Число публичных инцидентов с утечками данных в российском интернете за девять месяцев 2026 года сократилось с 573 до 333, однако объем одной утечки значительно вырос. Медианный размер вырос на 117% — с 46 до 100 тысяч строк. Такие данные на конференции SOC Forum 2026 привел директор по развитию Solar AURA группы «Солар» Александр Вураско. Об этом пишет сайт Российская газета.
Эксперт предупреждает, что хакеров не стало меньше. Фишинг поставлен на конвейер, злоумышленники действуют быстро, а их атаки маскируются под штатное ПО компаний. Фишинговые сети теперь включают сотни и тысячи ресурсов, доля адресов на доменах третьего уровня выросла с четверти до почти половины за год. Более половины таких доменов живут не дольше суток, а ссылки открываются во встроенном браузере мессенджера без адресной строки.
Специалист группы киберразведки Positive Technologies Денис Казаков рассказал о приманке в виде повестки: этим летом злоумышленники предлагали «забронировать топливо», а под видом приложения для заправок распространяли шпионскую программу. Руководитель управления предупреждения внешних киберугроз BI.ZONE Олег Скулкин отметил, что легитимные программы — средства удаленного управления, архиваторы и утилиты резервного копирования — одинаково полезны и администраторам, и взломщикам. Отличить легитимное действие от вредоносного в журнале событий сложно.
По словам руководителя департамента комплексного реагирования на инциденты ИБ Positive Technologies Дениса Гойденко, половина атак начинается с веб-приложений, вместе с другими сервисами на периметре это около 65%. В 54% случаев нарушались бизнес-процессы, примерно в 30% инфраструктуру полностью зашифровали или уничтожили. Доля промышленности среди пострадавших выросла с 9% до 22%. Скорость атак увеличилась: на многие уходит два-пять часов, а 52 из 65 вредоносных программ за год оказались новыми. Большие языковые модели позволяют перебирать механизмы Windows и подбирать их под конкретную сеть — уникальный эксплойт к уязвимости в агенте системы резервного копирования собрали примерно за неделю.
Эксперты связывают проблемы защиты в основном с организационными причинами. Средства защиты срабатывают, но реакция запаздывает из-за большого числа ложных срабатываний. Компании защищают то, что кажется важным им, а не атакующим, часть ИТ-инфраструктуры «теряют»: у команд безопасности и ИТ-администраторов разные представления о числе узлов в сети. Анализ более 40 тысяч виртуальных серверов за первое полугодие 2026 года, проведенный «Клаудэдвайзор», показал: у 83% есть уязвимости с оценкой выше 9 баллов по CVSS, на 95% не было антивируса, у каждой четвертой организации найдена зараженная машина, а около половины учетных записей работали без многофакторной аутентификации.
Уязвимые места часто находятся за ИТ-периметром компании. Вураско описывает цепочку: небольшой интернет-магазин на устаревшем WordPress-движке взламывают, базу клиентов продают, и она служит материалом для фишинга сотрудников более крупных контрагентов. По данным Positive Technologies, между началом атаки и моментом, когда организация замечает злоумышленников, проходит 14 дней. Пока ожидать снижения числа успешных атак в ближайшие год-два не приходится: инструменты у злоумышленников дешевеют быстрее, чем растет зрелость бизнеса в области ИБ.