Привилегированный доступ — главная мишень современных кибератак
Представьте, что киберпреступник получил пароль от учетной записи рядового сотрудника. Это неприятно, но ущерб обычно ограничен: злоумышленник получит доступ только к данным и системам, которыми пользуется сотрудник. А что, если в чужие руки попал пароль системного администратора? Перед злоумышленником открывается почти вся инфраструктура компании: серверы, базы данных, системы резервного копирования, средства защиты. Он способен украсть информацию, зашифровать все, что найдет, или уничтожить инфраструктуру, не оставив следов и возможности восстановления.
Поэтому киберпреступники так заинтересованы в привилегированных учетных записях. По данным BI.ZONE SOC, 39% киберинцидентов с января по сентябрь 2025 года связаны с использованием или компрометацией таких учетных записей. Команда BI.ZONE DFIR отмечает, что во всех случаях разрушения IT‑инфраструктуры в 2025 году для нанесения масштабного ущерба применялись привилегированные учетные записи.
Рассказываем, кто относится к привилегированным пользователям и какие угрозы актуальны для российских организаций сегодня.
Термин «привилегированный пользователь» часто воспринимается слишком узко, как синоним системного администратора. На самом деле круг людей с такими учетными записями гораздо шире и продолжает расти вместе с усложнением IT‑инфраструктур.
Привилегированные пользователи — это те, кто имеет расширенные права в операционных системах и ключевых элементах инфраструктуры. К ним относятся:
- Системные администраторы: управляют серверами, сетевым оборудованием и операционными системами.
- Администраторы баз данных: имеют полный доступ к данным и структуре СУБД.
- Разработчики и DevOps‑инженеры: работают с системами CI/CD, репозиториями кода и тестовыми средами.
- Специалисты по кибербезопасности: управляют средствами защиты, имеют доступ к журналам и системам мониторинга.
- Бизнес‑пользователи с особыми правами: руководители, финансисты и владельцы ключевых бизнес‑процессов.
- Внешние подрядчики: сотрудники аутсорсинговых компаний, системные интеграторы, вендоры и партнеры.
Современная инфраструктура создает еще один класс привилегированных пользователей — нечеловеческие идентификаторы (non‑human identities, NHI, машинные идентификаторы). К ним относятся сервисные аккаунты, API‑ключи, токены доступа, SSH‑ключи, учетные записи служб и приложений. По данным BI.ZONE PAM, на одного IT‑специалиста приходится от трех до семи привилегированных учетных записей, включая учетные записи локальных администраторов и аккаунты в облачных сервисах. При этом количество машинных идентификаторов обычно в разы превышает число пользовательских учетных записей.
Дополнительный импульс этому тренду дает распространение ИИ‑агентов, MCP‑серверов (Model Context Protocol) и автономных пайплайнов. Для выполнения задач они динамически получают токены доступа к различным системам, обращаются к API, используют сервисные учетные записи и передают права между отдельными компонентами цепочки. В результате число привилегированных машинных идентификаторов быстро растет, а контролировать их жизненный цикл становится значительно сложнее.
Исследование Threat Zone 2026: Dark AI показывает, что злоумышленники уже начинают использовать возможности искусственного интеллекта для автоматизации атак и масштабирования компрометации инфраструктуры. По мере распространения ИИ‑агентов именно машинные идентификаторы становятся одной из наиболее вероятных целей: компрометация одного агента или токена может открыть доступ сразу к нескольким внутренним сервисам и запустить дальнейшее автоматическое распространение атаки.
Риски также повышаются из‑за того, как компании управляют такими учетными данными. Эксперты BI.ZONE PAM отмечают, что 30–40% привилегированных учетных записей в разных системах одной компании используют одинаковые или схожие пароли. Если злоумышленник получает доступ хотя бы к одному из аккаунтов, он может использовать те же учетные данные для перемещения по инфраструктуре.
Для машинных идентификаторов характерны и собственные векторы атак. Наиболее распространенные из них — утечки секретов из Git‑репозиториев, хранение токенов и паролей в открытом виде в коде или конфигурационных файлах (hardcoded secrets), чрезмерные права сервисных учетных записей (over‑permissioned service accounts), а также бесконтрольное накопление API‑ключей, токенов и SSH‑ключей, срок действия которых не ограничен или интервал регулярной ротации достаточно велик. В совокупности эти факторы значительно расширяют поверхность атаки и усложняют контроль привилегированного доступа.
