В 2025 году число кибератак на бизнес выросло в 2,7 раза по сравнению с предыдущим годом и превысило 186 тысяч инцидентов. По данным RED Security SOC, самыми популярными целями стали телекоммуникационные и ИТ-компании, а также сфера развлечений — рестораны, отели, билетные кассы и онлайн-кинотеатры потеснили даже банки. Атаки стали не только более частыми, но и более продолжительными и мощными.
Типичные сценарии кибератак универсальны. Константин Янсон, ведущий системный архитектор ICL Services, отмечает: злоумышленники выбирают путь наименьшего сопротивления — фишинг и социальную инженерию, эксплуатируя слабости пользователей. Реже встречаются атаки через уязвимости в коде, так как их сложнее реализовать. По словам эксперта, последние пять лет в России ключевым драйвером кибербезопасности выступают регуляторы, требующие перехода на отечественные средства защиты.
Константин Кузнецов из «Кветты» добавляет: помимо фишинга и ошибок конфигурации, в последние годы набирают популярность атаки через цепочку поставщиков. Крупные компании уже выстроили эшелонированную защиту, однако подрядчики — часто малый и средний бизнес — остаются уязвимыми. «Достаточно популярны в последние годы атаки через цепочку поставщиков и подрядчиков, — говорит он. — Крупные компании уже выстроили эшелонированную защиту собственной инфраструктуры, однако смежные контуры остаются менее защищёнными. Поэтому часто злоумышленники выбирают более простой путь: атакуют подрядчика».
Иван Елисеев из Check Risk WAF выделяет сбор больших данных, особенно пользовательских, как основной вектор атак. Слитые базы контрагентов позволяют создавать мутирующие списки и генерировать целевые атаки. Он подчеркивает: «Корпоративные эшелоны предусматривают DLP-защиту, но многие пользователи имеют расширенные права доступа. Матрицу доступов соблюдают очень мало компаний, так что, несмотря на высокую подготовку внешнего периметра, про внутренний мало кто задумывается».
Сергей Полунин из «Газинформсервис» выделяет три главных вектора: фишинг и социальная инженерия, компрометация через подрядчиков и эксплуатация внешнего периметра. По его словам, почти все громкие случаи можно было предотвратить своевременным аудитом и установкой обновлений.
Илья Волощик из TS Solution приводит данные Solar: за 2025 год подтверждено более 33 тысяч инцидентов, среди которых лидируют заражения вредоносным ПО, несанкционированный доступ и внутренние угрозы. Типичные сценарии на 2025–2026 годы включают:
- комбинированные атаки через фишинг, почту и кражу учётных данных;
- атаки через доверенные отношения и подрядчиков;
- DDoS и веб-атаки в периоды максимальной выручки;
- деструктивные сценарии — шифрование, уничтожение инфраструктуры, саботаж.
Positive Technologies прогнозирует усиление атак через доверительные отношения, opensource-цепочки и ИИ-усиленную социальную инженерию в 2026 году.
Человеческий фактор остаётся главной уязвимостью: 88% утечек данных связаны с ошибками сотрудников, а 41% работников переходят по опасным ссылкам. Илья Волощик отмечает: «ИИ сделал письма неотличимыми от настоящих. Сотрудник кликает по ссылке в среднем за 21 секунду, не думая о последствиях. 156 млн паролей российских пользователей уже в открытом доступе — хакеры заходят „через парадную дверь“». Иван Елисеев добавляет, что более 60% пользователей открывают незнакомые письма, и 30% из них вводят учётные данные.
Константин Янсон ссылается на международные исследования: в ближайшие 5–10 лет человеческий фактор останется основной угрозой. «В нашей практике самые серьёзные взломы больших компаний осуществлялись через администраторов — людей, наделённых огромными правами. И даже через офицеров безопасности», — говорит он. Константин Кузнецов подчёркивает экономику атак: «Фишинг, психология, социальная инженерия — очень мощный инструмент. Он срабатывает даже против специалистов по информационной безопасности».
Проблема подрядчиков стоит особенно остро. Иван Елисеев описывает защиту подрядчиков шуткой: это как оборонный завод с пулемётными точками охраняет шлагбаум, который открывает бабушка. Многие подрядчики не могут позволить себе дорогие системы защиты и используют опен-сорс или плоские сети. Илья Волощик сообщает: 30% атак идут через партнёров и вендоров, у 55% подрядчиков открыты управляющие порты, а 32% не ставят критические патчи. Константин Янсон добавляет, что в крупных компаниях работа с подрядчиками уже отлажена, но для малого бизнеса организовать безопасность дорого — часто нет человека, управляющего безопасностью.
Концепция Zero Trust становится всё более актуальной. Константин Янсон поясняет: «Американский институт по стандартизации описал её смысл: больше не доверять априори всем сервисам и пользователям лишь потому, что они в вашей локальной системе. Мы проверяем, шифруем, аутентифицируем каждое обращение». Сейчас шифрование доступно везде, даже в SIM-картах, поэтому единственное оправдание неиспользования Zero Trust — невежество или сложность перехода с устаревших систем. Илья Волощик считает Zero Trust реалистичным подходом, но его внедрение требует серьёзной перестройки инфраструктуры. Константин Кузнецов отмечает, что во многих компаниях отсутствует даже базовая сегментация сети, без чего говорить о Zero Trust преждевременно. Сергей Полунин добавляет: Zero Trust применим как набор принципов, но унаследованные системы создают исключения, сводящие на нет суть подхода.
Говоря о SOC (Security Operations Center), Константин Кузнецов напоминает, что первые такие центры в России появились около 15 лет назад. Сегодня растёт количество атак, доступность инструментов злоумышленников (MaaS) и дефицит кадров. Он прогнозирует распространение гибридного подхода: внутренний SOC дополняется внешней экспертизой. Илья Волощик приводит данные «Лаборатории Касперского»: 50% крупных компаний планируют разворачивать SOC ради повышения уровня ИБ, 45% — ради защиты от сложных угроз, а 52% ожидают круглосуточного выявления аномалий и реагирования. Иван Елисеев рекомендует сначала обеспечить внутренний контур безопасности, антивирусную защиту всех узлов и двухфакторную аутентификацию, а затем подключать SOC. Константин Янсон подчёркивает, что SOC не может генерировать события сам — нужна постепенная зрелость, от простого мониторинга до автоматизированного реагирования.
Киберустойчивость становится ключевым трендом. Сергей Полунин отмечает: бизнес страдает не только от проникновения, но и от остановки процессов. «На практике все понимают: взлом будет 100%, вопрос лишь в том, как мы будем реагировать и с какими потерями восстанавливаться». Константин Кузнецов добавляет: «Киберустойчивость начинается там, где заканчивается вера в абсолютную безопасность». Иван Елисеев советует бизнесу определить принимаемый риск: если данные не стоят затрат на защиту, достаточно резервного копирования. «Стоимость защиты не должна быть выше стоимости самой ценной информации». Константин Янсон резюмирует: «Термин киберустойчивости появился, когда бизнес понял, что защититься на 100% нельзя — взломать можно любую компанию. Вливать деньги в безопасность можно бесконечно, но эффективность измерить сложно. За киберустойчивостью стоит риск-ориентированный подход».
