Рост числа защитных инструментов не спасает бизнес от скрытых кибератак
Эксперты компании «Информзащита» пришли к выводу, что проблема скрытого присутствия злоумышленников в корпоративной ИТ-инфраструктуре носит гораздо более масштабный характер, чем принято считать. По их оценке, как минимум три четверти организаций в течение последних двух лет так или иначе сталкивались с ситуацией, когда атакующие получали доступ к внутренней цифровой среде. Более того, в 2026 году эта тенденция продолжила усиливаться. Если анализировать данные за первые месяцы текущего года, количество подтвержденных случаев несанкционированного проникновения в системы выросло примерно на 14% по сравнению с тем же периодом 2025 года. При этом исследователи отмечают, что значительная часть компаний предпочитает не разглашать факты компрометации инфраструктуры. Если учитывать и такие скрытые инциденты, максимально возможная оценка распространенности проблемы достигает 91%. Даже при самом осторожном подходе к подсчетам — когда все организации, отказавшиеся отвечать на вопросы исследования, условно считаются не пострадавшими — уровень проникновений все равно составляет около 75%. Подобные цифры свидетельствуют о том, что речь идет не о единичных эпизодах, а о системном явлении, затрагивающем большинство предприятий.
На фоне столь тревожной статистики обращает на себя внимание факт: компании продолжают активно увеличивать бюджеты на информационную безопасность и расширять парк защитных решений. В крупных организациях одновременно используется десятки различных продуктов и платформ, отвечающих за мониторинг, обнаружение угроз и предотвращение атак. За последний год большинство предприятий продолжило наращивать количество подобных инструментов. Однако количественный рост средств защиты не гарантирует пропорционального повышения уровня безопасности. Напротив, почти 59% специалистов по информационной безопасности отмечают серьезный дефицит компетенций внутри команд, необходимых для эффективной работы с таким сложным технологическим стеком. В результате увеличивается не только число систем, но и сложность их администрирования, количество интеграционных связей между ними и общий объем собираемой телеметрии. Потоки событий растут лавинообразно, и сотрудникам служб безопасности становится все труднее оперативно выявлять действительно критические сигналы среди огромного массива уведомлений. Таким образом, формально уровень оснащенности компаний инструментами защиты повышается, но способность быстро реагировать на угрозы зачастую, наоборот, снижается.
Также давление на системы безопасности оказывает стремительное изменение ИТ-ландшафта. Организации активно переходят на облачные инфраструктуры, внедряют гибридные архитектуры, развивают интеграции через API и используют сервисы, основанные на технологиях искусственного интеллекта. Все эти процессы неизбежно расширяют потенциальную поверхность атаки. По данным исследования, около 85% директоров по информационной безопасности признают, что распространение решений на базе искусственного интеллекта уже оказывает заметное влияние на стратегию консолидации их защитных инструментов. При этом примерно половина CISO указывает на нехватку внутренней экспертизы как на главный барьер при построении надежной защиты ИИ-систем. Аналогичные выводы содержатся и в исследовании ISC2 за 2025 год: около 41% экспертов называют навыки в области безопасности искусственного интеллекта одними из наиболее востребованных, но одновременно и наиболее дефицитных. На практике это приводит к ситуации, когда новые технологические решения внедряются быстрее, чем команды безопасности успевают освоить методы их защиты и управления рисками.
Структура инцидентов также демонстрирует достаточно типичный сценарий развития атак. Чаще всего злоумышленники получают первоначальный доступ через внешние веб-ресурсы компании — на такой вектор приходится примерно 58% случаев. Еще в 52% атак точкой входа становятся конечные устройства сотрудников. После закрепления в инфраструктуре атакующие обычно начинают использовать учетные записи и механизмы управления доступом: подобные элементы задействованы почти в половине инцидентов, около 49%. На более поздних этапах атак активно эксплуатируются облачные сервисы и API — они фигурируют примерно в 38% случаев. Внутренние сети и серверная инфраструктура становятся частью атаки в 47% инцидентов. На этой стадии речь уже идет не о единичном взломе, а о развитии атаки с постепенным перемещением злоумышленников внутри инфраструктуры. Далее объектами воздействия становятся бизнес-приложения — это происходит примерно в 30% атак. Экосистемы, использующие технологии искусственного интеллекта, оказываются затронуты примерно в 18% случаев, а устройства интернета вещей и системы промышленной автоматизации — примерно в 13%. Эти данные показывают, что проникновение через периметр редко остается локальной проблемой: если атаку не обнаружить достаточно быстро, она постепенно распространяется по всей цифровой среде организации.
Наиболее уязвимыми оказываются секторы, где бизнес-процессы сильно зависят от цифровых технологий и распределенной инфраструктуры. На финансовую отрасль приходится около 22% всех выявленных случаев присутствия злоумышленников внутри корпоративных систем. Промышленность и энергетический сектор формируют примерно 18% подобных инцидентов. Компании розничной торговли и электронной коммерции занимают около 16%, телекоммуникационные и ИТ-организации — порядка 14%, государственные структуры — около 12%. Оставшиеся 18% распределяются между такими направлениями, как транспорт, логистика, здравоохранение и ряд других сфер. Для промышленности и энергетики особенно чувствительной проблемой остается интеграция информационных и технологических контуров — IT и OT. Традиционные методы сегментации сетей нередко оказываются недостаточно адаптированными к современным угрозам. В сфере ретейла основной вектор атак, как правило, связан с уязвимостями веб-приложений и API, через которые обеспечиваются онлайн-продажи и взаимодействие с клиентами.
По прогнозам аналитиков, если текущие темпы цифровой трансформации сохранятся, а кадровый дефицит в сфере информационной безопасности не будет сокращаться, доля компаний, обнаруживающих присутствие злоумышленников внутри своих систем, к концу 2026 года может увеличиться еще примерно на 5-8%. Одновременно существует риск роста среднего времени скрытого пребывания атакующих в инфраструктуре, особенно если организации не изменят подходы к обеспечению видимости происходящих событий и их корреляции.
Эксперты подчеркивают, что снижение рисков невозможно обеспечить простым увеличением количества защитных продуктов. Куда более эффективным подходом становится пересмотр архитектуры безопасности в целом. Объединение разрозненных инструментов в единые платформы, а также внедрение централизованных систем управления уязвимостями и анализом экспозиции инфраструктуры дают гораздо более заметный результат, чем точечные закупки новых решений. Важную роль играет регулярная проверка устойчивости периметра — например, с использованием сценариев, имитирующих реальные атаки, а также усиленный контроль над привилегированными учетными записями. Не менее значимым фактором остается развитие человеческого капитала: организациям необходимо инвестировать в обучение специалистов, особенно в области облачной безопасности и защиты систем ИИ, формировать команды threat hunting и сокращать время между обнаружением угрозы и реакцией на нее. Компании, которые уже в 2026 году смогут перейти от фрагментарной модели защиты к системному управлению рисками на основе полной видимости инфраструктуры, получат шанс изменить текущую негативную тенденцию. Остальные же будут продолжать узнавать о присутствии злоумышленников постфактум — уже тогда, когда последствия атак начинают отражаться на финансовых показателях и деловой репутации.