Почему российский бизнес уступает хакерам при наличии защиты
За девять месяцев 2026 года в российском интернете зарегистрировано 333 публичных инцидента с утечками данных, что меньше по сравнению с 573 случаями годом ранее. Хотя это выглядит как успех, медианный размер утечки увеличился на 117%: с 46 до 100 тысяч строк. Об этом рассказывает Российская газета.
Эти данные были озвучены на конференции SOC Forum 2026 директором по развитию Solar AURA группы "Солар" Александром Вураско. Он предупреждает, что количество хакеров не уменьшилось. Фишинг стал массовым явлением, злоумышленники действуют быстро, а их инструменты атак все чаще имитируют стандартное программное обеспечение компаний.
Фишинг, по словам Вураско, уже не ограничивается единичными сайтами. Это целые сети из сотен и тысяч ресурсов, где доля адресов на доменах третьего уровня (например, "имя.сайт.com") за год увеличилась с 25% до почти 50%. Более 40% таких ресурсов используют псевдослучайные префиксы из букв и цифр, а свыше половины доменов существуют менее суток. Классические методы поиска "похожих" доменов не помогают: в архивах находятся только домены второго уровня. Ссылки работают и открываются в встроенных браузерах мессенджеров без адресной строки.
Специалист группы киберразведки Positive Technologies Денис Казаков также рассказал о другом методе: злоумышленники используют актуальные темы как приманку. Этим летом они предлагали "забронировать топливо", маскируясь под приложения для заправок и распространяя шпионские программы.
Легитимные программы стали важным инструментом для хакеров.
Руководитель управления предупреждения внешних киберугроз BI.ZONE Олег Скулкин объясняет, что средства удаленного управления, архиваторы и утилиты резервного копирования могут использоваться как системными администраторами, так и злоумышленниками. Он сравнивает это с кухонным ножом: его можно использовать для резки хлеба или для преступления. Различить эти действия в журнале событий сложно: скрипт может обновлять внутреннюю программу или запускать вредоносное ПО из фишингового письма.
Руководитель департамента комплексного реагирования на инциденты информационной безопасности Positive Technologies Денис Гойденко отмечает, что сегодня половина атак начинается с веб-приложений, а в совокупности с другими сервисами на периметре это около 65%. По его словам, в 54% случаев атаки нарушают бизнес-процессы, а примерно в 30% случаев инфраструктура полностью зашифровывается или уничтожается. Доля пострадавшей промышленности увеличилась с 9% до 22%.
Скорость атак также возросла: на многие из них уходит от двух до пяти часов. Пятьдесят два из 65 вредоносных программ, зафиксированных командой Гойденко за год, оказались новыми. По его оценкам, большие языковые модели (LLM) помогают злоумышленникам подбирать механизмы Windows под конкретные сети. Например, уникальный эксплойт для уязвимости в системе резервного копирования был собран за неделю, что без использования ИИ было бы невозможно.
Нейросети также предоставили менее опытным хакерам доступ к атакам, которые ранее требовали высокой квалификации.
Почему же защита неэффективна? Эксперты выделяют несколько причин, в основном организационного характера. Средства защиты часто срабатывают, но реакция запаздывает: чем больше правил, тем больше срабатываний, и тем дольше специалисты отделяют ложные срабатывания от настоящих. Компании защищают то, что кажется важным им, а не то, что нужно злоумышленникам. Часть ИТ-инфраструктуры иногда просто "теряется". Скулкин отмечает, что у команд безопасности и ИТ-администраторов разные представления о количестве узлов в компьютерной сети.
Облако также создает дополнительные уязвимости. Генеральный директор "Клаудэдвайзор" Михаил Захряпин сообщил, что анализ более 40 тысяч виртуальных серверов за первое полугодие 2026 года показал: у 83% из них есть уязвимости с оценкой по шкале CVSS выше 9 из 10 баллов, на 95% не было антивируса, а у каждой четвертой организации была найдена хотя бы одна зараженная машина. При этом около половины учетных записей работали без многофакторной аутентификации.
Уязвимости, по мнению экспертов, часто находятся за ИТ-периметром компании. Вураско описывает типичную цепочку: небольшой интернет-магазин на устаревшем WordPress-движке, в штате которого нет специалиста по безопасности, взламывают, базу клиентов продают или выкладывают, а затем она используется для фишинга сотрудников более крупных контрагентов.
Сегодня российский бизнес часто уступает хакерам не из-за их уникальных технологий, а из-за множества слабых мест в виде подрядчиков, субподрядчиков, интернет-магазинов и организационных проблем: забытых тестовых серверов и учетных записей, медленной реакции команд ИБ на инциденты. По данным Positive Technologies, между началом атаки и моментом, когда организация замечает злоумышленников в своей сети, проходит 14 дней. Возможно, если российские компании сосредоточатся на проверке эффективности средств защиты и отработке реагирования, разрыв может сократиться. Однако ожидать снижения числа успешных атак в ближайшие год-два не стоит: инструменты у злоумышленников становятся доступнее быстрее, чем бизнес достигает зрелости в области ИБ.
