Главные угрозы для корпоративных сетей в 2026 году
В последнюю пару лет киберугрозы перестали развиваться линейно. Инфраструктуры усложнились быстрее, чем успели обновиться процессы безопасности: облака стали основой ИТ‑ландшафта, подрядчики — частью внутренних контуров, а ИИ — обычным инструментом не только для бизнеса, но и для атакующих.
При этом характер инцидентов изменился. Всё чаще атаки начинаются с того, что раньше считалось операционной мелочью: тестовый сервис, оставленный в облаке; доступ подрядчика, который никто не пересматривал; IoT‑устройство, работающее на прошивке пятилетней давности. Эти точки входа уже не исключение, а закономерность.
В статье разбираем пять направлений, которые определяют киберриски 2026 года, и показываем, как они проявляются в реальных инцидентах.
Содержание
- ИИ как инструмент атакующих
- Давление на бизнес через Ransomware
- Кража учётных данных
- Атаки на цепочки поставок (Supply Chain)
- Уязвимости IoT и облачных инфраструктур
ИИ как инструмент атакующих
Известные случаи в РФ:
-
Голосовые дипфейки генеральных директоров для бухгалтерии — операторы связи зафиксировали схемы с автоматическим синтезом голоса топ-менеджеров из их видео на YouTube для подтверждения платежей.
-
Взлом и рассылка видеокружков-подделок в Telegram — злоумышленники «угоняют» аккаунты руководителей, перехватывают старое видео и нейросетью генерируют реалистичные видеокружки с фальшивыми срочными поручениями.
-
Имитация легитимных повесток ведомств (волна рассылок BO Team) — скоординированные атаки 2025–26 годов на российский ИТ-, медицинский и промышленный сектор. Письма генерируются ИИ-инструментами с упоминанием реальных законов, проверок и административной ответственности конкретной отрасли, что заставляет сотрудников верить в подлинность и открывать вложения.
ИИ позволил резко сократить время подготовки и повысить точность атак
В 2026‑м такие атаки стали массовыми, потому что модели обучаются на огромных массивах данных, включая корпоративные документы, попавшие в открытый доступ.
В 2025 году несколько европейских компаний столкнулись с фишингом, который был неотличим от внутренней переписки: письма копировали стиль конкретных сотрудников, ссылались на проекты, упоминали детали, которые могли быть известны только из утёкших почтовых архивов.
ИИ также изменил разведку
Раньше злоумышленникам требовались дни, чтобы изучить инфраструктуру жертвы. Теперь модели автоматически собирают данные из открытых источников, сопоставляют конфигурации облачных сервисов, анализируют DNS‑записи и находят забытые тестовые окружения.
В 2025 году одна финтех‑компания обнаружила, что злоумышленники использовали API‑ключ всего через несколько часов после его появления в облаке. Таким образом, окно между ошибкой и попыткой эксплуатации уже практически исчезло.
Отдельное направление — дипфейки
Дипфейки стали частью многоходовых схем: сначала фишинговое письмо, затем звонок с поддельным голосом, затем попытка обойти многофакторную аутентификацию через голосовое подтверждение. Подделка стала технически качественной и не вызывает подозрений у сотрудников.
В 2025 году в Азии был зафиксирован инцидент, когда бухгалтер перевёл деньги после видеозвонка с «руководителем», который оказался синтезированным.
Главное изменение — масштаб. ИИ делает атаки одновременно массовыми и персонализированными. Модели генерируют сотни вариантов писем, подбирают эксплойты под конкретные сервисы, создают вредоносные вложения и адаптируют сценарий в зависимости от реакции жертвы. Стоимость атаки падает, а качество — растёт. Атаки стали происходить быстрее, точнее и в гораздо большем объёме.
Давление на бизнес через Ransomware
Известные случаи в РФ:
-
Тотальный взлом логистической ИТ-инфраструктуры СДЭК — паралич работы всех пунктов выдачи и трекинга посылок в мае 2024 года, вызванный проникновением и шифрованием данных группировкой Head Mare.
