Чума, идеальный шторм или Армагеддон: три сценария киберугроз для бизнеса в 2027 году

27–28 октября прошел ежегодный SOC Forum — одно из крупнейших российских мероприятий в области информационной безопасности. Центральной темой форума стал искусственный интеллект. Его возможности все активнее используются не только для решения повседневных задач, но и для проведения кибератак.

Представим обычное начало рабочей недели. Сотрудники приходят в офис, включают компьютеры, но системы не запускаются. При этом электричество и интернет работают, связь доступна, однако компания не может обработать заказы, выставить счета или получить доступ к необходимым документам. Причиной такого сбоя может оказаться кибератака, последствия которой способны остановить работу предприятия на несколько дней.

Подобные угрозы касаются не только крупных корпораций. Малый и средний бизнес также становится целью злоумышленников, особенно с развитием автоматизированных инструментов взлома. Рассмотрим три возможных сценария кибератак, к которым компаниям стоит подготовиться уже сегодня.

Сценарий № 1. Цифровая чума

Любая информационная система может содержать уязвимости. Чем сложнее ее устройство и больше количество используемых программ, тем труднее обеспечить полную защиту. Специалисты по информационной безопасности постоянно обнаруживают новые слабые места и работают над их устранением. Однако аналогичную работу ведут и злоумышленники, стремящиеся воспользоваться найденными ошибками раньше, чем разработчики выпустят обновления.

Один из наиболее опасных сценариев связан с массовым распространением атак с использованием искусственного интеллекта.

Допустим, группа хакеров обнаруживает критическую уязвимость в популярном корпоративном программном обеспечении. Вместо того чтобы выбирать конкретную организацию, злоумышленники запускают сеть автономных ИИ-агентов, которые начинают проверять доступные серверы и компьютеры на наличие этой уязвимости.

За короткое время атака может охватить тысячи организаций. Причем ее целью необязательно станет определенная отрасль или крупный бизнес. Под угрозой окажется любая компания, использующая уязвимое программное обеспечение.

Развитие искусственного интеллекта меняет сам подход к киберпреступности. Если раньше подготовка атаки на отдельную организацию требовала значительных усилий, то теперь часть процессов можно автоматизировать. Для злоумышленников небольшой интернет-магазин, производственное предприятие или региональная компания становятся такими же потенциальными целями, как крупные корпорации.

Проблема уже не ограничивается теоретическими прогнозами. В исследованиях Verizon и CrowdStrike, на которые ссылается исходный материал, отмечается высокая доля атак, использующих программные уязвимости, а также сокращение времени между раскрытием информации о проблеме и попытками ее эксплуатации.

По мере совершенствования инструментов искусственного интеллекта скорость поиска уязвимостей и проведения массовых атак может продолжить расти. Для бизнеса это означает необходимость пересмотреть привычные сроки реагирования на угрозы.

Как снизить риски

Прежде всего компаниям необходимо обеспечить своевременное обновление используемого программного обеспечения. Особое внимание следует уделять обновлениям, устраняющим критические уязвимости.

Не менее важно организовать постоянный мониторинг информационной инфраструктуры и предусмотреть возможность оперативного реагирования на подозрительную активность.

Даже небольшим компаниям стоит заранее определить порядок действий на случай обнаружения угрозы, включая временное ограничение доступа к отдельным системам и изоляцию зараженных устройств.

Комментарий эксперта

«Все новое — это хорошо забытое старое. Отчасти мы этот сценарий уже наблюдали в 2017 году на примере массовой эксплуатации уязвимости EternalBlue.

Основное изменение для бизнеса сейчас — время на реакцию сокращается, и аналогичные кейсы будут появляться все чаще. Между публикацией информации о новой уязвимости и появлением инструмента, который позволяет ее эксплуатировать, счет уже может идти на часы и даже минуты. ИИ дополнительно снижает стоимость массового поиска таких точек входа: атакующему не обязательно заранее выбирать конкретную компанию, если он может автоматически проверить тысячи доступных систем.

Поэтому компаниям нужно заранее готовиться к этому сценарию. В первую очередь — иметь возможность очень быстро реагировать как на уровне установки обновлений, так и на уровне формирования компенсирующих мер: сигнатур для блокировки на средствах защиты информации, сценариев реагирования в системах, изоляции конкретных хостов и сегментов сети.

