Центр мониторинга УЦСБ SOC проанализировал реальные инциденты и данные из открытых и теневых каналов за январь — июнь 2026 года, сообщили блогу Игнатий Цукергохер в пресс-службе компании.
Ключевые тренды
- Атаки через подрядчиков — доля выросла с 10 до 30% за год. Теперь каждая третья компрометация начинается не со взлома поставщика или сервис-провайдера компании.
- Промышленность под ударом — число заражений шифровальщиками в этом сегменте увеличилось в 2,3 раза по сравнению с прошлым годом.
- Комбинированные атаки — злоумышленники все чаще используют тактику одновременного шифрования инфраструктуры, выгрузки конфиденциальных данных и DDoS-трафика, чтобы вынудить жертву платить.
- DDoS — число атак выросло на 27%, 80% из них прикладного уровня.
- Нейросети в фишинге — массово применяются для создания писем, которые практически невозможно отличить от настоящих.
Утечки и «тихий выкуп»
Злоумышленники неоднократно заявляли о компрометации крупных российских компаний. Среди резонансных случаев:
- энергетическая компания — 3 ТБ данных, включая почту и данные более 1 млн клиентов;
- информационный ресурс — 636 ГБ персональных данных 159,6 млн пользователей, выставленных на продажу за $6 тыс.;
- производитель стройматериалов — шифрование 3 тыс. серверов и удаление 100 ТБ бэкапов;
- разработчик СХД — утечка 112 ГБ исходного кода, создавшая угрозу цепочкам поставок для нефтегаза, транспорта и энергетики.
Ужесточение закона о персональных данных породило альтернативу публичным сливам. Хакеры всё чаще предлагают компаниям «тихий выкуп» — плату за то, чтобы не сообщать регулятору о факте утечки, избавляя бизнес от оборотных штрафов.
Векторы проникновения
Сами векторы проникновения не изменились: фишинг, кража учётных данных и эксплуатация веб-уязвимостей по-прежнему дают 70–80% всех инцидентов. Оставшиеся 20–30% — это более ресурсоёмкие атаки: использование 0-day-уязвимостей и целевые APT-кампании.
Три типа уязвимостей — «входных ворот»
- Сетевое оборудование (Palo Alto, Check Point, NGINX):
- уязвимость в межсетевых экранах Palo Alto давала хакерам возможность удалённо получить полный контроль над устройством;
- из-за бреши в VPN-шлюзах Check Point злоумышленники могли подключаться без пароля — под ударом было до 60% российских компаний;
- удалённая эксплуатация критичной ошибки в коде NGINX позволяла вызвать сбой веб-серверов или полностью захватить управление сервером. Потенциально уязвимыми были до 5,7 млн NGINX-серверов по всему миру.
- Ядро Linux: две связанные ошибки, известные как Dirty Frag и Copy Fail, дают любому пользователю максимальный уровень прав в любом дистрибутиве, включая ряд российских операционных систем.
- Офисные приложения: фишинговые кампании с вредоносными RTF- и PDF-документами, замаскированными под служебные письма госорганов и отраслевые отчёты, стали массовым явлением. Одна из уязвимостей в Adobe эксплуатировалась более полугода до выхода патча, а атаки через Office целенаправленно били по госсектору, промышленности и финансам.
