Российский бизнес теряет данные даже при наличии средств киберзащиты

На SOC Forum 2026 специалисты «Солара», Positive Technologies и BI.ZONE объяснили, почему компании теряют данные и останавливают работу даже при наличии современных защитных решений. Публичных утечек стало меньше, но каждая выросла в размерах, а фишинговые сети и ИИ-инструменты атакующих работают быстрее, чем организации обновляют серверы и расследуют инциденты. Медианный срок обнаружения злоумышленников в инфраструктуре достиг 14 дней.

Меньше утечек, но крупнее

Мониторинг Solar AURA группы компаний «Солар» за девять месяцев 2026 года зафиксировал снижение числа публичных утечек при росте их масштаба, о чём рассказал директор по развитию Solar AURA Александр Вураско:

• в России зарегистрировали 333 публичных инцидента с утечками данных против 573 за тот же период 2025 года;
• медианный размер одной утечки вырос с 46 тыс. до 100 тыс. строк, то есть на 117%;
• общий объём опубликованных данных сократился на 19%, с 2,61 млрд до 2,11 млрд строк;
• пять крупнейших утечек дали 83% всего объёма, а на самую крупную пришлось около половины.

Фишинг на потоке

Количество фишинговых ресурсов за тот же период выросло на 25%, и аналитики Solar AURA связали часть этого роста с ИИ, который ускоряет создание сайтов, генерацию поддоменов и наполнение страниц контентом. Александр Вураско привёл показатели, по которым видна смена тактики злоумышленников:

• доля фишинговых адресов на доменах третьего уровня за год выросла примерно с четверти до почти половины;
• более 40% ресурсов используют псевдослучайные сочетания букв и цифр в адресах;
• больше половины доменов существуют не дольше суток;
• медианное время блокировки вредоносного ресурса сократилось с 11,5 часа в 2025 году до 3,5 часа в 2026-м.

Защитники блокируют быстрее, но атакующие переносят прежние схемы на новые адреса, поэтому закрытие отдельных доменов не решает проблему целиком. Для российских пользователей это означает, что ссылка из мессенджера не гарантирует переход на официальный сайт, ведь во встроенном браузере адресная строка скрыта или малозаметна. Специалист группы киберразведки Positive Technologies Денис Казаков рассказал о кампании, в которой пользователям предлагали «забронировать топливо», а под видом приложения для заправок распространялась шпионская программа.

Легальные программы в чужих руках

Руководитель управления предупреждения внешних киберугроз BI.ZONE Олег Скулкин обратил внимание на программы удалённого управления, архиваторы и утилиты резервного копирования, которые применяют системные администраторы.

Атакующему, проникшему в сеть, пригодятся те же возможности, а отличить плановое обновление корпоративной программы от загрузки вредоносного кода бывает непросто, если мониторинг ориентируется на названия файлов и известные вредоносные программы.

Вход через веб-приложения

В 50,8% расследованных Positive Technologies инцидентов первоначальным способом проникновения стали веб-приложения, доступные из интернета, тогда как годом ранее доля составляла 36%. Специалисты зафиксировали эксплуатацию 28 уникальных уязвимостей, и более 60% из них были известны не менее двух лет. Российским компаниям стоит учитывать, что тестовый стенд или старый сайт, о котором забыли сотрудники, остаётся частью периметра и может пропустить атакующего в основную сеть.

Более половины расследованных атак привели к нарушению бизнес-процессов, а доля промышленных предприятий среди обратившихся за помощью выросла с 9% до 22,5%:

• шифрование или уничтожение данных либо требования выкупа выявили в 32,1% проектов;
• разведку и кибершпионаж обнаружили в 21,2% расследований;
• выгрузку конфиденциальной информации зафиксировали в 20% случаев.

Медианное время обнаружения злоумышленников в инфраструктуре выросло с девяти до 14 дней, следует из исследования Positive Technologies за 2025 и 2026 годы. За это время атакующий получает возможность собрать данные, повысить привилегии и подготовить следующий этап операции.

Облака без контроля

Анализ более 40 тыс. виртуальных машин в публичных облаках Cloud.ru и Yandex Cloud, проведённый Cloud Advisor, показал масштаб проблем в инфраструктурах обследованных организаций:

• у 88% организаций нашли критические уязвимости на внешнем периметре с оценкой выше девяти по шкале CVSS;
• в 24% организаций обнаружили вредоносное программное обеспечение хотя бы на одной машине;
• 48% пользовательских учётных записей остались без многофакторной аутентификации;
• у 39% организаций на публично доступных виртуальных машинах хранились открытые ключи, токены или пароли.

Открытые токены на доступных извне машинах дают злоумышленнику путь к другим системам. Positive Technologies отметила, что в третьем квартале 2026 года число событий с явными признаками ИИ-агентов в трафике выросло на 65% по сравнению со вторым кварталом, а доля попыток эксплуатации уязвимостей среди них поднялась с 1,1% до 5,6%.

Эксперты CISOCLUB отметили, что наличие дорогих средств защиты не меняет результат, если компания не знает собственную инфраструктуру. Неучтённый сервер без обновлений удобнее для атакующего любого укреплённого периметра, поэтому инвентаризация внешних сервисов должна предшествовать покупке новых решений. Медиана в 14 дней означает, что примерно в половине случаев злоумышленник остаётся в сети дольше двух недель, и сократить этот срок помогают отлаженные правила реагирования.

Автоматизация на стороне атакующих требует регулярной проверки веб-приложений, облачных конфигураций и учётных записей вместо разовых аудитов раз в год. Многофакторная аутентификация и закрытие давно известных уязвимостей снимают значительную часть рисков. Отдельного контроля заслуживают подрядчики, потому что слабая защита партнёра открывает путь к данным крупной организации.

Ранее сообщалось, что хакеры атакуют камеры видеонаблюдения и видеорегистраторы Dahua в России и Украине, используя старые уязвимости и доступ через облачные сервисы. Злоумышленники просматривают видеопотоки, изменяют настройки оборудования и создают скрытые учётные записи, позволяющие повторно подключаться к устройствам. О новых случаях взлома заявила украинская команда реагирования на компьютерные инциденты CERT-UA. Ранее исследователи Hunt.io обнаружили отдельную кампанию 2026 года, в ходе которой были скомпрометированы более 14,5 тыс. камер. Связь между этими атаками пока не установлена.