К счастью, на стороне защиты активно развиваются те же самые технологии, так что небольшим компаниям вовсе не обязательно формировать свою собственную большую команду информационной безопасности. Современные системы и сервис-провайдеры умеют предоставлять актуальную информацию об угрозах и оперативно на них реагировать».

Максим Жевнерев, директор по развитию платформы Центра технологий SOC ГК «Солар».

Сценарий № 2. Идеальный шторм

Второй сценарий предполагает одновременное использование нескольких способов проникновения в корпоративную инфраструктуру.

Все может начаться с утечки данных у крупного поставщика услуг, банка или подрядчика. Полученная информация помогает злоумышленникам узнать больше о компании, ее сотрудниках и используемых сервисах.

Следующим этапом становится социальная инженерия. Например, сотруднику поступает сообщение от имени руководителя или технической поддержки с просьбой передать учетные данные либо подтвердить доступ к системе.

Одновременно злоумышленники могут использовать устаревшие версии операционных систем, нелицензионные программы или уязвимости корпоративных VPN-сервисов.

Каждая из этих проблем сама по себе представляет угрозу. Однако наиболее серьезные последствия возникают тогда, когда несколько способов проникновения используются одновременно.

Искусственный интеллект позволяет автоматизировать отдельные этапы такой атаки. Специальные агенты способны анализировать полученную информацию, искать новые точки входа и выполнять определенные действия без постоянного участия человека.

В результате злоумышленники могут получить контроль над значительной частью цифровой инфраструктуры предприятия. Это создает угрозу хищения конфиденциальных сведений, блокировки рабочих систем и шифрования корпоративных данных.

Особенность «идеального шторма» заключается в том, что он возникает из совокупности проблем, каждая из которых могла долгое время оставаться незамеченной.

Как снизить риски

Компаниям необходимо регулярно проверять безопасность используемых сервисов, включая облачные платформы, корпоративные приложения и системы, предоставляемые сторонними подрядчиками.

Отдельное внимание следует уделять управлению доступами. Учетные записи бывших сотрудников, подрядчиков и фрилансеров должны своевременно отключаться, а действующие права пользователей — соответствовать их рабочим обязанностям.

Не менее важна подготовка персонала. Сотрудникам следует объяснять, каким образом злоумышленники могут выдавать себя за руководителей, коллег или представителей обслуживающих организаций.

Желательно установить внутренние правила подтверждения нестандартных запросов, особенно если они касаются финансовых операций, передачи паролей или доступа к конфиденциальным сведениям.

Комментарий эксперта

«Проверять стоит не только доступы сотрудников. Отдельного внимания требуют ИИ-агенты, которые компания сама использует в работе. Им поручают поиск информации, обработку документов, написание кода и работу с корпоративными сервисами.

Вместе с задачей агент может получить доступ к данным и инструментам, которые для ее выполнения не нужны. Если в документе или на веб-странице встретится скрытая вредоносная инструкция, агент может попытаться выполнить ее в рамках предоставленных ему прав — например, прочитать лишние файлы или передать данные за пределы компании. Для этого злоумышленнику не обязательно напрямую взламывать корпоративную сеть.

Здесь важен подход «нулевого доверия» (Zero Trust): ИИ-агент не должен автоматически получать доступ ко всем ресурсам только потому, что работает в корпоративной среде. Его полномочия необходимо ограничивать конкретной задачей.

Один из способов — выделить агенту изолированную среду на устройстве пользователя, разрешить в ней только необходимые приложения и сетевые подключения и ограничить передачу данных наружу. Даже если агент выполнит нежелательное действие, такая изоляция поможет сократить масштаб возможных последствий».

Артём Ильин, руководитель направления развития бизнеса защиты данных Xello.

Сценарий № 3. Цифровой Армагеддон

Далеко не все кибератаки проводятся ради получения финансовой выгоды. В некоторых случаях злоумышленники стремятся причинить организации максимальный ущерб, уничтожив важную информацию и нарушив работу ее инфраструктуры.

Такой сценарий особенно опасен для компаний, деятельность которых напрямую зависит от цифровых систем.

Атакующие могут использовать различные способы проникновения: от обмана сотрудников до эксплуатации уязвимостей программного обеспечения и оборудования.

