По данным «Инфосистемы Джет», каждая третья кибератака — взлом через подрядчика

«Инфосистемы Джет» представила анализ кибератак первого полугодия 2026 года, подготовленный экспертами Jet CSIRT. Специалисты фиксируют: в каждом третьем случае успешного проникновения злоумышленники попадали в инфраструктуру через подрядную организацию.

Всего атаки через подрядчиков составили 21% расследованных в первом полугодии инцидентов — это вторая по частоте точка входа после эксплуатации публичных приложений. Целью таких атак становились крупные компании с численностью персонала более 10 тысяч сотрудников: чем крупнее бизнес, тем шире контур подрядчиков и тем больше неконтролируемых точек входа.

Атаки через подрядчиков становятся возможны из-за слабой защищенности самих подрядчиков: почти половина (48%) событий мониторинга, связанных с компрометацией учётных записей, пришлась на ИТ-компании, работающие как подрядные организации крупного бизнеса. Украденные у контрагента логины и пароли дают атакующему легитимный доступ к инфраструктуре организации — без эксплуатации уязвимостей и зачастую без срабатывания средств защиты. Признаки кражи паролей инфостилерами выявлены в 53% организаций — всего 3 тысячи скомпрометированных учётных записей, а чувствительные данные 27% компаний обнаружены в публичных репозиториях.

«Кража паролей давно перестала быть проблемой отдельных сотрудников — сегодня это системный риск бизнеса: у каждой второй компании мы находим скомпрометированные учётные записи, и каждая из них — потенциальная точка входа. Разница между инцидентом и катастрофой определяется базовой гигиеной: многофакторной аутентификацией, контролем периметра и готовностью резервных копий. При этом закрытие этих векторов не требует существенных инвестиций и остаётся самым быстрым способом радикально снизить риск», — отметил Ринат Сагиров, директор центра мониторинга и реагирования «Инфосистемы Джет».

Взлом через подрядчика дополняет, но не вытесняет основной сценарий: наиболее частой точкой входа остаются публичные приложения — 56% расследованных инцидентов, причём в большинстве случаев причиной успеха стали не уязвимости «нулевого дня», а недостатки конфигурирования и слабая защита опубликованных систем. Результаты сканирования внешнего периметра подтверждают, что доступные из интернета административные интерфейсы обнаружены у 93% компаний, а избыточные и небезопасные сервисы (SSH, SMTP, FTP) опубликованы у 73% организаций.

Целью атакующих остаётся нанесение максимального ущерба: 69% подтверждённых инцидентов полугодия пришлось на шифровальщиков, при этом большая часть таких атак произошла во втором квартале, и чаще всего они были нацелены на отрасль промышленности. В этих условиях решающее значение приобретает резервное копирование: там, где соблюдался принцип 3-2-1 (три копии данных минимум на двух разных носителях, одна из которых изолирована от основной сети), инфраструктура восстанавливалась за 1–2 дня; там, где принцип игнорировался, восстановление занимало от 7 дней, а часть копий оказывалась повреждена частично или полностью. Положительная динамика полугодия — снижение числа утечек данных в восемь раз по сравнению со вторым полугодием 2025 года.