёрный рынок эксплойтов особенно прибыльным по сравнению с серыми каналами. Серый рынок, где работают структуры национальной безопасности, обычно требует наличия подставных фирм для сокрытия следов. В архиве Hacking Team, например, обнаружены предполагаемые контракты с секретариатом разведки Эквадора при посредничестве компаний Robotec и Theola, а для контрактов с ФБР и DEA выступали сторонние фирмы Cicom и Robotec^[16]. На «белом» рынке подобные сложности едва ли встречаются — компании, напротив, заинтересованы демонстрировать применение новой защиты и могут публично отчитываться о транзакциях.

Примером государственного регулирования серых площадок служат санкции, введённые США в феврале 2026 года против российского брокера Operation Zero («Матрица») за торговлю эксплойтами, украденными у американского оборонного подрядчика^[17]. Для обхода ограничений брокер использовал новую юрисдикцию, создав подставную фирму STS в Объединённых Арабских Эмиратах.

Цепочка поставок эксплойтов сложна и многоуровнева: на вершине — администраторы, далее следуют технические эксперты, затем — посредники, брокеры и продавцы (разной степени подготовленности), внизу иерархии — осведомлённые участники с незначительной ролью. Внутри структуры присутствует ассортимент продуктов. Эксплойты нулевого дня способны «отыскивать» или разрабатывать только квалифицированные специалисты, а вот эксплуатация устаревших («half-day»^[18]) уязвимостей доступна почти любому желающему через визуальные интерфейсы и открытые обучающие материалы.

Параллельное существование рынков нулевого дня и устаревших эксплойтов повышает живучесть чёрного рынка: удаление поставщиков на верхних уровнях насыщается быстрой заменой снизу — на поиск нового «продавца» уходит меньше суток, тогда как правоохранительные мероприятия могут длиться месяцами.

Достичь статуса высокоуровневого игрока можно только при наличии личных связей и надёжной репутации; в этом цифровой чёрный рынок не отличается от традиционного. Half-day эксплойты обычно продаются в более открытых пространствах, но сделки по нулевому дню требуют двойных слепых аукционов и многослойного шифрования, что невозможно на публичных форумах — такие операции проводятся в тщательно проверяемых сообществах.

Внедрение генеративного искусственного интеллекта радикально снизило предельные издержки и время разработки эксплойтов (вплоть до нескольких минут), что привело к снижению порога входа для менее квалифицированных злоумышленников^[19][20]. Кроме того, на рынке сформировалась бизнес-модель Exploit-as-a-Service (EaaS), позволяющая арендовать эксплойты и инфраструктуру для атак по запросу^[21].

Кто покупает эксплойты нулевого дня — тот и определяет тип рынка. АфидлерОшибка в сносках^?: Отсутствует закрывающий тег </ref>. До 14 % всех уязвимостей Microsoft, Apple и Adobe в последние 10 лет были выкуплены по программам белого рынка^[22]. В 2025 году максимальные суммы вознаграждений достигли 5 млн долларов от Apple и 3,1 млн долларов от Google^[23].

Преступники действуют на чёрном рынке, хотя иногда и государства делают покупки, если не могут получить испытуемое в сером сегменте или если закупки осложнены международными ограничениями. Например, компания Hacking Team заявляла, что не продаёт продукты правительствам или государствам из чёрного списка США, ЕС, ООН, НАТО или АСЕАН, однако на практике нарушала собственные правила. Цены на чёрном рынке превышают белый в 10-100 раз^[7], и наивысшие предложения фиксируются в США. Поскольку в некоторые страны, например на Кубу или в КНДР, экспорт запрещён, потенциальные продавцы вынуждены действовать на чёрном рынке.

Покупатели серых рынков — частные компании, правительства и брокеры, осуществляющие перепродажу уязвимостей. Данные о ценах и особенностях сделок обнаруживаются по запросам государственной информации или на основе утечек из спецслужб и фирм — таких, как FinFisher или Hacking Team. Стоимость полных цепочек эксплойтов для мобильных операционных систем варьируется от 5—7 млн долларов (Crowdfense) до 20 млн долларов (Operation Zero)^[24].

В 2025 году коммерческие поставщики средств наблюдения (CSVs) впервые опередили правительственные группы по количеству использованных уязвимостей^[25]. Основными целями атак (по 44 %) стали операционные системы и корпоративные edge-устройства^[26][27].

Транзакции Hacking Team анализировал Цыркльевич^[12] — это одно из лучших известных эмпирических свидетельств рынка эксплойтов нулевого дня. Скорее всего, аналогичные процедуры применяются и в других сегментах (белом и чёрном):