IT-подрядчикам дали паузу

Внимание банков к защите подрядчиков значительно выросло, тогда как доля кредитных организаций, где безопасность филиалов ниже, чем в головном офисе, увеличилась. Это ведет к тому, что фокус интереса хакеров смещается: с контрагентов банков они переключаются на периферийные офисы, что может стать основой для атак всей экосистемы банка.

Выйти из полноэкранного режима

Развернуть на весь экран

Банки стали уделять больше внимания безопасности подрядчиков, следует из данных RED Security SOC. По итогам четырех месяцев 2026 года доля кредитных организаций, которые проверяют защищенность IT-компаний с прямым доступом к банковской инфраструктуре, увеличилась на 6 процентных пунктов (п. п.), до 24%. Банки стали включать в договоры и тендеры требования по ИБ, запрашивать результаты проводимых аудитов и исследований защищенности у компаний, с которыми планируют сотрудничество, поясняет технический директор центра мониторинга и реагирования на кибератаки RED Security SOC Владимир Зуев. Однако банкиры отмечают, что проверять защищенность периметра или отдельных компонентов инфраструктуры IT-компаний возможно только при наличии письменного согласия их руководства. По словам замначальника департамента защиты информации Газпромбанка Алексея Плешкова, «со стороны IT-компаний часто возникают встречные условия, которые не позволяют банкам в полном объеме проверять или гарантированно подтверждать их защищенность».

Как поясняют специалисты по информационной безопасности, взломать подрядчика гораздо проще и дешевле, поскольку большинство выполняют узконаправленные работы и не обладают достаточным бюджетом на собственную ИБ.

Этим пользуются злоумышленники, проникая в чувствительные системы заказчиков из финсектора (см. “Ъ” от 22 апреля). По результатам расследования сложных кибератак центра исследования киберугроз Solar 4RAYS ГК «Солар», в 2025 году доля инцидентов, начинавшихся со взлома подрядчиков, выросла в 4 раза, до 24%.

Параллельно сами банки стали относиться внимательнее к вопросам оценки защищенности третьих лиц, потому что риски атак через цепочки доверия из теоретического сценария давно превратились во вполне практическую угрозу, отмечает директор по консалтингу Positive Technologies Юлия Воронова. По словам руководителя департамента кибербезопасности Альфа-банка Сергея Крамаренко, любые компании, которые подключаются к инфраструктуре банка, проходят проверку и обязаны соблюдать требования кибербезопасности банка, включая использование определенных средств защиты, при этом количество партнеров, имеющих прямые технологические интеграции и доступ к инфраструктурным контурам банка, ограничено.

Вместе с тем, по данным RED Security SOC, доля банков, где уровень киберзащиты в региональных отделениях оставался на уровне головного офиса, снизилась на 8 п. п., до 52%. В филиалах информационная безопасность часто слабее, чем в головной организации, в связи с дефицитом кадров и более низким уровнем их зрелости, поясняют эксперты. Атакующие все чаще ищут точки входа там, где вероятность успешного проникновения выше,— в территориально распределенных структурах и филиалах, указывает госпожа Воронова. Однако, как считает глава комитета по информбезопасности Ассоциации российских банков Андрей Федорец, филиальная сеть хуже сопровождается с точки зрения качества IT и ИБ, «но этого более чем достаточно». По словам господина Крамаренко, в Альфа-банке используются единые централизованные подходы, одинаковые процессы, средства защиты и защищенные каналы связи.

Кроме того, из данных RED Security SOC следует, что 55% банков используют в своей инфраструктуре только унаследованные системы собственной разработки, которые не обновляются и не соответствуют современным требованиям к информационной безопасности. Такие системы зачастую содержат незакрытые уязвимости, которые злоумышленники могут использовать для проникновения во внутреннюю сеть, получения доступа к финансовым данным клиентов или нарушения работы платежных сервисов, уточняет господин Зуев.

При этом банкиры указывают, что причины такого наследования чаще всего экономические — на рынке не представлены альтернативные решения, выполняющие реализованный функционал, стоимость заказной разработки у внешней IT-компании слишком высокая, банк сохранил команду разработчиков. Вместе с тем, как отмечает Алексей Плешков, унаследованные системы могут содержать в себе не только уникальный функционал, «но и букет операционных рисков и рисков информационной безопасности». Поэтому выставлять унаследованные IT-системы собственной разработки во внешний контур — «это не самое безопасное решение для банков», отмечает эксперт.

Юлия Пославская