-
Маскировка политических вайперов под вымогательство — атаки группировки Twelve, которая шифровала и безвозвратно уничтожала ИТ-системы крупных российских предприятий без реальной цели получить выкуп.
-
Таргетированное вымогательство группы Muliaka — быстрые разрушительные атаки шифровальщиков на ИТ-контуры крупных ритейлеров с глубоким пониманием сетевой архитектуры жертвы.
Ransomware стал инструментом давления на бизнес‑процессы. Злоумышленники всё реже ограничиваются шифрованием данных и всё чаще выстраивают атаки вокруг уязвимых моментов в работе компании.
В 2025 году один из крупных ритейлеров в Европе столкнулся с атакой за сутки до запуска сезонной распродажи — злоумышленники явно понимали, что даже несколько часов простоя обойдутся дороже, чем выкуп. В итоге компания восстановила инфраструктуру из резервных копий, но потеряла часть транзакций и вынуждена была переносить маркетинговые активности.
Другой показатель — рост атак, где выкуп не является целью
В энергетическом секторе были зафиксированы случаи, когда под видом вымогателей использовались стиратели: инфраструктура была уничтожена, а требования выкупа служили лишь прикрытием.
В 2026 году такие сценарии встречаются всё чаще, особенно в отраслях, связанных с критически важными сервисами. Инцидент с «вирусом-вымогателем» больше нельзя автоматически считать попыткой заработать — он может быть частью операции, направленной на нарушение работы компании.
Отдельная проблема — первичный доступ
Большинство крупных атак 2025 года начинались не со взлома, а с покупки учётных данных у брокеров.
В 2026‑м эта модель стала доминирующей: злоумышленники получают доступ к VPN или облачным аккаунтам и сразу переходят к развертыванию атаки. Это сокращает время подготовки и делает атаки более точными: они начинаются внутри инфраструктуры, а не снаружи.
Но главное изменение — последствия
Даже компании с надёжным и автономным резервным копированием сталкиваются с тем, что восстановление занимает недели.
В 2024–25 годах среднее время простоя после крупных атак составляло от 7 до 21 дня, и в 2026‑м эта цифра почти не изменилась. Причина — сложность современных архитектур: десятки сервисов, интеграции с подрядчиками, распределённые команды, зависимость от облаков. Восстановить данные — не проблема; восстановить работу — гораздо сложнее.
Ransomware в 2026 году уже не про шифрование. Скорее про выбор момента, понимание бизнес‑процессов и использование слабых мест в операционной модели компании. И именно поэтому он остаётся одним из самых дорогих типов инцидентов: ущерб формируется не техническим воздействием, а остановкой бизнеса.
Кража учётных данных
Известные случаи в РФ:
-
Масштабный взлом логистического оператора СДЭК — хакеры проникли в сеть крупного логистического оператора через фишинг и учётные записи подрядчиков. Они неделями скрытно изучали систему, после чего зашифровали данные и парализовали сервис.
-
Компрометация учетных записей ИТ-инфраструктуры «Аэрофлота» — точкой входа послужила массовая компрометация учётных записей сотрудников (включая использование утекших паролей и перехват авторизационных токенов удаленщиков). Получив валидные доступы, хакеры смогли проникнуть глубоко во внутренний контур и похитить персональные данные персонала.
-
Волна MFA-бомбардировок (MFA Fatigue) против корпоративного сектора РФ — российские ИБ-компании зафиксировали массовые атаки класса Prompt Bombing. Хакеры использовали утекшие пароли из даркнета и слали сотни ночных push-запросов, вынуждая сотрудников подтверждать вход.
В 2026 году большинство серьёзных инцидентов начинается не с технического взлома, а с использования легитимных учётных данных. Компании начали фиксировать атаки, в которых злоумышленники входили в инфраструктуру так же, как обычные сотрудники: через VPN, облачные панели, корпоративную почту.
