Почти половина веб-атак на российские компании (44%) в первом полугодии 2026 года стала многоэтапной: злоумышленники все активнее комбинируют DDoS, атаки на веб-приложения и эксплуатацию бизнес-логики. К такому выводу пришли эксперты WMX и Servicepipe по итогам анализа киберинцидентов за январь—июнь 2026 года. Многоэтапные атаки сложнее обнаружить и остановить. Для защиты приходится одновременно закрывать несколько уровней — от сетевой инфраструктуры до бизнес-логики приложения. При этом почти каждая сложная веб-атака сегодня начинается с киберразведки, а количество автоматизаций (включая умных ботов) выросло в 2 раза.
Совместное исследование WMX и Servicepipe основано на агрегированных данных об атаках, зафиксированных в первом полугодии 2026 года и их сравнении с предыдущими периодами. В рамках исследования была проанализирована информация почти о 600 крупных организациях из различных отраслей, включая госсектор, ИТ, ритейл, финансы, здравоохранение, промышленность, телеком и др.
Практически каждая сложная атака на онлайн-ресурсы в отчетном периоде начиналась с киберразведки. Теперь злоумышленники не просто «прощупывают» периметр, чтобы узнать, какие сервисы на нем есть и их характеристики (например, версию ПО), а пытаются определить пороги срабатывания СЗИ для обода защиты.
Основной инструмент киберразведки – это автоматизированные сканирования, число которых за год выросло в 2 раза. Распространение инструментов на базе искусственного интеллекта и готовых наборов эксплойтов существенно ускорило этот процесс и снизило порог входа для проведения сложных атак. Современные автоматизированные системы способны имитировать поведение реальных пользователей, корректно работать с cookies и TLS-отпечатками, соблюдать ограничения по количеству запросов и даже успешно проходить CAPTCHA.
После разведки злоумышленники все чаще переходят к инфраструктурному воздействию. В первом полугодии были зафиксированы DDoS-атаки мощностью свыше 2 Тбит/с, а количество гиперобъемных атак интенсивностью более 100 Гбит/с выросло в пять раз.
«Изменился и характер атак. Наряду с продолжительными кампаниями длительностью до 22–36 часов злоумышленники активно используют серии коротких импульсных атак, рассчитанных на перегрузку средств защиты и отвлечение специалистов информационной безопасности. При этом целью становятся не только публичные сервисы компаний, но и VPN-инфраструктура, резервные каналы связи, тестовые среды и другие менее защищенные сегменты», - комментирует руководитель отдела по работе с партнерами Servicepipe Анна Станюлис.
Пока DDoS «выматывает» инфраструктуру, злоумышленники переходят к эксплуатации веб-уязвимостей. Число атак на прикладной уровень (L7) также растет. Так, за первые шесть месяцев 2026 года было отражено 849,7 млн веб-атак, что на 27% превышает показатель аналогичного периода прошлого года.
Основная опасность связана с тем, что атаки смещаются с поиска технических уязвимостей на эксплуатацию ошибок бизнес-логики приложений.
«Атака на бизнес-логику – это использование функционала приложения против него самого. Такие атаки достаточно сложно обнаружить обычными средствами, что делает их воздействие особенно разрушительным. Эти техники все чаще используются не для компрометации инфраструктуры, а для манипуляции пользовательскими сценариями – платежами, авторизацией, бонусными программами и внутренними бизнес-процессами компаний», - комментирует заместитель генерального директора по развитию бизнеса WMX Владимир Гриднев.
Основными целями таких атак обычно становятся критичные бизнес-процессы: авторизация, регистрация пользователей, платежные сценарии, программы лояльности, бонусные системы, оформление заказов и восстановление доступа. А основным каналом эксплуатации бизнес-логики становятся API (программные интерфейсы, через которые приложения и сервисы обмениваются данными). Через них атакующие автоматизируют подбор сценариев, обход ограничений, массовое выполнение операций и атаки на учетные записи.
Эксперты ожидают, что именно многоэтапные атаки станут основным сценарием киберугроз в ближайшие годы. Поэтому защита отдельных компонентов инфраструктуры уже недостаточна — компаниям потребуется комплексный подход, объединяющий анти-DDoS, WAF, защиту API и средства противодействия интеллектуальным ботам.
***
WMX - ведущий разработчик ИБ-решений для защиты веб-приложений, микросервисов и API. Многолетняя экспертиза WMX воплощается в каждом решении, объединяя передовые технологии, глубокие знания и практический опыт для защиты современного веба. Это позволяет успешно обеспечивать непрерывность бизнеса крупнейших компаний в различных отраслях. Решения WMX интуитивно понятны в эксплуатации, не требуют выделенных ИБ- и IT-команд, быстро разворачиваются в любой инфраструктуре, внесены в Единый реестр российского ПО и сертифицированы ФСТЭК России.
ПроWAF — высокотехнологичный межсетевой экран приложений для защиты от массовых и целевых веб-атак с модулем SmartBot Protection, который блокирует угрозы от продвинутых ботов, не мешая реальным пользователям.
ПроAPI — комплексное on-premise решение для защиты API, которое выявляет легитимные и теневые интерфейсы, анализирует запросы и ответы, а также блокирует опасные вызовы на основе позитивной модели.
Servicepipe – российский разработчик решений для высокоточного контроля трафика. С 2015 года на базе собственных решений Servicepipe создаёт облачные сервисы и системы локальной защиты от DDoS-атак, ботов и целевых угроз.
Продукты Servicepipe помогают обеспечить доступность сайта или корпоративного сервиса во время кибератак, а также выстроить эшелонированную защиту IT-инфраструктуры, веб-приложений и API, непреодолимую для злоумышленников и незаметную для пользователей.
Собственные разработки входят в реестр российского ПО. Компания имеет лицензии ФСТЭК (разработка СЗИ/ТЗКИ) и аккредитацию Минцифры.
Среди более 500 клиентов Servicepipe — крупнейшие облачные и интернет-провайдеры, банки, дата-центры, телеком-операторы, сервисы доставки, авиакомпании, интернет-магазины, маркетплейсы, онлайн-кинотеатры, СМИ, платёжные системы и многие другие российские компании.
Возврат к списку