Киберриски страховой компании в 2027 году: какие сценарии нужно заложить в модель угроз уже сейчас

Страховые компании, обрабатывающие огромные массивы чувствительных данных и выстраивающие сложные экосистемы партнерских интеграций, сегодня находятся под прицелом киберпреступников. Специалисты фиксируют рост социальной инженерии, внедрения шифровальщиков, перехвата паролей и доступов к аккаунтам, подделки документов и так далее. Для страховой компании каждый из этих сценариев означает конкретные потери: простой, спорные выплаты, претензии клиентов и расходы на восстановление. При этом точкой входа может стать партнерский API, мобильное приложение или доступ внешнего исполнителя – компоненты, от которых зависит скорость обслуживания и которые легко упустить при пересмотре модели угроз.

Банк России с 1 января 2027 года усиливает требования по информационной безопасности для страховых организаций. О том, как не только соблюсти их, но и заложить в модель угроз реалистичные сценарии, расскажет в данном материале Валерия Кузнецова, консультант по ИБ RTM Group.

Новые требования регулятора

С 1 января 2027 года вступает в силу Указание Банка России № 7219-У, вносящее изменения в Положение № 757-П и закрепляющее обязанность реализовывать требования стандартного уровня защиты информации по
ГОСТ Р 57580.1 — 2017 для всех страховых организаций.

В отличие от минимального, стандартный уровень защиты обязывает:

• проводить оценки соответствия с привлечением независимых специалистов (имеющих лицензию ФСТЭК) не реже одного раза в три года, а также осуществлять ежегодное тестирование на проникновение и анализ уязвимостей;

• обязательно проводить контроль прикладного ПО, обрабатывающего защищаемую информацию, с сертификацией или оценкой соответствия не ниже уровня доверия ОУД4;

• вести детальное логирование сетевых сессий клиентов с фиксацией IP-адресов, портов и времени начала/окончания соединений.

Уделяя должное внимание соблюдению требований регулятора, важно иметь четкое представление о современных векторах атак. Ведь устаревшие модели угроз часто не учитывают риски компрометации API, уязвимости бизнес-логики мобильных приложений и атаки на цепочки поставок. Чтобы апгрейд не остался только «на бумажке», необходимо уже сейчас пересмотреть свои подходы к кибербезопасности, закладывая в основу реалистичные сценарии. Это позволит снизить вероятность атак, избежать приостановки критических бизнес-процессов и масштабных финансовых потерь. О ключевых векторах защиты для страхового сегмента мы поговорим ниже.

Уязвимости API и цифровые каналы

Современная страховая компания представляет собой не изолированный контур, а узел в сложной экосистеме. Периметр защиты вышел за пределы собственных серверов и включает облака, SaaS-решения, партнёрские интеграции, личные кабинеты и мобильные приложения. Все эти взаимодействия строятся на API, и именно они становятся главной точкой входа для злоумышленников.

По данным центра исследования киберугроз Solar 4RAYS, в 2025–2026 годах количество сетевых уязвимостей выросло почти на 60%, при этом около 90% из них эксплуатируются злоумышленниками именно через HTTP-запросы и незащищенные API-интерфейсы. Это делает автоматизированный поиск таких «дыр» критически важным.

Одной из типичных уязвимостей является Broken Object Level Authorization (BOLA). Что происходит при ее реализации? Система контролирует, что пользователь аутентифицирован, но не проверяет, имеет ли он право работать именно с запрашиваемым объектом. Злоумышленнику достаточно изменить идентификатор в запросе, чтобы получить доступ к конфиденциальным данным. Та же логика работает и в клиентских цифровых каналах: атаки на аутентификацию и сессии, а также уязвимости бизнес-логики, позволяющие через манипуляции с параметрами запросов получить доступ к чужим данным.

Как страховым компаниям обезопасить себя? Для защиты цифровых каналов и интеграций рекомендуется использовать решения с функционалом контроля легитимности действий и защиты сессий. Следует внедрить специализированные системы управления безопасностью API, которые автоматически находят все интерфейсы, включая забытые и тестовые, и непрерывно следят за их использованием. Доступ к API и клиентским сервисам должен строиться по принципу «нулевого доверия». Каждый запрос проверяется, используются современные протоколы аутентификации, а на уровне шлюзов устанавливаются ограничения на количество вызовов, чтобы предотвратить массовый сбор данных. Важную роль играют системы анализа аномалий, способные выявить нетипичные паттерны использования аккаунта, такие, как вход из необычной геолокации или аномальная скорость заполнения форм. Также можно внедрить многофакторную аутентификацию при входе и проведении критичных операций, например, при смене реквизитов для выплат применять специализированные WAAP-решения для защиты веб-приложений.

