Насколько защищены веб-приложения

Здравствуйте!

Специалисты компании Positive Technologies, специализирующейся на безопасности информационных систем от современных киберугроз, заявили, что веб-приложения россиян крайне слабо защищены.

Текущая ситуация с уязвимостями

Несмотря на положительную динамику в сфере кибербезопасности, мошенники по-прежнему могут успешно атаковать пользователей в девяти из десяти веб-приложений. Согласно данным Positive Technologies за 2026 год, на одно веб-приложение приходится 22 уязвимости — показатель снизился в полтора раза по сравнению с предыдущим периодом. При этом каждая четвертая атака на банковские системы начинается именно через веб-приложения, отмечает «Коммерсантъ».

Что относится к веб-приложениям

Если вы считаете, что проблема вас не касается, поскольку в смартфоне нет сторонних приложений, то спешим уточнить: к веб-приложениям относятся личные кабинеты, социальные сети, платформы электронной коммерции и интернет-банки. Это все сервисы, которые позволяют не только просматривать информацию, но и активно с ней взаимодействовать.

Уровень риска и основные угрозы

Половина исследованных Positive Technologies сайтов содержит уязвимости «высокого уровня риска». Это на 17 % меньше, чем годом ранее. В 68 % приложений существует угроза утечки пользовательских данных, в 39 % возможен несанкционированный доступ, а в 8 % случаев это открывает путь к атакам на локальную сеть организации. Недостатки аутентификации выявлены в 45 % веб-приложений выборки.

Самые уязвимые отрасли

Наихудшая ситуация наблюдается на сайтах государственных учреждений. У 68 % из них уровень защиты низкий, у остальных — ниже среднего. Ещё хуже обстоят дела в телекоммуникационной сфере: 70 % сервисов не дотягивают даже до уровня госучреждений. При этом у 25 % компаний отрасли показатель находится на среднем уровне и выше.

Особенно бедственное положение сложилось у региональных сервисов госуслуг.

Вице-президент группы InfoWatch Рустэм Хайретдинов назвал сервисы госуслуг «самой недофинансированной» сферой, поскольку защиту для них «писали те, кто предложил меньшую цену на торгах, а потом снижали расходы, нанимая студентов».

Почему сложно обеспечить защиту

Одна из ключевых проблем заключается в том, что системы защиты не всегда способны понять логику действий пользователей и переходят в режим мониторинга. Полученные данные анализируют операторы, которые решают, является ли инцидент реальной атакой или ложной тревогой. Для полноценной работы такой системы требуется минимум четыре специалиста, и небольшие компании или региональные госучреждения зачастую не могут себе это позволить.

По словам руководителя отдела экспертного пресейла продуктов и сервисов Solar JSOC компании «Ростелеком-Солар» Алексея Павлова, аналогичная ситуация наблюдается и в 40 % банковских приложений. Здесь ограничения связаны со скоростью работы ключевых систем, которые не успевают пройти полноценное обучение и автоматическую настройку.

Роль двухфакторной аутентификации

Даже специализированные средства защиты веб-приложений не гарантируют стопроцентную безопасность. Большинство атак на аутентификацию вызвано тем, что пользователи используют только пароль. Аналитик Positive Technologies Ольга Зиненко отмечает, что отсутствие двухфакторной аутентификации существенно упрощает задачу злоумышленникам, особенно когда люди выбирают простые комбинации.

Технический директор Trend Micro в России и СНГ Михаил Кондрашин подчёркивает важность безопасной разработки с самого начала: по его мнению, двухфакторная аутентификация не решает проблему полностью. Поскольку от обычных пользователей это не зависит, стоит придерживаться нескольких простых рекомендаций, которые не дадут абсолютной гарантии, но существенно повысят уровень защиты.

1. Используйте сложный пароль, состоящий из заглавных и строчных букв, цифр и специальных символов.
2. Загружайте приложения только из официальных магазинов Google Play и App Store.
3. Установите проверенное антивирусное программное обеспечение.
4. Завершайте сеанс при работе с чужого устройства и используйте режим инкогнито в публичных сетях Wi-Fi.