Хакеры нацелились на юг

Юг России остается в фокусе повышенного внимания киберпреступников, которые не только наращивают мощность и продолжительность атак, но и смещают векторы ударов на ключевые отрасли макрорегиона. С начала 2026 года отражено 470 таких нападений. Эксперты сходятся во мнении, что стремительный рост и усложнение киберугроз вызваны логистической и аграрной значимостью ЮФО, а также форсированным импортозамещением и активизацией ИИ. Однако ключевой уязвимостью бизнеса остаются не хакерские спецоперации, а пренебрежение базовой кибергигиеной — от открытых портов и слабых паролей до «беззащитных» ИТ-подрядчиков.

Выйти из полноэкранного режима

Развернуть на весь экран

С начала 2026 года специалисты отразили более 470 кибератак на инфраструктуру компаний Южного федерального округа. Как сообщили Guide в пресс-службе Red Security (входит в группу компаний МТС), порядка 6% инцидентов от общего числа пришлись на Краснодарский край. По данным экспертов компании, наиболее уязвимыми в регионе оказались пищевая промышленность, агропром и телекоммуникационный сектор. Одна из самых продолжительных атак велась более 64 часов подряд, а пиковая мощность наиболее агрессивного налета достигала почти 600 Гбит/с — это одно из рекордных значений по России за первое полугодие.

При этом в госсекторе статистика демонстрирует обратный тренд. В департаменте информатизации и связи Краснодарского края рассказали, что количество зарегистрированных Центром мониторинга информационной безопасности киберинцидентов (кибератак на цифровую инфраструктуру, находящуюся в ведении органов власти региона) в первом полугодии 2026 года снизилось на 27,3% год к году — до 32 случаев против 44 годом ранее. Положительную динамику в ведомстве связывают с комплексной работой: выполнением требований Федеральной службы по техническому и экспортному контролю России, точечной настройкой средств защиты и межсетевых экранов, а также повышением общей дисциплины пользователей.

Высокий уровень агрессии последних лет эксперты объясняют совокупностью факторов: геополитической напряженностью, ростом числа идеологически мотивированных атак, массовыми утечками учетных данных, развитием автоматизированного фишинга и использованием устаревшего ПО.

Изменилась и структура угроз. В краевом департаменте отмечают, что главным инструментом взломщиков в первом полугодии стал компрометированный удаленный доступ через сервисы AnyDesk, Radmin и AeroAdmin — на них пришлось 43,8% всех инцидентов (14 случаев из 32). Еще 37,5% (12 случаев) составили скрытые криптомайнеры. Доля фишинга и спама зафиксировалась на отметке 6,3%, вредоносного программного обеспечения (ПО) без уточнения категории — 6,2%, а несанкционированные подключения к Wi-Fi и использование прокси заняли по 3,1%. При этом число случаев прямого заражения вирусами и троянами сократилось почти вдвое — с 25 до 14 случаев, уступив место нарушениям внутренних политик безопасности.

Каскадный эффект

Повышенный инте­­­­рес злоумышленников к югу обусловлен его ключевой функцией: макрорегион выступает главным логистическим и аграрным узлом страны. Председатель Ассоциации цифрового развития Краснодарского края Сергей Грабский объяснил, что атака на морские порты, НПЗ, зерновые терминалы, транспортные артерии или туристический сектор дает каскадный эффект сразу на несколько смежных отраслей, обеспечивая хакерам максимальный резонанс при минимальных затратах.

В качестве доказательства эксперт привел данные Роскомнадзора: в первом полугодии 2026 года в Краснодарском крае, Ростовской области и Ставропольском крае зафиксирована 51 DDoS-атака против 17 за аналогичный период прошлого года. При этом на Кубани некоторые кибернападения длились до пяти суток, что указывает, по мнению Сергея Грабского, на подготовку спланированной операции с солидным бюджетом.

Главным драйвером угрозы выступают не только геополитика, но и форсированные темпы цифровизации с импортозамещением. Как считает Сергей Грабский, переход на отечественное ПО часто идет в сжатые сроки и без должного аудита защищенности, из-за чего бизнес расширяет «поверхность атаки» быстрее, чем успевает закрывать уязвимости. «Уберите геополитический фактор — атаки не исчезнут, они просто станут коммерческими. Хактивист переобувается в вымогателя за одну ночь»,— уверен глава ассоциации.