В одном из случаев доступ к внутренним системам крупного логистического оператора был получен через учётную запись подрядчика, который давно завершил проект, но его доступ никто не отозвал. Атака развивалась несколько недель, потому что действия злоумышленников выглядели как обычная работа внешнего специалиста.
Параллельно выросло количество атак, связанных с обходом многофакторной аутентификации
В 2025 году несколько компаний в США столкнулись с так называемыми MFA‑атаками усталости: злоумышленники заваливали сотрудника push‑уведомлениями, рассчитывая на случайное подтверждение.
В одном из инцидентов сотрудник подтвердил вход ночью, решив, что это сбой системы. В 2026‑м такие атаки стали настолько частыми, что компании начали пересматривать сами механизмы подтверждения, переходя на методы, которые невозможно «прокликать» автоматически.
Отдельная проблема — рынок первичного доступа
В 2025 году исследователи зафиксировали резкий рост предложений на даркнет‑площадках, где продавались доступы к корпоративным VPN, облачным аккаунтам и RDP‑серверам.
Злоумышленники больше не тратят время на проникновение, а покупают готовый вход. Это делает атаки быстрее и точнее: они начинаются внутри инфраструктуры, а не снаружи, и часто проходят незамеченными до момента, когда злоумышленники переходят к активной фазе.
Ситуацию усложняет распределённая работа
Сотрудники используют личные устройства, подключаются из разных сетей, работают с подрядчиками, которые имеют доступ к тем же ресурсам.
Злоумышленники могут получить доступ к корпоративной системе через ноутбук сотрудника, который использует его и для работы, и для личных задач. Для этого достаточно заразить устройство вирусом, который перехватит токены авторизации.
Главная проблема — в том, что инфраструктуры компаний в последние годы стали сложнее. Учётных записей больше, чем когда‑либо; доступы выдаются десяткам подрядчиков; сервисные аккаунты живут годами; аутентификация распределена между облаками и локальными системами. В такой среде компрометация одной учётной записи может дать злоумышленнику доступ к критичным ресурсам, даже если формально она имеет ограниченные права.
Атаки на цепочки поставок (Supply Chain)
Известные случаи в РФ:
-
Массовые взломы через устаревшие решения для CMS 1С-Битрикс — хакеры провели несколько волн массовых атак на сайты и веб-студии. Эксплуатируя критические уязвимости в популярных готовых шаблонах (например, «Аспро») и сторонних модулях, злоумышленники смогли массово заразить вредоносным кодом сотни сайтов корпоративных клиентов.
-
Взлом подрядчика крупного системно значимого банка группировкой RedCurl — после неудачной прямой атаки на защищенный периметр одного из ведущих российских банков хакеры перенаправили удар на его ИТ-подрядчика. Взломав рабочий компьютер сотрудника подрядной организации (через фишинг), злоумышленники получили легитимный доступ к общим сетевым дискам и критической документации самого банка.
Атаки на цепочки поставок стали одним из самых неприятных типов инцидентов для компаний, потому что они происходят не из‑за слабостей внутри организации, а из‑за уязвимостей у партнёров, подрядчиков и разработчиков ПО. В 2024–25 годах несколько крупных инцидентов начались с компрометации сторонних сервисов.
Один из случаев, когда цепочка поставок ПО стала реальной точкой уязвимости:
В 2025 году у производственной компании в Германии злоумышленники внедрили вредоносный код в обновление ПО для промышленного оборудования, которое поставлял сторонний вендор.
Обновление было установлено автоматически, и зловред получил доступ к сегменту, который обычно изолирован от внешних сетей. Инцидент выявили только после того, как начали фиксировать аномалии в работе оборудования.
Отдельная проблема — небольшие подрядчики, имеющие доступ к критичным ресурсам.
В 2024 году злоумышленники получили доступ к облачному аккаунту рекламного агентства, а затем использовали интеграцию для входа в корпоративную систему крупного банка, который был клиентом агентства.
