Атаки через съёмные носители выросли на 25% — веб-фильтрации недостаточно

16 октября 2026 г. в 01:00|Автор: Редакция QUASA|4 мин чтения

В первом полугодии 2026 года атаки через съёмные носители выросли на 25% к предыдущему полугодию в российских госорганизациях, сообщил SecPost 8 октября 2026 года; за тот же период число атак с программами для кражи паролей увеличилось на 82%, со шпионским ПО — на 11%, с эксплойтами — на 14%. Эти показатели описывают разные признаки атак: из публикации нельзя определить, сколько случаев с похитителями паролей или эксплойтами началось с подключения носителя.

В сообщении «Лаборатории Касперского» говорится, что усиленная веб-фильтрация сократила число инцидентов с массовыми угрозами, а локальная доставка вредоносных файлов может позволить злоумышленникам обойти часть сетевой защиты; руководитель Kaspersky GReAT в России Дмитрий Галов отметил: «Российские госорганизации вынуждены защищать всё больше систем, сервисов и данных». Связь между фильтрацией и выбором локального пути компания предлагает как объяснение риска, но опубликованные сведения не показывают, какая доля роста вызвана именно изменением правил фильтрации.

Как файл с носителя проходит мимо веб-фильтра

Веб-фильтр контролирует обращения к сайтам и загрузку файлов по сети. Когда файл попадает на рабочую станцию с подключённого накопителя, этот участок сетевого пути отсутствует. Проверка интернет-трафика поэтому не отвечает на вопрос, можно ли открыть принесённый файл или выполнить программу, которая находится на носителе.

Возможную цепочку заражения удобно проследить по действиям, а не по названию устройства. Сотрудник или подрядчик приносит накопитель; его подключают к компьютеру; пользователь открывает файл либо запускает установщик. Если содержимое вредоносно и ему удаётся выполниться, программа может попытаться получить учётные данные, собрать информацию или задействовать уязвимость. Это условная схема риска, а не реконструкция конкретного случая из опубликованных данных.

Само подключение ещё не означает запуск вредоносного кода. Значение имеют тип файла, настройки рабочей станции, права пользователя и то, разрешено ли выполнение программы из данного расположения. Поэтому технический контроль должен различать допуск устройства, доступ к его содержимому и запуск кода: разрешение перенести данные не делает установщик доверенным.

Процентный рост также не показывает абсолютное число атак или их успешность. Наблюдение относится к российским государственным организациям и к сравнению соседних полугодий; переносить его на все организации России либо стран СНГ нельзя. Для конкретного учреждения полезнее установить собственный путь поступления файлов и места, где решение о допуске принимается без проверки.

Какие барьеры нужны при подключении

Подключение съёмного носителя к рабочей станции создаёт локальный путь для файла; право на запуск требует отдельного контроля.

Контроль носителей работает как последовательность решений: разрешить устройство, проверить файлы, ограничить выполнение и сохранить следы действий. Австралийское руководство по защите систем описывает отключение ненужного доступа к съёмным носителям, их проверку защитным ПО, контроль запуска приложений и централизованное журналирование. Это технические ориентиры, а не нормы, автоматически действующие для российских учреждений.

Политика носителей. Установить, какие устройства и для каких задач разрешены, кто выдаёт исключение и на каких рабочих местах чтение со съёмных накопителей действительно нужно. Если задача не требует переноса файлов, доступ к устройствам можно закрыть.
Автоматическая проверка. Проверять содержимое до открытия файлов на рабочей станции и отдельно разбирать срабатывания защиты. Одобрение самого накопителя не заменяет проверку новых файлов, которые на нём появились.
Ограничение запуска. Разрешать выполнение согласованных программ, сценариев и установщиков. Правило должно действовать независимо от того, принесён файл на носителе или получен другим способом.
Журналирование. Сохранять события подключения устройств, попыток запуска, решений средства защиты и последующих действий на компьютере. Это позволяет восстановить порядок событий при расследовании.
Проверка поставщиков. Согласовать способ передачи файлов и обновлений, подтверждение их происхождения и лицо, которое разрешает установку. Исключения для обслуживания следует фиксировать вместе с их назначением и сроком.

Эти меры закрывают разные звенья цепочки. Проверка файлов ищет известные признаки угрозы, правила запуска мешают выполнить неразрешённый код, а журнал помогает выяснить, что произошло после подключения. Если учреждение видит лишь факт допуска устройства, но не фиксирует запуск и действия на рабочей станции, восстановить путь заражения будет трудно.

Почему подрядчики и обновления требуют отдельного порядка

Носитель подрядчика с обновлением остаётся отдельно от оборудования учреждения до проверки происхождения файлов и разрешения на установку.

Поступивший в учреждение съёмный носитель проходит проверку до подключения к рабочей станции.

Поставщик может передать обновление или служебный файл на носителе для системы, куда его нельзя доставить обычным сетевым способом. В таком случае учреждению нужно установить происхождение пакета, согласованную версию и ответственного за установку. Физический допуск накопителя к оборудованию не должен автоматически разрешать выполнение его содержимого.

Особое внимание требуется временным работам: обслуживанию, восстановлению после сбоя и переносу данных между изолированными системами. Ради такой задачи сотруднику иногда нужен доступ, который обычно закрыт. У исключения должны быть понятные границы, чтобы после завершения работ прежние ограничения снова действовали, а записи о передаче файлов сохранились.

Для администратора непосредственное последствие опубликованной динамики — необходимость видеть локальный путь файла так же отчётливо, как сетевую загрузку. Когда обнаружится подозрительный установщик, записи о носителе, его проверке, разрешении подрядчику и попытке запуска должны позволить установить, дошёл ли файл до выполнения на рабочей станции.