После получения доступа к корпоративной сети начинается поиск наиболее важных данных и систем. Целью злоумышленников могут стать базы клиентов, бухгалтерская документация, производственные программы, внутренние архивы и резервные копии.

Использование искусственного интеллекта потенциально ускоряет отдельные этапы такой атаки. Автоматизированные инструменты способны помогать в поиске доступных ресурсов, анализе инфраструктуры и последовательном расширении доступа.

Наиболее тяжелые последствия возникают, если злоумышленникам удается не только нарушить работу основных систем, но и уничтожить данные, необходимые для восстановления бизнеса.

В таком случае компания рискует столкнуться с длительным простоем, финансовыми потерями и необходимостью фактически заново выстраивать часть рабочих процессов.

Как снизить риски

Одна из основных мер защиты — регулярное резервное копирование критически важных данных.

При этом недостаточно просто настроить автоматическое создание копий. Необходимо убедиться, что они действительно сохраняются, защищены от несанкционированного доступа и могут использоваться для восстановления информации.

Желательно предусмотреть несколько независимых способов хранения резервных копий, включая варианты, изолированные от основной корпоративной сети.

Компаниям также стоит периодически проверять процедуру восстановления данных. Это позволит заранее выявить проблемы, которые в случае реального инцидента могут увеличить продолжительность простоя.

Комментарий эксперта

«Резервные копии позволяют восстановить данные после атаки, но сами по себе не останавливают злоумышленника, который уже находится внутри инфраструктуры. Чем дольше развивается такой инцидент, тем больше систем он может затронуть, поэтому критично как можно раньше связать отдельные подозрительные события в единую картину и начать реагирование.

При большом количестве событий сделать это только вручную сложно. Поэтому часть рутинных операций при мониторинге и реагировании имеет смысл автоматизировать: собирать и сопоставлять данные из разных источников, обогащать информацию об инциденте и запускать заранее определенные сценарии действий.

Задача такой автоматизации — сократить время между первыми признаками атаки и действиями специалистов, пока инцидент не успел распространиться на критичные системы.

Для среднего бизнеса такой уровень защиты уже можно получать как сервис, не создавая собственный SOC и круглосуточную смену аналитиков.

Например, в линейке JSOC ONE мониторинг сочетается с EDR и анализом DNS-трафика: сервис может выявлять опасную активность на конечных точках и сетевом уровне и автоматически выполнять часть действий по реагированию и блокировке. Это позволяет не только увидеть атаку, но и быстрее ограничить ее распространение до подключения специалиста».

Дмитрий Иванов, директор по развитию сервисного портфеля ГК «Солар».

Искусственный интеллект как инструмент защиты

Рассмотренные сценарии не исключают друг друга. Более того, в определенных обстоятельствах они могут стать последовательными этапами одной масштабной кибератаки.

Например, первоначальное проникновение в систему может произойти через критическую уязвимость программного обеспечения. Затем злоумышленники используют методы социальной инженерии для получения дополнительных прав доступа. Завершающим этапом становится уничтожение или блокировка корпоративных данных.

С развитием искусственного интеллекта подобные угрозы приобретают новые особенности. Автоматизация позволяет атакующим быстрее обрабатывать информацию и проводить больше операций, сокращая время, которое остается у специалистов по информационной безопасности для обнаружения угрозы.

Вместе с тем искусственный интеллект применяется и для защиты цифровой инфраструктуры.

Современные решения способны анализировать большие объемы событий, выявлять подозрительную активность, сопоставлять признаки различных угроз и помогать специалистам оперативно принимать решения.

Этим вопросам уделялось особое внимание в рамках Российской недели кибербезопасности и на сессиях SOC Forum, организованного ГК «Солар» при поддержке стратегических партнеров — Security Vision, «Газинформсервис» и Технической академии Росатома.

По мере усложнения киберугроз компаниям необходимо переходить от отдельных защитных мер к комплексному подходу. Регулярное обновление программного обеспечения, контроль доступов, подготовка сотрудников, резервное копирование и постоянный мониторинг информационных систем должны стать частью повседневной работы бизнеса.

При этом использование искусственного интеллекта в информационной безопасности открывает дополнительные возможности как для крупных организаций, так и для небольших предприятий, которые не располагают собственными подразделениями киберзащиты.

Главный вывод заключается в том, что подготовиться к потенциальным угрозам значительно проще и дешевле, чем восстанавливать работу компании после серьезного инцидента.