Почему защита начинается до атаки
Для многих компаний кибербезопасность — это, в первую очередь, защита внутренней ИТ‑инфраструктуры: компьютеров сотрудников, серверов, корпоративной почты, сайтов, облачных сервисов и рабочих программ. Поэтому они устанавливают антивирусы, настраивают права доступа, устраняют уязвимости, контролируют сетевую активность и обучают сотрудников распознавать подозрительные письма.Все эти меры необходимы. Они помогают заметить атаку, остановить вредоносную программу или ограничить ее распространение внутри компании. Например, антивирус может обнаружить зараженный файл, а разделение сети на отдельные сегменты — помешать преступнику после взлома одного компьютера получить доступ ко всем системам сразу.
Однако это реакция на действия злоумышленников уже внутри инфраструктуры. Между тем до попытки прямого входа в корпоративную сеть злоумышленники изучают данные о компании в открытых источниках сети Интернет и Даркнете, где, помимо прочего, распространяются украденные данные.
Совокупность сведений, которые можно найти о компании в сети Интернет, называют цифровым следом. В него могут входить корпоративные адреса электронной почты, сведения о сотрудниках и вакансиях, домены и поддомены (включая сайты компании), публично доступные серверы и приложения, документы, упоминания в соцсетях и мессенджерах. Иногда в таких источниках оказываются чувствительные данные: пароли, ключи доступа, служебная информация или фрагменты программного кода с секретами компании. Чем больше такой информации доступно без контроля — тем проще злоумышленнику выбрать цель и подготовить убедительный сценарий атаки
При этом злоумышленнику не всегда нужно «взламывать» компанию в привычном смысле. Иногда достаточно получить действующий логин и пароль сотрудника или подрядчика организации. По данным исследования Angara Security «От реагирования к предотвращению: инциденты 2025», у 59% исследованных компаний были обнаружены скомпрометированные корпоративные учетные записи — то есть данные, которые могут быть использованы для входа в рабочие сервисы. В 27% таких случаев вместе с логином был скомпрометирован и пароль. Это на 23% больше, чем годом ранее.
Фишинг — это письма и сообщения, которые маскируются под обращения от коллег, партнеров, банков, государственных органов или ИТ‑службы. Их цель — убедить человека перейти по ссылке, открыть вложение или ввести данные для входа в корпоративную учетную запись на поддельном сайте. Получив рабочий логин и пароль, злоумышленник может попытаться войти в корпоративные сервисы от имени реального сотрудника. Для базовых средств защиты информации такая активность нередко выглядит как обычная рабочая сессия: используется существующая учетная запись, а не явно вредоносная программа.
Кто в зоне риска
В зоне риска находится любая организация. Однако особенно уязвимы компании с разветвленной цифровой средой: несколькими сайтами и облачными сервисами, удаленными сотрудниками, большим числом учетных записей, филиалами и подрядчиками. Риск возрастает, если компания активно привлекает внешних ИТ‑специалистов, разработчиков, агентства, поставщиков или сервисные организации. Каждый новый подрядчик, которому предоставляют доступ к рабочим системам, расширяет число потенциальных точек входа для злоумышленников.Отдельного внимания требуют подрядчики. Им часто предоставляют удаленный доступ к внутренним системам, однако такие права могут быть шире, чем требуется для решения конкретной задачи. Если данные для входа подрядчика окажутся у злоумышленников, под угрозой могут оказаться не только системы самого подрядчика, но и инфраструктура его клиентов. Поэтому доступ внешних специалистов стоит ограничивать по времени и набору разрешенных действий. Вход в критически важные сервисы желательно дополнительно защищать вторым фактором: например, одноразовым кодом в приложении или аппаратным ключом. Даже если пароль попадет в чужие руки, без такого подтверждения войти в систему будет значительно сложнее.
