Служба доверия: F6 представила решение Third-Party Risk Management для оценки защищённости контрагентов

Компания F6, российский разработчик технологий для борьбы с киберугрозами, объявила о запуске решения Third-Party Risk Management для мониторинга и оценки кибербезопасности контрагентов. Сервис позволяет увидеть, какие из контрагентов могут стать потенциальной точкой входа для развития атаки, и контролировать эти риски. Модуль основан на решении F6 Attack Surface Management. По данным F6 Threat Intelligence, атаки через подрядчиков стали одной из актуальных киберугроз 2026 года: их проводят как группы вымогателей, так и прогосударственные APT-группы, в том числе с применением ИИ-инструментов.

К вам едет ревизор

Для мониторинга и оценки безопасности контрагентов компания F6 разработала инструмент проактивной защиты Third-Party Risk Management (управление рисками третьей стороны). Модуль основан на решении F6 Attack Surface Management (управление внешней поверхностью атаки), обеспечивает полную инвентаризацию всех интернет-ресурсов контрагента и помогает увидеть, какие контрагенты могут стать потенциальной точкой входа для развития атаки на компанию.

Оценка уровня защищённости контрагента проводится по восьми категориям: уязвимости, сетевая безопасность, компрометация учетных данных, защищенность от вредоносного ПО, упоминания в дарквебе, безопасность SSL/TLS, безопасность электронной почты, DNS и домены.

Мониторинг внешней инфраструктуры подрядчика позволяет обнаружить уязвимые внешние сервисы, которые злоумышленники могут использовать для первоначального доступа, забытые домены и поддомены, открытые административные интерфейсы, устаревшее ПО и критические уязвимости (CVE), скомпрометированные учётные данные, ошибки конфигурации и небезопасные настройки.

При этом одной проверки недостаточно. Классические сканеры уязвимостей и периодические пентесты фиксируют состояние защищенности на момент проверки, тогда как внешняя инфраструктура и ландшафт угроз постоянно меняются. Система F6 Third-Party Risk Management проводит ежедневный мониторинг всех изменений внешней поверхности атаки контрагента, что позволяет иметь точное представление об актуальном уровне его защищённости и контролировать устранение выявленных рисков.

По результатам анализа рисков каждый контрагент получает в системе F6 Third-Party Risk Management оценку по 10-балльной шкале. Компания может сравнить подрядчиков по уровню риска и принимать решение об их допуске, а также сравнивать свою оценку с общей оценкой безопасности по отрасли в системе F6 Attack Surface Management — «Индексом кибербезопасности».

«В атаках на подрядчиков основной точкой входа для злоумышленников ещё недавно была социальная инженерия. Сейчас всё больше кибератак начинается с эксплуатации уязвимостей. С развитием ИИ-моделей скорость обнаружения таких уязвимостей возрастает, атаки через подрядчиков становятся более точечными и разрушительными. На этом фоне компаниям важно следить не только за состоянием защиты собственной инфраструктуры, но и за киберустойчивостью подрядчиков и партнёров», — говорит Евгений Чунихин, бизнес-руководитель направления киберразведки (Threat Intelligence & Attack Surface Management) компании F6.

Подробнее о решении F6 Third-Party Risk Management можно узнать здесь.

Слабое звено

Атаки через подрядчиков — одна из самых высокорисковых проблем кибербезопасности для бизнеса и госсектора как в России, так и за рубежом.

Подрядчики часто имеют привилегированный доступ к внутренним системам заказчиков. Если у них есть незащищённые активы, злоумышленники находят с помощью автоматической разведки, проникают в инфраструктуру подрядчика и через неё получают прямой доступ к основному клиенту без необходимости атаковать его напрямую.

Такие атаки сложно обнаружить: злоумышленники используют легитимные облачные сервисы в качестве управляющих серверов, что затрудняет идентификацию вредоносного трафика и маскирует активность под обычные бизнес-операции.

Проникновение через подрядчика может привести к утечке, шифрованию и уничтожению критически важных данных, как следствие — финансовому и репутационному ущербу. По данным отчета F6 «Global Threat Landscape 2025–2026», в результате одной из крупнейших атак через доверенные отношения группировка UNC6395 получила доступ к данным более 700 организаций платформы Salesloft Drift.

По данным департамента киберразведки (Threat Intelligence) компании F6, атаки через подрядчиков стали одной из актуальных киберугроз 2026 года: их проводят как группы вымогателей, так и прогосударственные APT-группы, в том числе с применением ИИ-инструментов. Некоторые киберпреступные группы специализируются на атаках конкретных категорий подрядчиков — например, IT-компаний, которые работают с государственными органами.

В то же время государство уделяет всё больше внимания защищённости подрядчиков, получающих доступ к информационным системам и данным заказчика. Например, с 1 марта 2027 года для подрядчиков в области действия Приказа ФСТЭК №117 оценка уровня зрелости проводится до получения доступа к информационным системам или информации, а контроль подрядчика становится частью допуска к работе.