За девять месяцев 2026 года в российском интернете зафиксировано 333 публичных инцидента с утечками данных против 573 годом ранее. Выглядит как успех, но медианный размер одной утечки вырос на 117%: со 46 до 100 тыс. строк. Такие данные на конференции SOC Forum 2026 привел директор по развитию Solar AURA группы "Солар" Александр Вураско.
Хакеров не стало меньше, предупреждает эксперт. Фишинг поставлен на конвейер, злоумышленники действуют быстро, а арсенал их атак мимикрирует под штатное ПО компаний и организаций. Фишинг, по данным Вураско, давно перестал быть набором одиночных сайтов. Это сети из сотен и тысяч ресурсов, доля адресов на доменах третьего уровня (вида "имя.сайт.com") за год выросла с четверти до почти половины.
Более 40% ресурсов используют псевдослучайные префиксы из букв и цифр, а более половины доменов живут не дольше суток. Классический поиск "похожих" доменов по файлам доменных зон такие сети не видит: в архивах лежат только домены второго уровня. Ссылки при этом работают и открываются во встроенном браузере мессенджера без адресной строки.
Специалист группы киберразведки Positive Technologies Денис Казаков рассказал и о другом приеме: приманкой служит повестка. Этим летом злоумышленники предлагали "забронировать топливо", а под видом приложения для заправок распространяли шпионскую программу. Важным инструментом злоумышленников стали легитимные программы. Руководитель управления предупреждения внешних киберугроз BI.ZONE Олег Скулкин объясняет: средства удаленного управления, архиваторы, утилиты резервного копирования и прочее служебное ПО годятся и системному администратору, и взломщику.
Скулкин сравнивает это с кухонным ножом: им можно резать хлеб, а можно совершить преступление. Отличить одно от другого в журнале событий трудно: скрипт может обновлять внутреннюю программу, а может запускать вредоносную нагрузку из фишингового письма. Руководитель департамента комплексного реагирования на инциденты информационной безопасности (ИБ) Positive Technologies Денис Гойденко отмечает, что сегодня половина атак начинается с веб-приложений, вместе с другими сервисами на периметре (внешней границе сети, доступной из интернета) это около 65%.
По его словам, в 54% случаев в результате атак были нарушены бизнес-процессы, а примерно в 30% инфраструктуру полностью зашифровали или уничтожили. Доля промышленности среди пострадавших выросла с 9% до 22%. Увеличилась и скорость атак, на многие из них уходит два-пять часов. 52 из 65 вредоносных программ, замеченных командой Гойденко за год, оказались новыми.
По его оценке, большие языковые модели (LLM) позволяют перебирать механизмы Windows и подбирать их под конкретную сеть. Так, уникальный эксплойт к уязвимости в агенте системы резервного копирования, по его наблюдениям, злоумышленники собрали примерно за неделю, что без использования ИИ просто невозможно. Нейросети также дали менее опытным атакующим доступ к атакам, которые раньше требовали высокой квалификации.
Почему же защита не справляется? Эксперты называют несколько причин, и они в основном организационные. Средства защиты обычно срабатывают, но реакция запаздывает: чем больше правил, тем больше срабатываний и тем дольше специалисты отделяют ложные от настоящих. Компании защищают то, что кажется важным им, а не то, что нужно атакующим.
Часть ИТ-инфраструктуры иногда просто "теряют". По словам Скулкина, у команд безопасности и ИТ-администраторов разные представления о числе узлов в компьютерной сети организации. Облако также добавляет слабых мест. Генеральный директор "Клаудэдвайзор" Михаил Захряпин рассказал, что анализ более 40 тыс. виртуальных серверов за первое полугодие 2026 года показал: у 83% есть уязвимости с оценкой по шкале CVSS выше 9 из 10 баллов, на 95% не было антивируса, а у каждой четвертой организации найдена хотя бы одна зараженная машина.
При этом около половины учетных записей работали без многофакторной аутентификации. Уязвимые места, по общему мнению экспертов, нередко находятся за ИТ-периметром компании. Вураско описывает типичную цепочку: небольшой интернет-магазин на устаревшем WordPress-движке, в штате которого нет специалиста по безопасности, взламывают, базу клиентов продают или просто выкладывают, а потом она служит материалом для фишинга сотрудников более крупных контрагентов.
Сегодня российский бизнес часто проигрывает хакерам не из-за их уникальных технологий, а из-за большого количества слабых звеньев в виде подрядчиков, субподрядчиков, интернет-магазинов, небольших компаний и организационных проблем: забытых тестовых серверов и учетных записей, медленной реакции ИБ-команд на инциденты. По данным Positive Technologies, между началом атаки и моментом, когда организация замечает злоумышленников в своей сети, проходит 14 дней.
Возможно, если российские компании перейдут от накопления средств защиты к проверке того, что эти средства реально "ловят", и к отработке реагирования, разрыв может сократиться. Пока же ожидать снижения числа успешных атак в ближайшие год-два не приходится: инструменты у злоумышленников дешевеют быстрее, чем у бизнеса растет зрелость в области ИБ.