В феврале 2025 года Банк России выпустил обзор компьютерных атак на финансовый сектор за 2024 год: ФинЦЕРТ получил от банков и других участников обмена больше 750 сообщений об атаках и инцидентах. В 2026 году вышел такой же обзор за 2025 год. Ниже главное из обоих отчётов: чем атакуют, через кого заходят и что ЦБ советует делать. Это полезно не только банкам, но и любой компании, которая работает с ними подрядчиком.
2024 год: DDoS, украденные учётки и вредоносы
По данным ФинЦЕРТ, чаще всего в 2024 году финансовые организации сообщали о DDoS: 325 случаев. Дальше идут компрометация учётных данных (121), вредоносное ПО (109), фишинговые ресурсы (71), сканирование портов (57), эксплуатация уязвимостей (47) и социальная инженерия (35).
Кроме самих атак ЦБ разбирает, как злоумышленники прячут свою инфраструктуру. Они захватывают чужие серверы и используют их как плацдарм, ходят через VPN и мобильные прокси с постоянно меняющимися IP, а данные выводят через DNS-туннели и другие скрытые каналы, которые выглядят как обычный трафик.
Главный вход в банк через подрядчика
Самым популярным способом попасть в инфраструктуру финансовой организации в 2024 году стала компрометация подрядчика. ФинЦЕРТ насчитал 17 инцидентов у компаний, которые оказывают ИТ-услуги больше чем 70 организациям финансового рынка, включая системно значимые банки.
В отчёте подробно разобран один такой случай. У разработчика банковского ПО через уязвимость в Confluence взломали систему, затем учётку сотрудника, контроллер домена и систему управления виртуализацией. Уже оттуда, через учётную запись подрядчика с удалённым доступом, атакующие пошли к заказчику из финансовой сферы.
Отсюда главный совет ЦБ: пересмотреть доступы подрядчиков, давать им права только на время работ и вовремя ставить обновления. Если обновить систему нельзя, искать замену или закрывать риск другими мерами.
2025 год: фишинг вышел вперёд, DDoS стало меньше
В обзоре за 2025 год картина сместилась. Больше половины атак (54%) это фишинговые рассылки, 28% приходится на DDoS, 13% на вредоносное ПО. DDoS-атак ФинЦЕРТ зафиксировал 296, на 21% меньше, чем годом раньше, но каждая девятая из них привела к сбою в работе сервисов. Среди инцидентов первое место у заражения вредоносами (38%), второе у шифрования инфраструктуры (27%). Шифровальщики добрались до 10 финансовых организаций.
Атаки через подрядчиков никуда не делись: за 2025 год ФинЦЕРТ насчитал 14 инцидентов у подрядных организаций, после которых последовали атаки на финансовый рынок. Чаще всего эксплуатировали уязвимости в 1С-Битрикс, SharePoint, Microsoft Office, WinRAR и 7-Zip. Для владельцев сайтов на Битриксе это прямой повод проверить версию и патчи.
Киберучения: 290 организаций в 2024 году, 320 в 2025
ЦБ каждый год проводит киберучения с участниками рынка. В 2024 году в них участвовали больше 290 финансовых организаций: отрабатывали реагирование на актуальные атаки, обмен данными с ФинЦЕРТ и быструю приостановку обмена сообщениями в платёжной системе Банка России. В 2025 году участников стало больше 320. В 6,5% организаций сотрудники «попались» на учебный фишинг.
Чего ЦБ ждёт в 2026 году
- Шифровальщики будут атаковать чаще, и цель всё реже выкуп: атакующим важнее остановить работу компании и громко это показать.
- Атак с помощью ИИ станет больше: на нём дёшево делать массовые фишинговые рассылки и вредоносы.
- Кражу данных всё чаще используют не для шантажа, а чтобы пройти дальше в инфраструктуру.
- Малые и средние подрядчики остаются удобной дверью в крупные компании.
- Банковские трояны и вредоносы для смартфонов продолжают развиваться и перехватывают СМС и пуш-подтверждения.
Что из этого взять себе
- Двухфакторная аутентификация на удалённом доступе и всех важных системах, без исключений для удобства.
- Доступ подрядчиков только к нужным системам и только на время работ, с журналом действий.
- Обновления Confluence, Битрикса, архиваторов и офисных пакетов в первую очередь: именно их уязвимости ЦБ называет среди самых используемых.
- Обучение сотрудников фишингу и учебные рассылки, а не разовая лекция.
- Защита от DDoS и план, как быстро поднять сервисы после атаки.
- Бэкапы, которые шифровальщик не достанет: отдельно от основной инфраструктуры.
В итоге за два года основной удар сместился от DDoS к фишингу и шифровальщикам, а подрядчики так и остались самым удобным входом в финансовые организации. Меры защиты при этом скучные и давно известные: MFA, урезанные доступы, обновления, бэкапы и учения.
