Jet CSIRT выкатили исследование по сотне крупных инцидентов за два года. Цифры там интересные, хотя без сюрпризов не обошлось.
Что выяснили. Основной вектор — эксплуатация публичных сервисов. Не «сложная APT-атака с нулевым днём», а банально забытый RDP наружу, старый билд 1С с дырой или неудалённый тестовый контур. В 60% случаев злоущитники входили через открытые в интернет системы.
Второй по популярности сценарий — фишинг. Но не классические письма «принтер, срочно оплатите», а таргетированные рассылки от имени руководства или техподдержки. Срабатывает стабильно, потому что peopleware чинить сложнее, чем патчить софт.
Третий тренд — использование легитимных инструментов администрирования против самих компаний. PowerShell, PsExec, WMIC — всё, что админ использует для удалёнки, после компрометации работает против него. Обнаружить такую активность сложно, потому что она не отличается от обычной.
Для пользователя это значит, что очередной «взлом базы данных» на самом деле часто — результат того, что какой-то забытый сервер висел в интернете с дефолтным паролем. Или сотрудник перешёл по ссылке, которая выглядела как корпоративный портал.
Отдельно отмечу: исследование не про шифровальщиков. Про разведку, закрепление и кражу данных. Шифрование — уже финал, когда цель — уничтожить, а не украсть.
Ссылку на полный отчёт оставлю в комментариях. Тому, кто отвечает за безопасность в компании, — маст рид.
#ИБ #исследование #JetCSIRT #утечки