Особой мишенью на Кубани выступает агропромышленный комплекс. По данным «Информзащиты», средненедельное число инцидентов в АПК в начале 2026 года выросло на 76%, а средний чек на восстановление инфраструктуры превысил $1,7 млн. Злоумышленники бьют прицельно в разгар посевной или уборочной кампаний, когда любой простой обходится предприятию максимально дорого.

Параллельно меняется и сам характер угроз. Сергей Грабский фиксирует смещение акцента с громких, но дешевых DDoS-атак в сторону шифровальщиков, вайперов (инструментов тотального уничтожения данных) и проникновения через подрядчиков. Новым рычагом в руках хакеров стал искусственный интеллект: вредоносное ПО все чаще маскируют под популярные нейросети вроде ChatGPT, Claude и DeepSeek (по данным «Лаборатории Касперского», число таких атак на бизнес по России с января по апрель 2026 года выросло почти в пять раз), а в социальной инженерии активно применяется дипфейк-вишинг — звонки топ-менеджеров с синтезированным голосом и требованием срочной оплаты.

«Принципиально новый вектор ровно один — ваш подрядчик. Можно вложить 20 млн руб. в свой периметр и потерять все через компанию, которая обслуживает вам видеонаблюдение за 40 тыс. руб. в месяц»,— предупреждает Сергей Грабский.

Дополнительным фактором риска становятся и новые жесткие оборотные штрафы за утечку персональных данных. По мнению эксперта, законодательное ужесточение неожиданно сыграло на руку вымогателям: шантажируя бизнес угрозой многомиллионных штрафов от регулятора, хакеры предлагают скрывать факт утечки за меньшую сумму, превращая штрафные санкции в готовый прайс-лист для шантажа.

Жертвы веерных атак

Если крупные корпорации сталкиваются с целевым уничтожением инфраструктуры, то малый и средний бизнес чаще становится жертвой веерных атак. По словам основателя краснодарской ИТ-компании «Виртуальный офис» Андрея Шиневского, резкого роста числа атак в этом сегменте не наблюдается, однако их последствия стали значительно тяжелее. Эксперт подчеркивает, что массовый поток угроз не имеет географической привязки. Роботы-сканеры круглосуточно перебирают IP-адреса в поисках открытого удаленного доступа, устаревших роутеров или слабых паролей.

«Это как автоугонщик, который идет вдоль улицы и дергает ручки: ему не важно, чья машина, важно — какая открыта. У малого бизнеса причина взлома почти всегда одна — не спецоперация против них, а открытый наружу удаленный доступ и пароль, который не меняли пять лет»,— заявил Андрей Шиневский.

Главной мишенью в малом бизнесе остаются серверы 1С, учетные записи и почта. При этом злоумышленники меняют тактику: шифровальщики сначала выслеживают и уничтожают резервные копии, и лишь затем блокируют данные. Кроме того, хакеры все чаще отказываются от вымогательства выкупа, переходя к тотальному уничтожению информации.

Среди ключевых векторов риска эксперт выделяет социальную инженерию, усиленную искусственным интеллектом, а также смену банковских реквизитов через перехваченную переписку. В связи с этим в компании рекомендуют внедрять базовую дисциплину: «правило второго канала» для подтверждения платежей, использование VPN с двухфакторной аутентификацией и регулярную физическую изоляцию резервных копий от сети.

«Малый бизнес обычно думает: кому мы нужны, у нас ничего интересного. Это самое дорогое заблуждение в отрасли. Вас никто и не выбирал — вас нашел робот. Вопрос не в том, интересны ли вы злоумышленнику, а в том, закрыта ли у вас дверь»,— резюмирует Андрей Шиневский.

По оценке краснодарского ИТ-эксперта Марии Колтович, под прицелом сканеров оказываются абсолютно все сферы — торговля, производство, медицина или аутсорсинг, поскольку злоумышленников интересует не профиль компании, а архитектурные уязвимости ее ИТ-инфраструктуры.

Критически уязвимой точкой для кубанских предпринимателей остаются серверы «1С», где сосредоточена финансовая и операционная жизнедеятельность фирм. Парализация системы ведет к моментальной остановке бизнеса. При этом алгоритм атак усложнился: вредоносное ПО способно неделями скрытно действовать в сети, выслеживая и уничтожая копии перед нанесением основного удара.

