Скомпрометированные учетные записи стали главным вектором кибератак

В трети случаев (33%) злоумышленники получали первоначальный доступ в корпоративные сети, используя украденные или подобранные учетные данные. Новые методы проникновения в атакуемую сеть сместили с первого места фишинг. Об этом говорится в исследовании Angara MTDR по итогам 2024 — первой половины 2025 года.

Анализ кибератак показал значительный сдвиг в тактике хакеров. Если ранее основным методом проникновения в инфраструктуру был фишинг, то сейчас атакующие все чаще применяют существующие логины и пароли. Учетные данные мошенники получают путем подбора к сервисам удаленного доступа, из утечек или с помощью ПО для кражи информации.

Вторым по популярности стал вход в инфраструктуру через внешние службы удаленного доступа — в 25% эпизодов взлом осуществлялся через VPN. На третьем месте — эксплуатация уязвимостей общедоступных приложений, на которую пришлось 17% от всех кибератак.

Проникновение в чужие сети через взломанных подрядчиков (13%) заняло четвертую строку. Увеличение атак через доверительные отношения связано с открытыми для подрядчиков сетевыми доступами и незащищенным хранением учетных данных в уже скомпрометированных сетях. Для сокрытия своего местоположения злоумышленники активно используют публичные VPN-сервисы и средства для обеспечения анонимности в интернете.

На пятом месте оказался фишинг (8%), который лидировал в предыдущие годы. Замыкает рейтинг компрометация цепочки поставок (4%).

«Подавляющее большинство случаев компрометаций связано с нарушением базовых правил кибергигиены — небезопасным хранением паролей и приватных ключей. На эти подтехники приходится около трети всех обнаружений, — отметил Артем Грибков, директор Центра киберустойчивости Angara MTDR. — Одним из самых популярных инструментов для сбора аутентификационного материала (логинов, паролей, ключей и токенов) все еще остается mimikatz — утилита для извлечения чувствительной информации из памяти в ОС Windows. Инструмент хорошо детектируется антивирусами, но из-за отсутствия должного мониторинга его запуск часто остается незамеченным. Атакующие также активно используют легитимные инструменты для восстановления паролей».