По данным «Инфосистемы Джет», каждая третья кибератака — взлом через подрядчика

Эксперты Jet CSIRT компании «Инфосистемы Джет» подвели итоги анализа кибератак за первое полугодие 2026 года. Один из ключевых выводов исследования: в каждом третьем случае успешного взлома злоумышленники проникали в инфраструктуру компании не напрямую, а через ее подрядчика.

Подрядчики — вторая по значимости точка входа

На атаки через подрядные организации пришлось 21% всех расследованных за полугодие инцидентов — это второе место по частоте после эксплуатации публичных приложений. Чаще всего под удар попадали крупные компании со штатом свыше 10 тысяч сотрудников: чем масштабнее бизнес, тем шире у него сеть подрядчиков и тем больше слабо контролируемых точек входа для атакующих.

Причина уязвимости такой схемы — недостаточная защищенность самих подрядных организаций. Почти половина (48%) зафиксированных случаев компрометации учетных записей относилась именно к ИТ-компаниям, обслуживающим крупный бизнес в качестве подрядчиков. Похищенные у контрагента логин и пароль открывают злоумышленнику легитимный доступ к системам заказчика — без необходимости эксплуатировать уязвимости и часто без реакции средств защиты. Признаки кражи учетных данных инфостилерами обнаружены у 53% организаций, всего скомпрометировано около 3 тысяч учетных записей, а чувствительные данные 27% компаний найдены в открытых репозиториях.

Директор центра мониторинга и реагирования «Инфосистемы Джет» Ринат Сагиров подчеркивает, что кража паролей давно вышла за рамки проблемы отдельных сотрудников и превратилась в системный бизнес-риск: скомпрометированные учетные записи находят у каждой второй компании, и любая из них может стать точкой входа для атаки. По его словам, между рядовым инцидентом и катастрофой часто стоит лишь базовая киберигиена — многофакторная аутентификация, контроль периметра и готовность резервных копий, а закрытие этих направлений не требует крупных вложений, оставаясь при этом самым быстрым способом существенно снизить риски.

Публичные приложения остаются главной угрозой

Атаки через подрядчиков не заменяют, а дополняют основной вектор проникновения: лидером по-прежнему остаются публичные приложения — 56% расследованных инцидентов. При этом в большинстве случаев причиной успеха атакующих становились не 0-day уязвимости, а элементарные ошибки конфигурации и слабая защита опубликованных сервисов. Сканирование внешнего периметра компаний показало: административные интерфейсы, доступные напрямую из интернета, обнаружены у 93% организаций, а избыточные и незащищенные сервисы (SSH, SMTP, FTP) опубликованы у 73% компаний.

Шифровальщики и роль резервного копирования

Основной целью атакующих по-прежнему остается нанесение максимального ущерба: на долю шифровальщиков пришлось 69% всех подтвержденных инцидентов полугодия, при этом пик таких атак пришелся на второй квартал, а главной мишенью чаще всего становилась промышленность.

В этих условиях решающим фактором становится качество резервного копирования. Там, где соблюдался принцип 3-2-1 (три копии данных как минимум на двух разных носителях, одна из которых изолирована от основной сети), восстановление инфраструктуры занимало 1–2 дня. Там, где этот принцип игнорировался, процесс восстановления растягивался минимум на 7 дней, а часть резервных копий оказывалась частично или полностью повреждена.

Среди положительных тенденций полугодия — восьмикратное снижение числа утечек данных по сравнению со вторым полугодием 2025 года.