«Газинформсервис»: за четыре года кибератаки в России сместились от публичных взломов к скрытым операциям

50 минут назад

© Сгенерировано ИИ

Аналитический центр кибербезопасности компании «Газинформсервис» представил исследование утечек данных и кибератак в России за 2022–2025 годы. Аналитики зафиксировали переход от массовых публичных атак к скрытым целевым операциям, распространение атак через подрядчиков и цепочки поставок ПО. Специалисты департамента киберразведки (Threat Intelligence) компании F6 в комментарии для RUБЕЖ дополнили выводы исследования данными за 2025–2026 годы.

От массовых атак к скрытому проникновению

По данным «Газинформсервис», в 2022 году российские организации столкнулись с волной массовых атак хактивистов и вымогателей, сопровождавшихся публикациями похищенных данных. К 2025 году злоумышленники стали чаще проводить целевые операции, незаметно закрепляясь в корпоративных сетях для кражи информации, кибершпионажа и подготовки последующих атак.

«Основная причина сдвига – изменение субъекта, стоящего за большинством успешных атак на критическую инфраструктуру и госорганы России. Киберконфликт приобрёл черты институционализированного противостояния с участием государственных структур. Теперь доминируют долговременное присутствие в инфраструктуре цели (APT-атаки), глубокая законспирированность и сбор данных, а не сиюминутный публичный эффект», отмечает Лидия Виткова, к. т. н., начальник Аналитического центра кибербезопасности компании «Газинформсервис».

Наибольшую опасность, по оценке авторов отчёта, представляют взломы, которые организации обнаруживают спустя длительное время после проникновения. Прежде всего это касается объектов критической информационной инфраструктуры (КИИ), государственных органов, предприятий ОПК и ТЭК.

Специалисты F6 также фиксируют рост скрытых целевых атак, хотя массовые нападения на российские организации остаются распространёнными.

«По итогам 2025 года впервые за последнее время мы не наблюдали взрывного роста кибератак, массового появления новых преступных групп и антирекордов по утечкам данных. С массовых атак фокус сместился на нанесение максимального ущерба: остановку бизнеса, получение многомиллионных выкупов, кражу чувствительных данных».

В 2025 году атаки на российские транспортные компании и торговые сети сопровождались публикациями похищенной информации и кампаниями по дискредитации пострадавших. При этом часть группировок предпочитает действовать незаметно, сохраняя доступ к корпоративным системам на протяжении нескольких лет.

Массовые способы заражения при этом никуда не исчезли. По статистике F6, в 2025 году 46% инцидентов компрометации устройств российских организаций были связаны с самостоятельной установкой пользователями заражённых программ. Ещё 19% приходилось на эксплуатацию уязвимостей в доступных из интернета системах.

Публичных утечек стало меньше, но оценить реальные масштабы сложнее

За январь-сентябрь 2026 года специалисты F6 обнаружили 119 публикаций баз данных российских компаний в открытом доступе. За аналогичный период 2025 года было зафиксировано 198 таких случаев. Число публикаций сократилось на 40%, однако статистика не учитывает информацию, которую злоумышленники распространяют в закрытых каналах.

«Из этого нельзя однозначно сделать вывод о реальном снижении общего объема утечек – во многих случаях эти данные распространяют приватно», пояснили специалисты F6.

Похищенные базы могут продаваться ограниченному кругу покупателей или использоваться для дальнейших атак без публичного раскрытия. Поэтому снижение числа опубликованных баз не позволяет судить об общем количестве утечек.

Ранее RUБЕЖ сообщал о результатах исследования F6, посвящённого масштабам публичных утечек данных в России. Журнал также рассказывал об изменении тактики группировок вымогателей, использующих угрозу публикации похищенной информации для давления на компании.

Подрядчики становятся точкой входа в корпоративные сети

В отчёте «Газинформсервис» отдельно рассматриваются атаки через подрядчиков и цепочки поставок ПО. Получив доступ к системам поставщика, злоумышленники могут проникнуть в сети его заказчиков через доверенные подключения или скомпрометированное программное обеспечение.

По данным F6, в 2025 году атаки по моделям Supply Chain и Trusted Relationship оставались одними из наиболее эффективных. Для проникновения использовались уязвимости в сторонних библиотеках, процессах сборки ПО и устаревших сервисах поставщиков.

Доля проникновений с использованием ранее скомпрометированных учётных записей сотрудников и подрядчиков выросла с 4% в первом полугодии 2025 года до 14% во втором. В 2026 году этот способ продолжают использовать как группировки вымогателей, так и прогосударственные хакерские объединения.

«Рост числа атак через ранее скомпрометированные легитимные учетные записи сотрудников и подрядчиков свидетельствует о необходимости пересмотра подходов к управлению доступом сторонних лиц, особенно организаций-подрядчиков. Без внедрения системы контроля над учетными записями и механизмов мониторинга на предмет их компрометации в ближайшей перспективе можно ожидать значительного увеличения случаев компрометации устройств, реализуемых через данный вектор».

Ранее RUБЕЖ писал об исследовании УЦСБ SOC, согласно которому в первом полугодии 2026 года доля инцидентов, связанных с компрометацией инфраструктуры подрядчиков и сервис-провайдеров, достигла 30%.

Для защиты от таких атак специалисты F6 рекомендуют использовать системы управления привилегированным доступом (PAM), подключать подрядчиков через контролируемые VPN, своевременно отключать неиспользуемые учётные записи и проверять соблюдение поставщиками требований информационной безопасности.

Традиционного мониторинга уже недостаточно

В «Газинформсервис» считают, что для выявления скрытых атак организациям необходимо анализировать поведение пользователей и работу систем, отслеживать аномальную активность и применять принципы Zero Trust. Обычного мониторинга событий безопасности недостаточно, если злоумышленники используют легитимные учётные записи и стараются не оставлять очевидных следов.

По наблюдениям F6, в 2026 году атакующие всё активнее применяют искусственный интеллект для разработки вредоносного ПО. Такие инструменты позволяют ускорять подготовку атак даже группировкам с относительно невысоким уровнем технической подготовки.

«Успех защиты зависит не только от скорости обнаружения и устранения известных уязвимостей, но и от фундаментального перехода от реактивной к проактивной модели защиты. Критически важной становится способность не просто реагировать на инциденты, а активно выявлять скрытые угрозы через поиск аномалий в активности, анализ поведения пользователей и сущностей, а также непрерывный мониторинг и тестирование безопасности инфраструктуры на опережение».

Эксперты рекомендуют дополнять мониторинг активным поиском угроз (Threat Hunting), поведенческим анализом и регулярным тестированием защищённости корпоративных систем.

В исследовании «Газинформсервис» также оценены финансовые последствия кибератак: простои бизнеса, затраты на восстановление данных, штрафы, судебные иски и репутационные потери. Авторы предложили калькулятор потенциального ущерба, который компании могут использовать при сравнении расходов на собственный центр мониторинга и реагирования с затратами на аутсорсинг информационной безопасности.