В 2026‑м такие сценарии встречаются всё чаще, потому что экосистемы компаний растут, а требования к безопасности подрядчиков не всегда успевают за этим ростом.
Главная особенность supply chain‑атак в 2026 году — их «невидимость». Компания может инвестировать в защиту, проводить аудит, обновлять инфраструктуру, но при этом оставаться уязвимой из‑за слабого звена в экосистеме. И именно поэтому контроль прав подрядчиков, оценка поставщиков, мониторинг обновлений и постоянная инвентаризация интеграций уже не рекомендации, а необходимость.
Уязвимости IoT и облачных инфраструктур
Известные случаи в РФ:
-
Утечка данных клиентов «Детского мира» из-за публичных S3-бакетов — в открытый доступ попали персональные данные 1,2 млн. клиентов ритейлера. По оценкам ИБ-аналитиков, инцидент произошел из-за ошибок в настройках прав доступа к резервным облачным хранилищам.
-
Массовый взлом роутеров Keenetic для атак на российские компании — производитель сетевого оборудования официально признал факт успешной хакерской атаки на базы данных своего мобильного приложения.
Компании всё чаще сталкиваются с инцидентами, которые начинаются не с целевой атаки, а с обычной операционной небрежности: забытый облачный бакет, тестовый сервис, оставленный после пилота, или IoT‑устройство, которое никто не обновлял с момента установки. Эти точки входа долгое время считались второстепенными, но именно они стали причиной заметных инцидентов в последние годы.
Один из характерных примеров — утечки данных через некорректно настроенные облачные хранилища. В 2025 году несколько компаний в США обнаружили, что внутренние бакеты оказались доступны без авторизации. В одном случае тестовое хранилище, созданное для временного проекта, содержало логи с токенами доступа, и злоумышленники использовали их для входа во внутренний сервис. В 2026‑м такие ситуации происходят регулярно: количество облачных ресурсов растёт быстрее, чем процессы их инвентаризации.
IoT‑оборудование стало ещё одной точкой риска
Камеры наблюдения, принтеры, системы контроля доступа — всё это давно подключено к корпоративным сетям, но редко обновляется.
Атака может начаться с уязвимой IP‑камеры: злоумышленники использую её как точку закрепления, а затем перемещаются в сегмент с серверами приложений.
И подобные сценарии встречаются всё чаще, потому что IoT‑устройства имеют сетевую видимость, но почти никогда — зрелые механизмы защиты.
Сложность облачных конфигураций тоже играет свою роль
В крупных организациях десятки команд создают сервисы, роли и политики доступа.
Ошибка в одной политике IAM может дать злоумышленнику доступ к ресурсам, которые формально защищены.
Злоумышленники могут использовать унаследованные сервисные аккаунты, созданные для старых интеграций. Это одна из самых частых причин инцидентов в облаках.
Главная особенность IoT и облаков в 2026 году — их «невидимость» для классических процессов безопасности. Тестовые окружения живут дольше, чем должны; сервисные аккаунты получают больше прав, чем требуется; IoT‑устройства работают на прошивках, которые никто не отслеживает. И именно поэтому компании, которые успешно снижают количество инцидентов, делают ставку на автоматизированный аудит конфигураций, строгий контроль сервисных аккаунтов, регулярное обновление IoT‑оборудования и инвентаризацию всех облачных ресурсов, включая временные.
* * *
Общий вывод прост: угрозы стали ближе к реальной операционной деятельности. Они развиваются там, где есть скорость, распределённость, человеческий фактор и зависимость от внешних сервисов. Поэтому в 2026 году ключевым становится не набор технологий, а способность компании видеть свою инфраструктуру целиком — со всеми временными сервисами, подрядчиками, облачными ресурсами, IoT‑устройствами и учётными записями, которые живут дольше, чем должны.
Компании, которые успешно снижают риски, делают ставку не на «идеальный периметр», а на постоянный контроль изменений: