Каждая пятая российская компания взломана и не знает об этом

Чаще всего длительное скрытое присутствие в инфраструктуре жертвы характерно для шпионских группировок

6 апреля 2026 г.

Специалисты BI.ZONE Compromise Assessment установили, что злоумышленники присутствуют в инфраструктуре каждой пятой компании, которая обращается для проверки на предмет компрометации. В отличие от реагирования на инцидент такая проверка проводится в профилактических целях, без признаков нарушения процессов компании со стороны атакующих.

Читайте в нашем материале, зачем нужен compromise assessment, в каких обстоятельствах он принесет максимальную пользу и в чем заключается наш собственный подход к этой практике.

Большинство выявленных случаев скрытого присутствия (60%) приходится на кластеры, нацеленные на кибершпионаж. Это не означает, что именно кибершпионы атакуют российские компании чаще всего: просто специфика этих группировок такова, что им для достижения своих целей необходимо долго находиться в инфраструктуре жертвы, незаметно собирая чувствительную информацию. Этим они отличаются, к примеру, от финансово мотивированных кластеров, использующих шифровальщики, — те, как правило, проводят атаку стремительно и могут находиться в инфраструктуре не больше нескольких дней.

Владимир Гришанов

Руководитель BI.ZONE Compromise Assessment

Еще 20% случаев выявленного скрытого присутствия в инфраструктуре приходится на долю хактивистских кластеров активности.

На ранних этапах атаки, связанных с получением доступа и первоначальным закреплением, злоумышленники, как правило, скрываются на том хосте, на который им изначально удалось проникнуть. Чаще всего это узлы на периметре сети или в DMZ — части сети с публичной IP‑адресацией, отделенной и от интернета, и от внутренней сети организации межсетевым экраном. Это почтовые серверы, серверы веб‑приложений, VPN‑шлюзы или системы, обслуживаемые подрядчиками. Такие хосты доступны извне, регулярно взаимодействуют с внешней средой и потому представляют собой удобную точку входа для атакующих.

Если же злоумышленникам удалось повысить привилегии и получить более глубокий контроль над инфраструктурой, они стремятся закрепиться в ключевых системах организации. В первую очередь это доменные контроллеры, системы виртуализации и серверы резервного копирования. Контроль над этими узлами позволяет атакующим управлять учетными записями, влиять на всю IT‑инфраструктуру компании.

Внутри самих систем механизмы закрепления чаще всего реализуются через автозапуск‑службы, задания планировщика, изменения в конфигурации или легитимные механизмы инициализации приложений. Это позволяет вредоносному коду автоматически запускаться даже после перезагрузки и подолгу сохранять доступ к системе.

По данным исследования Threat Zone 2026, в целях шпионажа совершается 37% всех атак, нацеленных на российские организации. Шпионские кластеры активно используют легитимные инструменты, а также ВПО собственной разработки. Все это позволяет им эффективнее обходить средства защиты и дольше оставаться в инфраструктуре незамеченными.