Важно пересмотреть договоры с партнерами, включив в них жесткие требования к безопасности и четкие регламенты действий при инцидентах. Регулярные аудиты безопасности партнеров должны стать обязательной практикой, а не формальностью.

Искусственный интеллект и человеческий фактор: новая эра мошенничества

ИИ кардинально изменил ландшафт угроз информационной безопасности, сделав человеческий фактор критическим каналом утечки данных. Главную опасность для страховщиков сейчас представляет неконтролируемое использование сотрудниками публичных нейросетей. Работники, стремясь оптимизировать рутину, копируют в чат-боты фрагменты баз данных клиентов, тексты внутренних регламентов, исходный код корпоративных систем и другие данные, принадлежащие организациям. Поскольку публичные ИИ-сервисы сохраняют введенные данные и обучаются на них, это приводит к утечкам защищаемой информации.

Для противодействия этим угрозам можно использовать специализированные DLP-системы, способные распознавать контекст и факты отправки данных на внешние ИИ-сервисы. Также можно внедрить корпоративные политики и технические запреты на использование несанкционированных ИИ-инструментов, включая блокировку соответствующих сайтов на уровне межсетевого экрана. Кроме того, сотрудникам следует предлагать безопасные альтернативы, например, внутренние корпоративные LLM, изолированные от внешнего контура.

Аутсорсинг: чужие руки в критичных системах

Страховые компании все чаще передают на аутсорсинг техническую поддержку и другие бизнес-процессы. И получают не только экономию и гибкость, но и отдельный пласт рисков, которые часто упускают из виду при построении модели угроз.

Передавая процессы внешним подрядчикам, страховщик фактически предоставляет им доступ к своим критическим системам, базам данных клиентов и внутренним бизнес-процессам. При этом классические средства защиты, рассчитанные на внешних хакеров, против таких угроз практически бесполезны. Подрядчик может быть скомпрометирован сам, через его инфраструктуру злоумышленники получают легитимные учетные записи и спокойно работают в контуре страховой компании. Другой распространенный сценарий связан с действиями сотрудника подрядчика, который имеет доступ к защищенным данным и может их копировать и передавать третьим лицам. Третий риск, «размытие ответственности», когда непонятно, кто именно отвечает за безопасность на стыке процессов. Страховщик считает, что это зона подрядчика, а подрядчик – что это зона страховщика. В результате критичные операции остаются без должного контроля.

Работа с аутсорсерами должна строиться на тех же принципах, что и работа с любыми привилегированными пользователями. В первую очередь, необходимо внедрить систему управления привилегированным доступом, которая фиксирует все действия подрядчиков в критичных системах (какие сессии открывались, какие команды выполнялись, какие данные просматривались и копировались). Это создает эффект присутствия и дисциплинирует как самих сотрудников подрядчика, так позволяет быстро расследовать инциденты. Доступ должен выдаваться по принципу минимальных привилегий и только на срок выполнения конкретных задач, а после завершения работ автоматически отключаться. Важно сегментировать инфраструктуру так, чтобы подрядчик имел доступ только к тем системам и данным, которые необходимы для его работы, без возможности перемещения по другим контурам. В договоры с аутсорсерами нужно включать четкие требования к информационной безопасности, права страховщика на аудит и штрафы за нарушения. Желательно проводить регулярные проверки зрелости ИБ у ключевых подрядчиков. И наконец, необходимо выстроить прозрачную модель ответственности, в которой за каждый критичный процесс закреплен внутренний владелец со стороны страховщика. Именно он отвечает за контроль действий подрядчика и за результаты его работы.

Деструктивные атаки и шифрование

Если утечка данных подрывает доверие клиентов и влечет существенные финансовые издержки, то деструктивная атака может приостановить критические бизнес-процессы. Для страховой компании это означает невозможность выполнять свои основные функции, например, продавать полисы и регулировать убытки. Целью современных группировок-вымогателей является не просто шифрование, а уничтожение или блокировка критических бизнес-процессов. Простой систем на несколько дней ведет к массовым жалобам клиентов, штрафам от регулятора и колоссальным репутационным потерям. Злоумышленники все чаще используют тактику двойного шантажа. Сначала шифруют данные, а затем угрожают опубликовать их, если выкуп не будет уплачен. Одним из ярких примеров стала масштабная кибератака на «Страховой дом ВСК» в ноябре 2025 года. Злоумышленники зашифровали рабочие системы, угрожая страховому дому «слить» полученные данные в случае, если им не заплатят 1 млрд рублей. Кроме этого, хакеры целенаправленно уничтожили резервные копии, лишив компанию возможности быстро восстановиться. В результате онлайн-сервисы и цифровые каналы продаж оставались недоступны несколько недель, а совокупный финансовый ущерб от простоя и экстренного восстановления оценили в 900 млн рублей.

