SecAtor

Исследователи Solar 4RAYS представили аналитику по DFIR за первое полугодие 2026 года по результатам участия в расследовании десятков ИБ-инцидентов в российских частных и государственных организациях. В абсолютном большинстве случаев речь идет об атаках, осуществленных группами профессиональных взломщиков, преследующих финансовые цели или работающих в интересах иностранных правительств. Как правило, это инциденты, которые произошли по двум причинам: злоумышленники смогли обойти использовавшиеся в атакованных организациях автоматизированные средства защиты или организации просто не имелось соизмеримых угрозе ИБ-инструментов. В ходе расследований Solar 4RAYS собрала различные данные о характеристиках атак, анализ которых позволяет сформировать представление об актуальных TTPs злоумышленников, оценить уровень ИБ-рисков для конкретной организации и выстроить эффективную защиту. Исследование также содержит данные о наиболее атакуемых отраслях, квалификации злоумышленников и их мотивации. Кроме того, в отчете представлен обзор основных кибергруппировок, с деятельностью которых Solar 4RAYS столкнулась в ходе расследований, включая Partisan Zmiy, GOFFEE (Paper Werewolf), NGC5081 и Fairy Trickster (Rainbow Hyena, Head Mare). Отметим ключевые тренды: - На организации из отрасли промышленности пришлась большая (31%) часть инцидентов, что на 11 п.п. больше, чем год назад. В фокус интереса атакующих такие предприятия попали еще в 2025 году и в 2026 году тенденция продолжилась. - Шпионаж остается главной целью атакующих (42%), но также выросла доля инцидентов с неизвестными целями. - Уязвимости в веб-приложениях - самый частый способ проникновения в организацию (46%). В первом полугодии атакующие концентрировались на популярном российском ПО и ПО на открытом коде. - Среди профессиональных групп наблюдается аномальное затишье: за первые полгода Solar 4RAYS зафиксировала активность лишь 4 ранее известных вредоносных кластеров. Годом ранее их было 6, а по итогам 2025 года - 18. - Четверть расследованных инцидентов длилась до недели, а длительность каждой пятой атаки не превышала месяц. Доля «коротких» атак снизилось за счет роста инцидентов длительностью от двух недель до года, при этом доля «длинных» атак более года также снизилась. Подробная инфографика с обзором инцидентов, а также наиболее интересными техниками - в отчете.