60% расследованных атак пришлись на промышленность — каждый пятый вход дал подрядчик

Опубликованные 12 октября 2026 года данные BI.ZONE DFIR за январь — сентябрь 2026 года показывают: 60% расследованных атак пришлись на промышленные компании, а 20% расследованных случаев были связаны с уязвимостями или компрометацией подрядчиков и внешних поставщиков. Это распределение атак, которыми занималась команда реагирования, а не оценка всех кибератак на рынке. Доля подрядчиков описывает связь с инцидентом, но не устанавливает для каждого случая один и тот же способ входа.

В сообщении CNews о тех же расследованиях указано, что среди выявленных точек входа в инфраструктуру производств 60% случаев были связаны с уязвимостями и ошибками настройки на периметре: 30% — с ERP-системами, по 10% — с сетевым оборудованием и с корпоративной почтой либо другими рабочими инструментами. Часть периметральных случаев пришлась на иные способы проникновения. Отраслевая доля, структура точек входа и показатель подрядчиков описывают разные стороны расследованных атак; складывать эти проценты нельзя.

Как понимать долю промышленности

В выборке оказались производства товаров массового спроса и предприятия с узкоспециализированной продукцией. Поэтому результат не сводится к одному виду заводов. Но единица наблюдения здесь — атака, попавшая в расследование команды, а не каждое предприятие страны и не каждая попытка проникновения. По опубликованным долям невозможно рассчитать вероятность атаки на отдельную площадку или сравнить её с вероятностью для компании другой отрасли.

Руководитель BI.ZONE DFIR Фёдор Скворцов в публикации IT-World связал накопление устаревших систем и уязвимых бизнес-приложений с «низкими IT-бюджетами и длинными жизненными циклами оборудования». По его оценке, даже краткий простой производства может обернуться убытками, срывом контрактов и потерей доверия клиентов. Это объяснение привлекательности промышленных целей для атакующих, а не подсчёт ущерба в расследованных случаях.

Общее число расследованных атак и региональная разбивка в опубликованных данных отсутствуют. Поэтому главная ценность распределения — в том, что оно называет конкретные пути проникновения, обнаруженные при разборе инцидентов. Для предприятия это основание сопоставить собственные внешние подключения и права доступа с такими путями, сохраняя различие между частотой в выборке и риском для своей площадки.

Почему на периметре выделились ERP, оборудование и почта

Самая крупная из названных технических категорий — системы планирования ресурсов предприятия, или ERP. Они связывают закупки, запасы, заказы и другие процессы, необходимые производству. Если такая система доступна извне, важны не только её версия и обновления: значение имеют способ подключения, административные учётные записи и то, к каким внутренним ресурсам может обратиться пользователь после входа. Проверка начинается с перечня реально доступных экземпляров, включая те, к которым подключаются поставщики.

У маршрутизаторов и шлюзов другой набор вопросов: открыты ли службы управления из внешней сети, актуальны ли обновления, кому выданы повышенные права и сохранились ли подключения после завершения работ. Ошибка настройки здесь способна оставить действующим путь, который сотрудники уже не учитывают в обычной схеме доступа. Отдельная проверка сетевого оборудования важна даже тогда, когда основные бизнес-приложения обновлены.

Корпоративная почта и другие рабочие инструменты требуют внимания к учётным записям и полномочиям после входа. Скомпрометированная запись опасна тем, что может дать доступ к переписке и связанным внутренним сервисам. Поэтому полезно сопоставить способы входа, дополнительные меры подтверждения личности и фактически выданные права. Эти проверки относятся к разным частям периметра: исправление одного уязвимого приложения не закрывает остальные выявленные направления.

Что меняет доступ подрядчика

Подрядчик может обслуживать отдельное приложение, сетевой участок или оборудование и получать для этого разрешённое подключение к инфраструктуре заказчика. Уязвимость на его стороне либо компрометация его учётной записи создаёт риск для систем, к которым такое подключение ведёт. Опубликованный показатель объединяет случаи с разными обстоятельствами на стороне внешних организаций; по нему нельзя заключить, что все проникновения начались через одинаковый сервис или одну категорию учётных записей.

Первый предмет проверки — действующие разрешения: какая организация подключается, к какому ресурсу, для какой работы и кто отвечает за прекращение доступа. Затем выданные права сопоставляют с задачей. Если поставщику нужно обслуживать одно приложение, постоянный доступ ко всему корпоративному сегменту расширяет возможный путь после компрометации. Срок действия подключения и отдельная учётная запись для каждого исполнителя помогают ограничить этот путь и установить последовательность действий при расследовании.

Важно учитывать и пересечение двух направлений риска. Подрядчик может входить через шлюз, работать в ERP или пользоваться корпоративными инструментами заказчика. Поэтому его доступ не стоит считать изолированной категорией, которую можно проверить вместо периметра. Перечень внешних организаций имеет смысл сверять со схемой сетевых подключений и журналами входа: так видно, какие разрешённые маршруты действительно достигают чувствительных систем.

Приоритеты проверки на производственной площадке

Доли из расследований задают отправную точку, но порядок работ зависит от устройства предприятия. Сначала можно перечислить доступные извне ERP-системы, сетевые шлюзы, почту и рабочие сервисы, указав для каждого владельца, способ подключения и состояние обновлений. Затем сопоставить этот перечень с правами подрядчиков. Такая сверка выявляет не абстрактную «уязвимость периметра», а конкретный действующий маршрут к важной системе.

Следующий вопрос — насколько далеко ведёт первоначальный доступ. Разделение корпоративной и технологической сетей ограничивает перемещение между ними там, где связь не нужна для работы; проверять следует фактические разрешения, а не только схему сети. Резервные копии и испытанная процедура восстановления решают задачу на случай нарушения доступности: важно знать, какие процессы можно вернуть в работу и от каких систем они зависят. Эти меры BI.ZONE также относит к направлениям проверки для производственных компаний.

Наибольшего внимания заслуживают места, где внешнее подключение, широкие права и важная производственная система сходятся в одной цепочке. Например, если постоянный доступ поставщика достигает ERP и затем других внутренних сегментов, проверка прав, настроек входа и сетевых границ касается одного и того же возможного пути проникновения. Именно такие связки позволяют превратить опубликованную статистику расследований в перечень проверяемых условий на конкретной площадке.

Читайте также:

• 58 техник не нужно проходить подряд: как собрать тренинг по продажам
• 36 книг о мышлении: пять маршрутов, чтобы не читать всё подряд
• Директ и Метрика без лишних прав: как открыть доступ подрядчику