Чтобы выстроить эффективную защиту, необходимо понимать, как именно злоумышленники атакуют привилегированные учетные записи. По данным BI.ZONE Threat Intelligence, 42% атакующих группировок используют техники, связанные с привилегированными учетными записями, на этапе проникновения в инфраструктуру, а 63% применяют их на этапе продвижения по сети — латерального перемещения. Это означает, что привилегированный доступ эксплуатируется на всех ключевых стадиях атаки.
В BI.ZONE SOC зафиксировали, что в 57% случаев злоумышленники получают доступ через действующие учетные данные. Вот что могло привести к такому результату:
- Фишинг. По данным Threat Zone 2026, основным способом получения доступа к системам остается фишинг — его использовали в 64% атак. Специалисты BI.ZONE Mail Security также отметили, что фишинг стал главной угрозой для корпоративной почты в 2025 году.
- Утечки данных. Статистика BI.ZONE Digital Risk Protection показывает, что каждая 15‑я корпоративная учетная запись хотя бы раз становилась объектом утечки.
- Слабые пароли. Один из 50 корпоративных пользователей использует ненадежный пароль, а для администраторов это критично.
- Переиспользование паролей. В 60% компаний, пострадавших от атак с шифровальщиками, сотрудники использовали одинаковые пароли для разных сервисов.
Злоумышленники создают скрытые администраторские права и пытаются закрепиться в системе, чтобы повысить уровень доступа. Такие действия зафиксированы в 40% инцидентов. Логика проста: получив первоначальный доступ, они стремятся установить максимальный контроль над инфраструктурой.
Еще 15% инцидентов связаны с использованием легитимных учетных записей для удаленного подключения через SSH, RDP и другие сервисы. В 2024 году этот метод был вторым по популярности (27%), что позволяло злоумышленникам действовать почти незаметно на начальных этапах атаки.
В 2025 году более 30% инцидентов с шифрованием или уничтожением инфраструктуры связаны с этим вектором. Для сравнения, в 2024 году этот показатель составлял 15%, то есть за год его доля удвоилась. В исследовании Threat Zone 2026 эксперты прогнозируют, что злоумышленники продолжат искать слабые звенья для атак на крупные организации, в том числе через подрядчиков с более низким уровнем зрелости кибербезопасности. В BI.ZONE Threat Intelligence подсчитали: сегодня этот метод используют 10 кибергруппировок, нацеленных на российские организации.
Механизм атаки прост: подрядчик получает привилегированный доступ для выполнения задач, но его инфраструктура не всегда защищена на том же уровне, что и инфраструктура заказчика. Скомпрометировав подрядчика, злоумышленник использует его легитимные учетные данные для проникновения во внутреннюю сеть компании. Точкой входа в таком сценарии становится учетная запись доверенного поставщика услуг. Поэтому, по данным BI.ZONE PAM, 32% организаций внедряют PAM‑системы для усиления контроля работы подрядчиков с привилегированным доступом.
Отраслевой анализ: кто подвергается атакам чаще всего
Согласно Threat Zone 2026, подготовленному командами BI.ZONE Threat Intelligence, BI.ZONE SOC и BI.ZONE DFIR, наиболее уязвимые отрасли в России:
- Государственный сектор — 14% всех атак.
- Финансовая отрасль — 11%.
- Транспорт и логистика — 10%.
Мотивация злоумышленников также изменилась: доля финансово мотивированных атак снизилась с 67% до 47%, а число атак с целью шпионажа увеличилось с 21% до 37%. Теперь атакующие стремятся не только к быстрой монетизации, но и к долговременному присутствию в инфраструктуре, для чего им нужны привилегированные учетные записи. Некоторые группы, занимающиеся шпионажем, не ограничиваются сбором данных, а переходят к разрушительным действиям в скомпрометированных системах.
Возникает вопрос, разве DLP, SIEM, антивирусы и межсетевые экраны не должны эффективно справляться с подобными угрозами?
Проблема в том, что привилегированные пользователи могут обходить стандартные меры защиты. Это не ошибка, а особенность их роли. Системный администратор должен иметь возможность отключать антивирус для обслуживания системы. DevOps‑инженер может развернуть новый контейнер, обходя часть политик. Именно поэтому действия привилегированных пользователей зачастую сложно отличить от действий злоумышленника, использующего аналогичную учетную запись.
BI.ZONE приводит следующие данные: почти у 90% компаний отсутствует налаженный процесс управления привилегированным доступом, а специализированные инструменты есть лишь у 55%. Более половины таких учетных записей не истекают автоматически и могут функционировать без владельца годами. В таком же числе организаций привилегии не отзывают сразу после увольнения сотрудников.