Дополнительную угрозу представляет перехват корпоративной переписки и неизолированные RDP-протоколы, оставшиеся со времен пандемии. «Корпоративную почту все чаще не взламывают ради спама, а ставят на скрытый мониторинг. Злоумышленники месяцами читают переписку с поставщиками, а в момент крупной сделки присылают поддельное письмо с "актуализированными" реквизитами. Бухгалтерия переводит деньги мошенникам добровольно»,— рассказывает Мария Колтович.

Кубанский бизнес реагирует на риски деньгами. По данным «ТендерПро», объем коммерческих закупок услуг информационной безопасности в Краснодарском крае с апреля 2025 по апрель 2026 года вырос на 30%, выведя регион на третье место в России по доле таких торгов — вслед за Москвой и Санкт-Петербургом. При этом наибольший прирост спроса зафиксирован в сегментах киберразведки и мониторинга угроз (32,4%), а также систем обнаружения и реагирования (27,7%).

Выйти из полноэкранного режима

Развернуть на весь экран

Доступ несанкционирован

Опе­­­ра­­­торы связи и провайдеры цифровых услуг также фиксируют высокий уровень киберрисков. В «МегаФоне», относящемся к субъектам критической информационной инфраструктуры, сообщили, что почти половина инцидентов, выявляемых Центром мониторинга и реагирования на инциденты (SOC) в России, связана с системными манипуляциями, чуть менее трети — с попытками получить несанкционированный доступ к данным, а около 20% — с сетевой разведкой. На вирусные угрозы приходится менее 5%, однако аналитики оператора относят их к категории наиболее опасных.

Кроме того, по информации «МегаФона», число фишинговых атак год к году постепенно снижается, сокращается и продолжительность кампаний (сейчас она составляет в среднем 1 час 45 мин.). Однако результаты тренировочных фишинговых рассылок показывают сохраняющуюся уязвимость персонала: около 40% сотрудников все еще переходят по подозрительным ссылкам, 10% вводят конфиденциальные данные на тестовых страницах, а 9% открывают потенциально опасные вложения.

«Цель мошенников — получить доступ к данным и деньгам, и они используют уязвимость людей: опираются на привычное доверие и ловят на невнимательности. Для противодействия этим угрозам мы используем комплексный подход: на уровне сети осуществляется непрерывный мониторинг трафика, пользователи получают предупреждения при попытке перехода на фишинговые ресурсы, выявляется вредоносное ПО на устройствах и блокируется его взаимодействие с управляющими серверами»,— рассказывает директор «МегаФона» в Краснодарском крае и Республике Адыгея Андрей Холодов.

В «Ростелекоме» повышенный интерес киберпреступников к южным регионам напрямую связывают со стратегическим статусом макрорегиона. По словам директора по управлению и контролю информационной безопасности компании Михаила Савельева, дестабилизация работы связи, логистических узлов или агропромышленного комплекса юга способна вызвать ощутимый эхо-эффект на продовольственном рынке и в экономике всей страны. При этом в зоне риска находятся любые системы, имеющие выход в сеть.

Особую опасность, уточняет эксперт, представляют «спящие» угрозы, когда злоумышленники скрытно закрепляются во внутренней ИТ-инфраструктуре компании и выжидают момент для деструктивного удара. Главными уязвимостями бизнеса остаются задержки в установке обновлений, ошибки конфигурации и доступность админ-панелей из интернета.

«Среднестатистическим российским компаниям еще есть куда расти в плане повышения уровня защищенности. Стандартные проблемы с обновлениями, ошибки конфигурации и халатность, в результате которой интерфейсы управления становятся доступны "прямо из интернета",— вот то, что открывает злоумышленникам путь к инфраструктуре»,— заявил Михаил Савельев.

Существенного роста утечек персональных данных в крае на основании открытой статистики в «Ростелекоме» пока не отмечают. Вместе с тем там обращают внимание на другой риск — возможный вынос корпоративной информации (клиентских баз и коммерческих наработок) сотрудниками при увольнении. Для минимизации угроз эксперты рекомендуют соблюдать базовую кибергигиену: использовать антивирусную защиту, двухфакторную аутентификацию (2FA) и регулярный аудит уязвимостей.

Нурий Бзасежев