Хакеры с ИИ против веб-сервисов: Solar 4RAYS представил отчет о расследовании сложных кибератак в 1 полугодии

В первой половине 2026 года интерес хакеров сместился с госсектора на промышленность: хакеры надеются получить от крупных предприятий большие выкупы и ценные сведения об интеллектуальной собственности. Наблюдается продолжающийся рост атак через уязвимости веб-приложений за счет использования злоумышленниками ИИ. Также трендом периода стало аномальное затишье в активности профессиональных кибергруппировок, которое обещает вылиться в волны инцидентов в конце года. Таковы выводы отчета о сложных кибератаках в 1 полугодии 2026 года, подготовленного центром исследования киберугроз Solar 4RAYS ГК «Солар», ведущего провайдера комплексной кибербезопасности в России.

В первом полугодии 2026 года наибольшая доля расследованных инцидентов (31%) пришлась на промышленные предприятия — на 11 п.п. больше, чем годом ранее, и это самый заметный рост среди всех отраслей. Интерес атакующих к промышленному сектору впервые обозначился в 2025 году и в 2026-м продолжил усиливаться. Эксперты объясняют это потенциальной выгодой: успешная атака с использованием вируса-шифровальщика может остановить производство и повлиять на прибыльность предприятия, что повышает вероятность выплаты выкупа. При этом промышленные компании обладают интеллектуальной собственностью, которая представляет интерес для прогосударственных группировок, занимающихся шпионажем.

Одновременно доля атак на госсектор сократилась на 15 п.п. – теперь на него приходится примерно каждый пятый расследованный инцидент (21%). По оценке экспертов, защитные меры, принятые государственными организациями в ответ на волны киберинцидентов 2022-2025 годов, сделали такие атаки более трудоемкими – для атакующих-любителей взлом госорганизации перестал быть тривиальной задачей. Прогосударственные же группировки продолжают атаковать этот сегмент, однако доля таких операций остается небольшой.

Доля атак на ИТ-компании составила 16%, на телеком и энергетику – по 11%, а на логистику и медицину – еще по 5%.

Что касается целей атакующих, шпионаж остается главным мотивом – на него пришлось 42% расследованных инцидентов. Еще у 42% атак установить цель на момент подготовки отчета не удалось: они были остановлены на раннем этапе и не оставили достаточно артефактов для выводов о намерениях злоумышленников. На хактивизм, включая публикацию похищенных данных, пришлось 11% случаев, на финансово мотивированные атаки (вымогательство и майнинг) – 5%.

Уязвимости в веб-приложениях продолжают стремительно набирать популярность как способ первоначального проникновения: их доля выросла с 46% до 58% год к году. Эксперты связывают тенденцию с массовым переходом российских компаний на отечественные и самописные решения, в которых чаще встречаются проблемы с безопасностью, а также с тем, что пользователи не успевают своевременно устанавливать патчи. Дополнительной проблемой является несоблюдение правил безопасной разработки самописных приложений – для минимизации ошибок, приводящих к возникновению уязвимостей в Solar 4RAYS рекомендуют использовать программы для анализа кода на уязвимости вроде Solar appScreener. Отдельным фактором стало использование злоумышленниками искусственного интеллекта.

Среди других способов проникновения – использование скомпрометированных (утекших) учетных данных, на которое пришлось 10% инцидентов, и прочие причины, включая фишинг и вредоносные файлы (32%). Отдельно эксперты отмечают, что наметившийся в 2025 году тренд на рост атак через инфраструктуру подрядчиков в начале 2026 года прервался: ни одного инцидента с проникновением через партнерскую инфраструктуру в первом полугодии зафиксировано не было.

В первом полугодии 2026 года эксперты Solar 4RAYS зафиксировали аномальное затишье в активности профессиональных хакерских группировок: было подтверждено лишь четыре ранее известных вредоносных кластера – Fairy Trickster, GOFFEE, Partisan Zmiy и NGC5081, на которые в совокупности пришлось 32% всех расследованных инцидентов (оставшиеся 68% пока не атрибутированы). Годом ранее с января по июнь было выявлено шесть таких группировок, а по итогам всего 2025 года – 18. Отмечается также исчезновение с радаров исследователей APT-группировок азиатского происхождения – в отличие от первого полугодия 2025 года, когда фиксировались атаки, например, Erudite Mogwai.

Как отмечает эксперт, снижение видимой активности не означает, что группировки бездействуют. Многие из них, по его словам, залегли на дно и обновляют арсенал или сетевую инфраструктуру. Кроме того, многие хакеры начало года посвящают разведке и проникновению в целевые организации. Такое поведение является подготовкой злоумышленников к активным фазам атак во второй половине года.