Сельское хозяйство и телеком стали лидерами по числу атак вымогателей

Оба значения заметно выше среднего глобального уровня в 3,5 инцидента на компанию. Для сельского хозяйства превышение составляет 28,6%, для телекоммуникационной отрасли – 20%.

Общая частота таких эпизодов снизилась по сравнению с 2025 годом, когда компании фиксировали в среднем 5,4 инцидента, однако качество атак ухудшилось: доля организаций, которые обнаруживали вымогателей уже после эксфильтрации данных или на поздних стадиях, выросла почти до 49,3%, а среднее время присутствия атакующих в инфраструктуре увеличилось с двух до 2,4 недели.

Агросектор стал удобной целью из-за сочетания распределенной инфраструктуры, сезонной нагрузки и высокой зависимости от непрерывности процессов. Производственные площадки, элеваторы, логистика, системы мониторинга техники, складские комплексы, IoT-датчики, удаленные рабочие места и подрядчики часто связаны через разнородные каналы. Единый контур безопасности в таких условиях выстроить сложнее, чем в классическом офисном периметре. Атака в период уборочной, посевной или активной отгрузки создает для бизнеса прямой операционный риск: простой техники, задержка поставок, срыв контрактов и нарушение температурных режимов хранения быстро превращаются в финансовый ущерб.

Телеком находится под давлением другого типа. Операторы обслуживают критичные коммуникации, корпоративные каналы, облачные сервисы, пользовательские данные и инфраструктуру для смежных отраслей. Внутри одного контура могут сосуществовать биллинговые системы, OSS/BSS-платформы, сетевое оборудование, виртуализированная инфраструктура, клиентские порталы, подрядчики по обслуживанию узлов связи и внешние интеграции. Для операторов программ-вымогателей такая среда ценна сразу по нескольким причинам: высокий эффект от простоя, доступ к большим массивам данных, сложная топология сети и большое число сервисных учетных записей.

Разбивка по векторам первоначального доступа показывает, что атаки программ-вымогателей по-прежнему чаще начинаются с человеческого фактора и известных технических слабых мест. Фишинг и социальная инженерия составляют 35,8% проникновений. Уязвимости программного обеспечения дают атакующим точку входа в 22,3% случаев. Компрометация подрядчиков и цепочек поставок занимает 14%, скомпрометированные учетные данные и перебор паролей – 12%. На ошибки конфигурации приходится 9,7%, на инсайдерские действия – 5,4%. Для сельского хозяйства особенно опасны уязвимые удаленные подключения, устаревшие системы управления и подрядчики по обслуживанию оборудования. В телекоме выше роль учетных записей, сетевых привилегий, внутренних административных инструментов и сложных цепочек поставщиков ПО.

Только 12,38% организаций замечают активность на этапе разведки, еще 20,74% – при первоначальном доступе. На боковое перемещение и повышение привилегий приходится 16,52%. Далее ситуация становится значительно дороже: 14,29% компаний обнаруживают атаку уже при эксфильтрации данных, 20,93% – на этапе шифрования, 14,15% – после требования выкупа. Почти половина инцидентов фактически распознается тогда, когда атакующие уже успели пройти ключевые этапы внутри инфраструктуры. Для агросектора это означает риск остановки производственной цепочки, для телекома – нарушение доступности сервисов и рост нагрузки на службы поддержки, NOC и SOC.

Отраслевой разрез показывает, что сельское хозяйство с 4,5 инцидента на организацию оказалось на первом месте и превысило средний уровень на 28,6%. Телеком с 4,2 инцидента занял вторую позицию и оказался выше среднего на 20%. При этом выплаты выкупа стали встречаться чаще: доля организаций, заплативших злоумышленникам, выросла с 70% до 83,5%. Средняя сумма выплаты снизилась с 3,6 млн до 2,8 млн долларов, но этот спад говорит скорее о более управляемой экономике переговоров, чем о снижении ущерба для бизнеса.

В агросекторе защита должна начинаться с инвентаризации активов, которые часто остаются вне поля зрения ИБ-службы: удаленные шлюзы, системы мониторинга техники, складское оборудование, терминалы подрядчиков, устаревшие серверы на производственных площадках. Нужны сегментация сети, отдельные контуры для технологических систем, контроль удаленного доступа, многофакторная аутентификация для подрядчиков и регулярная проверка резервных копий с изолированным хранением. Особое внимание требуется сезонным пикам, когда бизнес менее готов останавливать процессы ради обновлений и регламентных работ.

Телеком-компаниям требуется жесткий контроль привилегированных учетных записей, сетевых изменений, административных сессий и межсегментного трафика. Операторы программ-вымогателей активно используют легитимные инструменты администрирования, поэтому одного сигнатурного контроля недостаточно. Нужны поведенческие базовые линии, мониторинг бокового перемещения, анализ зашифрованного трафика, контроль доступа к системам биллинга и платформам управления сетью. Отдельный слой защиты должен охватывать поставщиков ПО, интеграторов и сервисные команды, которые имеют доступ к инфраструктуре оператора.

Сократить ущерб от атак программ-вымогателей позволяет подготовка к уже начавшемуся инциденту. Компании должны заранее определить, какие системы отключаются первыми, кто принимает решение о сегментации площадок, где хранятся актуальные схемы сети, какие резервные копии имеют приоритет при восстановлении и как быстро можно вернуть критичные процессы без обращения к зараженному домену. Для сельского хозяйства это производственные и логистические контуры, для телекома – узлы связи, биллинг, клиентские сервисы и инструменты управления сетью. Практические учения, проверка восстановления, ограничение прав сервисных учетных записей и круглосуточный мониторинг подозрительной активности дают бизнесу шанс остановить атаку до массового шифрования и эксфильтрации данных.