Риск создают и повседневные рабочие практики. Пароли, ключи доступа к облачным сервисам и токены — цифровые «пропуска», подтверждающие право работать с системой, — могут случайно оказаться в публичном репозитории кода, файлообменнике, публичном чате или незащищенном сообщении в мессенджере. В утечки также попадают корпоративные адреса электронной почты и пароли к ним. Если украденный пароль не подходит к указанной рабочей почте — его могут попытаться использовать в альтернативных сервисах. Многие люди по привычке повторно используют одни и те же пароли в нескольких учетных записях, в том числе для личных и рабочих задач.
Telegram и другие мессенджеры требуют особой осторожности. В рабочих чатах нередко обсуждают рабочие проекты, клиентов, внутренние организационные процессы и технические детали. При неверных настройках конфиденциальности такие группы или их содержимое могут стать доступными для посторонних. Даже если в переписке нет паролей, эта информация может помочь злоумышленникам составить правдоподобное фишинговое письмо. Например, обратиться к сотруднику по имени, упомянуть реальный проект, использовать название компании‑клиента или выдать себя за знакомого подрядчика.
Не менее важен репутационный риск. Мошенники могут создать сайт или страницу в соцсетях, внешне похожие на официальный ресурс компании, использовать ее логотип, фирменные цвета и название. На таких страницах у клиентов выманивают логины, пароли, данные банковских карт и персональные сведения, продают несуществующие услуги или контрафактные товары. В результате финансовые и репутационные потери несет не только пострадавший клиент, но и сам бренд.
Другой сценарий — распространение ложной информации о компании или ее сотрудниках. В социальных сетях, мессенджерах и новостных ресурсах такие сообщения могут быстро охватить широкую аудиторию. Поэтому киберриски, в принципе, нельзя сводить только к защите серверов и рабочих компьютеров.
Часть угроз возникает и развивается за пределами корпоративной сети — там, где компания может не видеть происходящее.
Как отслеживать цифровой след
Контроль цифрового следа помогает замечать признаки угрозы еще до того, как она превратится в полноценный инцидент. Это регулярная проверка компании на наличие общедоступной в сети Интернет информации о ее сотрудниках, системах, подрядчиках и бренде — как в открытом доступе, так и в специализированных теневых источниках, где зачастую распространяются и украденные данные.Такой мониторинг помогает выявлять:
-
иметь базовые знания в реверс‑инжиниринге и отладке (будет много про IDA и WinDbg)
-
иметь базовое представление о работе драйверов в ОС Windows
-
иметь желание прокачаться в эксплуатации уязвимостей в драйверах:)
При этом важно понимать: обнаруженный сигнал еще не всегда означает, что компания уже стала жертвой атаки. Например, найденный в интернете адрес электронной почты сам по себе не является инцидентом. Однако он может стать поводом проверить, не фигурирует ли этот адрес в утечках, не используются ли связанные с ним пароли в других сервисах и не появился ли от имени компании поддельный сайт.
Почему нужен непрерывный мониторинг
ИТ‑среда любой компании постоянно меняется: появляются новые сервисы, сотрудники, подрядчики, домены и облачные аккаунты. Информация публикуется в новых каналах, а злоумышленники меняют собственные способы работы. Поэтому модель угроз — перечень наиболее вероятных способов атаки на организацию и возможных последствий — нужно регулярно пересматривать.Если мониторинг обнаружил утечку пароля, компания может быстро сменить данные для входа, завершить активные сессии и подключить двухфакторную аутентификацию.
Если найден поддельный сайт, его можно направить на блокировку и предупредить клиентов.
Если в открытом доступе оказался адрес сервера или тестовая система, их можно успеть закрыть, обновить и перепроверить настройки.
Чем раньше компания замечает такую проблему — тем дешевле и проще ее устранить. Например, сменить пароль и отозвать доступ у подрядчика обычно значительно легче, чем расследовать инцидент, восстанавливать работу систем, уведомлять клиентов и устранять репутационный ущерб после взлома.
23.10.2026
