Positive Technologies: каждая вторая расследованная кибератака нарушала работу компаний

В 54,1% расследованных инцидентов злоумышленникам удалось нарушить бизнес-процессы организаций. Это показало годовое исследование департамента комплексного реагирования на киберугрозы Positive Technologies (PT ESC IR), основанное на результатах проектов команды. Из-за шифрования данных или недоступности критически важных сервисов компании не могли продолжать работу в обычном режиме.

Эксперты PT ESC IR проанализировали результаты более 140 проектов по расследованию инцидентов и ретроспективному анализу за период с IV квартала 2025-го по III квартал 2026 года. Более половины расследованных инцидентов привели к нарушению бизнес-процессов компаний. В 21,2% проектов была обнаружена разведывательная деятельность и кибершпионаж, а в 20% — выгрузка конфиденциальной информации.

Среди заказчиков расследований на первое место вышли промышленные предприятия: их доля выросла с 9% до 22,5%. На государственные учреждения пришлось 17,6% проектов, на ИТ-компании и торговлю — по 9,9%.

Доля проникновений через приложения и веб-сервисы на сетевом периметре за год выросла на 14,8 п. п. — с 36% до 50,8%. Среди атакованных продуктов — платформа «1С:Предприятие», система управления сайтами Joomla, почтовые серверы Zimbra и CommuniGate Pro, а также сервер видео-конференц-связи TrueConf.

За отчётный период эксперты зафиксировали эксплуатацию 28 уникальных уязвимостей. Из них 60,7% на момент атаки были известны не менее двух лет. Среди основных недостатков защиты, способствовавших развитию атак, специалисты выделили устаревшие версии операционных систем и программного обеспечения (30%), отсутствие двухфакторной аутентификации (25%) и недостаточную сегментацию корпоративной сети (24%).

«Наши расследования показывают, что для успешной атаки злоумышленникам часто не нужны принципиально новые техники. Они используют давно известные уязвимости, которые компании не устранили вовремя. Умело используя недостатки защиты внутренней инфраструктуры, хакеры могут оставаться внутри систем достаточно долго для кражи большого количества критической информации и подготовки инструментов для уничтожения бизнес-процессов. Поэтому компаниям недостаточно защищать только внешние сервисы. Важно контролировать происходящее внутри корпоративной сети и быстро реагировать на признаки компрометации», — отметил Денис Гойденко, руководитель департамента комплексного реагирования на киберугрозы Positive Technologies.

Почти в половине исследованных организаций (49,3%) специалисты выявили следы присутствия известных APT-группировок, которые проводят сложные целенаправленные атаки. В некоторых инфраструктурах одновременно действовало несколько групп злоумышленников.

Эксперты PT ESC IR рекомендуют использовать актуальные версии ОС и ПО, внедрять двухфакторную аутентификацию и ограничивать взаимодействие между сегментами сети с учетом бизнес-процессов компании. Резервные копии критически значимых ресурсов необходимо создавать регулярно и хранить изолированно от основной инфраструктуры. Выявить атаки, которые ранее оставались незамеченными, помогает ретроспективный анализ — проверка корпоративной сети на следы текущей или прошлой компрометации (даже при отсутствии явных признаков инцидента).

Защитить доступные из интернета приложения и веб-сервисы помогает PT Application Firewall PRO. Анализировать сетевой трафик можно с помощью PT NAD, а фильтровать его поможет межсетевой экран PT NGFW. Для обнаружения атак внутри инфраструктуры можно использовать систему мониторинга событий ИБ MaxPatrol SIEM. Песочница PT Sandbox помогает выявлять сложное и неизвестное вредоносное ПО, а комплексное решение MaxPatrol Endpoint Security — защищать конечные устройства от целевых и массовых атак. Круглосуточный мониторинг и реагирование силами экспертов Positive Technologies доступны в рамках облачного решения PT X.

Данные об актуальных угрозах, тактиках и техниках атакующих и индикаторах компрометации доступны на портале PT Fusion. Материалы об активности хакерских группировок, новых образцах ВПО и инструментах злоумышленников эксперты PT ESC публикуют в Telegram-канале ESCalator и в блоге.