Еще одна проблема — некорректная настройка прав. В компаниях появляются суперпользователи с неограниченными полномочиями, а подрядчикам часто предоставляются избыточные права, которые не отзываются после завершения проекта.
Только 25% компаний, пострадавших от атак шифровальщиков или вайперов, вели мониторинг событий кибербезопасности, и даже тогда он был неполным, не охватывал все сегменты инфраструктуры. Поэтому злоумышленник может оставаться незамеченным в сети: минимальное время от проникновения до начала шифрования составляло 12,5 минуты, а максимальное — 181 день.
Регулятор постепенно ужесточает требования к управлению привилегированным доступом. Для организаций, на которые распространяются соответствующие нормативные документы, соблюдение этих требований обязательно. При этом законодательство не во всех случаях предписывает внедрение именно PAM‑системы: выбор средств защиты зависит от типа информационной системы и применимых к ней требований.
Ниже собрали ключевые нормативные документы, затрагивающие управление привилегированным доступом: на кого они распространяются, какие требования устанавливают и какая ответственность предусмотрена за их нарушение.
В отдельном материале разобрали, как приказ ФСТЭК России № 117 регулирует контроль действий привилегированных пользователей, запись и аудит их сессий, а также многофакторную аутентификацию.
| Нормативный правовой акт | На кого распространяется | Что требуется в части привилегированного доступа | Ответственность за несоблюдение требований по документу |
|---|---|---|---|
| Указ Президента № 250 |
Федеральные органы исполнительной власти, высшие исполнительные органы субъектов РФ, государственные фонды, госкорпорации (компании), иные организации, созданные федеральными законами, стратегические предприятия и АО, системообразующие организации российской экономики, юридические лица — субъекты КИИ |
Отказ от использования СЗИ для управления привилегированным доступом из недружественных стран либо произведенных организациями под юрисдикцией таких государств, подконтрольными им либо аффилированными с ними (с 1 января 2025 года) |
Персональная ответственность руководителя организации и (или) назначенного руководителем ответственного лица за обеспечение кибербезопасности |
| 187‑ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» |
|
Включение решений для управления привилегированным доступом в систему безопасности значимых объектов КИИ, информирование ГосСОПКА о компьютерных инцидентах |
|
| Приказ ФСТЭК России № 239 |
Субъекты КИИ в части обеспечения безопасности значимых объектов, которым присвоена категория значимости, объект включен в реестр значимых объектов КИИ |
Идентификация и аутентификация, управление учетными записями и правами доступа, разделение полномочий, назначение минимально необходимых прав и привилегий, регистрация событий безопасности |
Та же, что по 187‑ФЗ |
| Приказы ФСТЭК России № 117, № 21, № 31 |
|
Управление учетными записями, разграничение доступа, разделение полномочий, назначение минимально необходимых прав и привилегий, регистрация и анализ действий пользователей |
Административная ответственность по ст. 13.12 КоАП РФ за нарушение требований о защите информации |
| 152‑ФЗ «О персональных данных» |
Государственные органы, муниципальные органы, юридические или физические лица, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных — то есть практически каждая компания |
Установление правил доступа к персональным данным в информационных системах персональных данных |
|
Для организаций, подпадающих под требования перечисленных документов, PAM‑система с сертификатом ФСТЭК России становится обязательным элементом архитектуры безопасности. Например, BI.ZONE PAM сертифицирован по 4‑му уровню доверия (сертификат № 4844 от 19 сентября 2024 г.), что позволяет применять его в государственных информационных системах, АСУ ТП и системах обработки персональных данных до 1‑го уровня защищенности включительно.
Управление привилегированным доступом нужно не только крупным организациям. Откладывать эту задачу на потом тоже не стоит. Это один из ключевых элементов безопасности, без которого остальные меры защиты могут работать менее эффективно.
Злоумышленник, получивший привилегированный доступ, может обойти традиционные СЗИ: отключить антивирусы, очистить журналы событий безопасности, создать скрытые учетные записи. Поэтому организациям необходим строгий контроль за использованием привилегированных учетных записей. Нужно ограничивать доступ и контролировать использование паролей и ключей, чтобы их утечка не открывала киберпреступникам путь в инфраструктуру.
В следующей статье цикла мы разберем, как технически устроены PAM‑системы, какие архитектурные принципы лежат в их основе и почему выбор режима развертывания — стратегическое, а не только техническое решение.