Для защиты от деструктивных атак необходимо создать контур резервного копирования с неизменяемыми копиями, который невозможно изменить или удалить даже при компрометации учетных записей администраторов. Бэкапы должны храниться в изолированном контуре, недоступном из основной сети. Важно разделить сеть на изолированные сегменты, чтобы при компрометации фронт-офиса злоумышленник не мог свободно перемещаться в сторону ядра системы урегулирования убытков. Каждый сегмент должен иметь собственные средства контроля доступа и мониторинга. Ключевую роль играют регулярные учения по восстановлению – отработка сценариев восстановления бизнеса из «чистых» бэкапов с замером реального времени простоя и потери данных. Учения должны проводиться не реже раза в квартал с участием всех ключевых подразделений, включая бизнес-пользователей.

Трансформация модели угроз

Чтобы подготовиться к 2027 году, страховщикам необходимо проверить свой подход к моделированию угроз. Ниже мы предлагаем чек-лист, который поможет организациям проверить свою готовность.

Чек-лист проверки модели угроз

Первый шаг – расширение области покрытия. Модель угроз должна включать не только внутреннюю ИТ-инфраструктуру, но и все внешние контуры: мобильные приложения, партнерские API, облачные среды, процессы разработки и, что особенно важно, инфраструктуру ключевых аутсорсеров. Необходимо учитывать не только технические активы, но и бизнес-процессы, которые от них, включая процессы, полностью или частично переданные внешним подрядчикам.

Второй шаг – связывание технических сценариев с бизнес-процессами. Модель угроз должна отвечать на вопросы бизнеса. Что будет с продажами ОСАГО, если откажет API агрегатора, или как быстро мы потеряем деньги, если будет скомпрометирован ключ подписи электронных полисов, или что произойдет с урегулированием убытков, если доступ к системе получит скомпрометированный подрядчик. Это позволяет приоритезировать риски не по критичности сервера, а по влиянию на выручку и непрерывность бизнеса. Важно вовлечь в этот процесс владельцев бизнес-процессов, чтобы обеспечить полное понимание взаимосвязей.

Третий шаг – разработка дорожных карт мероприятий по информационной безопасности на 2027 год на основе актуализированной модели угроз. Сюда входят не только закупка оборудования и программного обеспечения, но и организационные меры, такие как пересмотр политик работы с подрядчиками и аутсорсерами, внедрение процессов безопасной разработки, обучение персонала и регулярные стресс-тестирования инфраструктуры. Дорожная карта должна быть гибкой, позволяя адаптироваться к новым векторам атак, которые неизбежно появятся с дальнейшим развитием ИИ. Важно установить регулярные точки контроля, например, ежеквартальные обзоры, чтобы оценивать прогресс и корректировать планы при необходимости.

Четвертый шаг – интеграция с бизнес-стратегией. Информационная безопасность не должна быть отдельной функцией, которая изолирована от бизнеса. Важно синхронизировать дорожные карты с планами развития цифровых каналов, партнерских сетей, новых продуктов и аутсорсинговых соглашений. Это позволит заранее закладывать требования безопасности в новые проекты, а не «догонять» постфактум.

Пятое – непрерывный мониторинг и адаптация. Ландшафт угроз меняется слишком быстро, чтобы полагаться на статичные модели. Непрерывный мониторинг угроз, участие в отраслевых сообществах по обмену информацией об инцидентах и регулярное обновление модели угроз позволит не только отражать сегодняшние атаки, но и предвидеть новые векторы.

Вывод

Как показывают инциденты 2025–2026 годов, ущерб страховщикам могут нанести не только прямые атаки, но и угрозы, реализованные через подрядчиков, скомпрометированные учётные записи и деструктивные атаки на общую инфраструктуру. Это что делает критически важным пересмотр договоров с аутсорсерами, внедрение дополнительных средств контроля и реализации принципа POLP (минимальных привелегий). Интеграция информационной безопасности в бизнес-стратегию и непрерывная адаптация к новым векторам атак позволят страховым компаниям сохранить непрерывность критических процессов и избежать масштабных финансовых потерь.