Более половины расследованных кибератак закончились для компаний реальными сбоями в работе. В 54,1% изученных инцидентов злоумышленники нарушили бизнес-процессы, например зашифровали данные или сделали критически важные сервисы недоступными. Для успешного проникновения преступникам при этом часто хватало уязвимостей, известных уже несколько лет.
К таким выводам пришли специалисты департамента комплексного реагирования на киберугрозы Positive Technologies. Команда PT ESC IR проанализировала более 140 проектов по расследованию инцидентов и ретроспективному анализу, проведенных с четвертого квартала 2025 года по третий квартал 2026-го. В 21,2% проектов специалисты обнаружили разведывательную деятельность и кибершпионаж, еще в 20% случаев злоумышленники выгружали конфиденциальную информацию.
Промышленные предприятия впервые заняли первое место по числу обращений за расследованием. Доля промышленности выросла с 9% до 22,5%. На государственные учреждения пришлось 17,6% проектов, на ИТ-компании и торговые организации по 9,9%.
Одновременно заметно изменился главный путь проникновения в корпоративные сети. Доля атак через приложения и веб-сервисы на сетевом периметре поднялась с 36% до 50,8%, прибавив 14,8 процентного пункта за год. Среди атакованных продуктов специалисты обнаружили платформу «1С:Предприятие», систему управления сайтами Joomla, почтовые серверы Zimbra и CommuniGate Pro, а также сервер видеоконференцсвязи TrueConf.
Рост особенно заметен при сравнении с предыдущим отчетным периодом. С четвертого квартала 2024 года по третий квартал 2025-го приложения на внешнем периметре становились точкой входа в 36% случаев. Тогда же более половины изученных инцидентов, 55%, нарушили бизнес-процессы. За новый отчетный период доля подобных последствий почти не изменилась, однако проникновения через доступные из интернета сервисы стали заметно распространеннее.
За год специалисты зафиксировали эксплуатацию 28 разных уязвимостей. Причем 60,7% использованных брешей были известны как минимум два года к моменту атаки. Развитию вторжения чаще всего помогали устаревшие версии операционных систем и программного обеспечения, такой недостаток специалисты обнаружили в 30% проектов. В 25% случаев компаниям не хватало двухфакторной аутентификации, а в 24% недостаточной оказалась сегментация сети.
Годом ранее устаревшее программное обеспечение фигурировало в 23% проектов, отсутствие двухфакторной аутентификации в 21%, а проблемы с сегментацией сети также в 24%. Статистика показывает, что давно известные слабые места корпоративной защиты продолжают помогать злоумышленникам развивать атаки после первоначального проникновения.
Руководитель департамента комплексного реагирования на киберугрозы Positive Technologies Денис Гойденко отметил, что злоумышленникам часто не требуются принципиально новые методы. Преступники используют давно известные уязвимости и недостатки внутренней инфраструктуры, сохраняют доступ к системам, похищают большие объемы критически важной информации и готовят действия, способные остановить бизнес-процессы. Поэтому защита только внешнего периметра не решает проблему, компаниям необходимо контролировать активность внутри корпоративной сети и быстро реагировать на признаки компрометации.
Следы известных APT-группировок специалисты нашли почти в половине исследованных организаций, доля достигла 49,3%. APT-группы проводят длительные целенаправленные атаки и стараются как можно дольше сохранять скрытый доступ к инфраструктуре жертвы. В отдельных организациях специалисты одновременно обнаруживали активность нескольких групп злоумышленников. В предыдущем отчетном периоде подобную активность фиксировали в 43% компаний.
Для снижения риска Positive Technologies рекомендует своевременно обновлять операционные системы и программы, внедрять двухфакторную аутентификацию и ограничивать взаимодействие между сегментами корпоративной сети с учетом бизнес-процессов. Резервные копии критически важных ресурсов следует регулярно создавать и хранить отдельно от основной инфраструктуры, чтобы атака на рабочую сеть не лишила компанию возможности восстановить данные.
Найти вторжение, которое долго оставалось незамеченным, помогает ретроспективный анализ. Специалисты проверяют журналы событий, сетевую активность и другие следы работы инфраструктуры за длительный период, чтобы обнаружить признаки прошлой или продолжающейся компрометации даже при отсутствии явных признаков инцидента.