Каждая третья атака на компании начинается с подрядчика – исследование УЦСБ SOC

Согласно новому исследованию центра мониторинга УЦСБ SOC, привычная схема атак кардинально меняется: злоумышленники все чаще заходят в инфраструктуру жертвы не напрямую, а через ее партнеров и поставщиков услуг. Аналитики изучили инциденты, а также сведения из открытых источников и теневого сегмента сети за период с января по июнь 2026 года.

Подрядчики как слабое звено

Главный вывод отчета: за год доля атак через подрядные организации утроилась — с 10% до 30%. Это означает, что почти каждый третий случай компрометации сегодня стартует не со взлома самой компании, а с уязвимости у стороннего поставщика или сервис-провайдера.

Одновременно фиксируется взрывной рост числа заражений вирусами-шифровальщиками в промышленном секторе — в 2,3 раза больше, чем годом ранее. Еще одна заметная тенденция — переход к комбинированным атакам, когда хакеры одновременно шифруют системы, воруют данные и «заваливают» ресурсы DDoS-трафиком, добиваясь максимального давления на жертву.

Массовые утечки и новый формат шантажа

Аналитики зафиксировали ряд громких заявлений об утечках у российских компаний — похищались архивы переписки, клиентские базы, резервные копии и даже исходный код. Среди примеров, приведенных в отчете:

• энергетическая компания — похищено около 3 ТБ информации, включая корпоративную почту и данные свыше 1 млн клиентов;
• информационный ресурс — в открытый доступ выставлены 636 ГБ персональных данных 159,6 млн человек по цене $6 тыс.;
• производитель стройматериалов — зашифровано 3 тыс. серверов, уничтожено 100 ТБ резервных копий;
• разработчик систем хранения данных — утечка 112 ГБ исходного кода, что создало риски для всей цепочки поставок в нефтегазовой, транспортной и энергетической отраслях.

Появился и новый инструмент давления на бизнес. Из-за ужесточения законодательства о персональных данных хакеры стали предлагать компаниям альтернативу публичной огласке — «тихий выкуп»: жертва платит за то, чтобы инцидент не дошел до регулятора и компания избежала крупных оборотных штрафов.

Что подтвердили прогнозы

Ранние прогнозы УЦСБ SOC на этот год оправдались практически полностью:

• комбинированные атаки (шифрование + кража данных + DDoS) действительно стали основным сценарием;
• промышленность вышла в лидеры по числу инцидентов;
• количество DDoS-атак увеличилось на 27%, причем 80% из них пришлось на уровень приложений;
• нейросети активно используются для генерации фишинговых писем, которые пользователи уже не в состоянии отличить от подлинных.

При этом базовые способы проникновения остаются прежними: 70–80% всех атак по-прежнему связаны с фишингом, кражей учетных данных и эксплуатацией уязвимостей веб-сервисов. Оставшиеся 20–30% приходятся на более сложные и затратные методы — эксплойты 0-day и целевые APT-кампании.

Директор УЦСБ SOC Константин Мушовец отмечает, что нейросети резко упростили организацию атак — сегодня запустить цепочку компрометации способен даже злоумышленник без специальных навыков. По его словам, компаниям любого масштаба стоит пересмотреть парольные политики, усилить защиту удаленных рабочих мест, внедрить многофакторную аутентификацию для подрядчиков и практику неизменяемых бэкапов, а также наладить постоянный мониторинг безопасности — базовая защита обходится значительно дешевле, чем восстановление после успешной атаки.

Три главные точки входа

В отчете выделены три категории уязвимостей, через которые чаще всего проникали атакующие:

1. Сетевое оборудование (Palo Alto, Check Point, NGINX). Брешь в межсетевых экранах Palo Alto открывала злоумышленникам удаленный полный контроль над устройством. Уязвимость в VPN-шлюзах Check Point позволяла подключаться вообще без пароля — под угрозой оказались до 60% российских компаний, использующих это оборудование. Критическая ошибка в NGINX давала возможность обрушивать веб-серверы и даже перехватывать управление ими; потенциально уязвимыми считались до 5,7 млн серверов NGINX по всему миру.
2. Ядро Linux. Пара взаимосвязанных уязвимостей — Dirty Frag и Copy Fail — позволяет любому пользователю получить максимальные права в системе на любом дистрибутиве, включая отечественные ОС, что делает серверную Linux-инфраструктуру крайне уязвимой.
3. Офисные приложения. Массово распространились фишинговые рассылки с вредоносными RTF- и PDF-файлами, маскирующимися под официальные письма госструктур и отраслевые отчеты. Одна из уязвимостей Adobe оставалась неисправленной более полугода, а атаки через Office целенаправленно затрагивали госсектор, промышленность и финансовую сферу.