В первой половине 2026 г. интерес хакеров сместился с госсектора на промышленность: хакеры надеются получить от крупных предприятий большие выкупы и ценные сведения об интеллектуальной собственности. Наблюдается продолжающийся рост атак через уязвимости веб-приложений за счет использования злоумышленниками ИИ. Также трендом периода стало аномальное затишье в активности профессиональных кибергруппировок, которое обещает вылиться в волны инцидентов в конце года. Таковы выводы отчета о сложных кибератаках в I полугодии 2026 г., подготовленного центром исследования киберугроз Solar 4RAYS ГК «Солар». Об этом CNews сообщили представители ??Солар».
Хакеры сместили внимание с госсектора на промышленность
В I полугодии 2026 г. наибольшая доля расследованных инцидентов (31%) пришлась на промышленные предприятия — на 11 п.п. больше, чем годом ранее, и это самый заметный рост среди всех отраслей. Интерес атакующих к промышленному сектору впервые обозначился в 2025 г. и в 2026 г. продолжил усиливаться. Эксперты объясняют это потенциальной выгодой: успешная атака с использованием вируса-шифровальщика может остановить производство и повлиять на прибыльность предприятия, что повышает вероятность выплаты выкупа. При этом промышленные компании обладают интеллектуальной собственностью, которая представляет интерес для прогосударственных группировок, занимающихся шпионажем.
Одновременно доля атак на госсектор сократилась на 15 п.п. – теперь на него приходится примерно каждый пятый расследованный инцидент (21%). По оценке экспертов, защитные меры, принятые государственными организациями в ответ на волны киберинцидентов 2022-2025 гг., сделали такие атаки более трудоемкими – для атакующих-любителей взлом госорганизации перестал быть тривиальной задачей. Прогосударственные же группировки продолжают атаковать этот сегмент, однако доля таких операций остается небольшой.
Доля атак на ИТ-компании составила 16%, на телеком и энергетику – по 11%, а на логистику и медицину – еще по 5%.
Что касается целей атакующих, шпионаж остается главным мотивом – на него пришлось 42% расследованных инцидентов. Еще у 42% атак установить цель на момент подготовки отчета не удалось: они были остановлены на раннем этапе и не оставили достаточно артефактов для выводов о намерениях злоумышленников. На хактивизм, включая публикацию похищенных данных, пришлось 11% случаев, на финансово мотивированные атаки (вымогательство и майнинг) – 5%.
Способы первоначального проникновения
Уязвимости в веб-приложениях продолжают стремительно набирать популярность как способ первоначального проникновения: их доля выросла с 46% до 58% год к году. Эксперты связывают тенденцию с массовым переходом российских компаний на отечественные и самописные решения, в которых чаще встречаются проблемы с безопасностью, а также с тем, что пользователи не успевают своевременно устанавливать патчи. Дополнительной проблемой является несоблюдение правил безопасной разработки самописных приложений – для минимизации ошибок, приводящих к возникновению уязвимостей в Solar 4RAYS рекомендуют использовать программы для анализа кода на уязвимости вроде Solar appScreener. Отдельным фактором стало использование злоумышленниками искусственного интеллекта.
«Вендоры стремятся в кратчайшие сроки устранить уязвимость. Но возникает проблема с пользователем. Зачастую быстро поставить обновление физически сложно. Новый патч может изменить работу некоторых сервисов, что помешает внутренним процессам организации. Также мы перешли в эпоху активного использования ИИ. Атакующий анализирует код веб-приложения и с легкостью находит множество пробелов в защите», – сказал эксперт группы расследований инцидентов центра исследования киберугроз Solar 4RAYS ГК «Солар» Владимир Духанин.
Среди других способов проникновения – использование скомпрометированных (утекших) учетных данных, на которое пришлось 10% инцидентов, и прочие причины, включая фишинг и вредоносные файлы (32%). Отдельно эксперты отмечают, что наметившийся в 2025 г. тренд на рост атак через инфраструктуру подрядчиков в начале 2026 г. прервался: ни одного инцидента с проникновением через партнерскую инфраструктуру в первом полугодии зафиксировано не было.
Затишье перед бурей
В I полугодии 2026 г/ эксперты Solar 4RAYS зафиксировали аномальное затишье в активности профессиональных хакерских группировок: было подтверждено лишь четыре ранее известных вредоносных кластера – Fairy Trickster, GOFFEE, Partisan Zmiy и NGC5081, на которые в совокупности пришлось 32% всех расследованных инцидентов (оставшиеся 68% пока не атрибутированы). Годом ранее с января по июнь было выявлено шесть таких группировок, а по итогам всего 2025 года – 18. Отмечается также исчезновение с радаров исследователей APT-группировок азиатского происхождения – в отличие от первого полугодия 2025 г., когда фиксировались атаки, например, Erudite Mogwai.
«С начала года и вплоть до июня количество инцидентов оставалось непривычно малым за всю историю наших наблюдений. При этом пассивные инструменты наблюдения — сеть сенсоров по всей России, системы мониторинга центра противодействия кибератакам Solar JSOC — сигнализировали об активности APT-группировок весь этот период, но лишь единицы из этих примеров выливались в инциденты, требующие участия экспертов Solar 4RAYS», — сказал Владимир Духанин.
Как отмечает эксперт, снижение видимой активности не означает, что группировки бездействуют. Многие из них, по его словам, залегли на дно и обновляют арсенал или сетевую инфраструктуру. Кроме того, многие хакеры начало года посвящают разведке и проникновению в целевые организации. Такое поведение является подготовкой злоумышленников к активным фазам атак во второй половине года.
«Например, в прошлом году «Partisan Zmiy» (запрещенная на территории РФ экстремистская организация) нанесла серьезный ущерб перед зимними праздниками и ушла в затишье. Этот период был выбран по той причине, что во время долгих выходных у атакованных компаний уходит больше времени на реагирование и ликвидацию последствий. Кроме того, многие злоумышленники начало года посвящают разведке и проникновению в целевые организации. Если атакующих обнаружат в самом начале, никакого эффекта от атаки не будет. Поэтому на ранних стадиях применяются все возможности для скрытия своей активности», — сказал Владимир Духанин.
Эксперты подчеркивают, что уже в июне была зафиксирована активность группировки NGC5081 с обновленной версией бэкдора IDFKA, а в июле-августе аналитики начали наблюдать постепенный рост активности злоумышленников в целом, включая возобновление атак азиатских APT-групп. Похожая цикличность уже наблюдалась по итогам 2025 г., когда затишье в первом полугодии сменилось заметным всплеском числа инцидентов и активных группировок во втором.
Вывод
Отчет Solar 4RAYS показывает, что I полугодие 2026 г. лишь на первый взгляд выглядело спокойным: уязвимости в веб-приложениях, чему способствует и использование ИИ злоумышленниками, остаются главным способом проникновения в инфраструктуру, промышленность обошла госсектор по числу атак, а низкая активность известных хакерских группировок – это, по оценке экспертов, лишь подготовка к более решительным действиям во второй половине года.
Чтобы снизить риск атак, эксперты Solar 4RAYS рекомендуют своевременно обновлять программное обеспечение и защищать веб-приложения с помощью WAF, соблюдать парольные политики и отслеживать утечки учетных данных, внимательно относиться к уведомлениям НКЦКИ и профильных ИБ-компаний, создавать резервные копии по принципу «3-2-1», использовать продвинутые средства защиты — EDR и SIEM — наряду с классическим защитным ПО, регулярно проводить оценку компрометации инфраструктуры и повышать киберграмотность сотрудников.
Поделиться
