60% российских компаний рискуют потерять контроль над своей IT-инфраструктурой из-за критических уязвимостей

Бизнес на грани угрозы кибербезопасности

Анализ результатов тестирования на проникновение, проведенного мобильным оператором МегаФон в 2025 году, показал, что большинство российских организаций имеют уязвимости высокого и критического уровней в защите своих информационных систем. Согласно этому исследованию, подобные недостатки были выявлены у 60% предприятий.

К уязвимостям высокого уровня относятся проблемы в системах аутентификации, которые позволяют обходить защитные механизмы, уязвимости в веб-приложениях, способные привести к утечке данных, а также ошибки в настройках сетевых служб, создающие дополнительные возможности для проведения кибератак. Проблемы критического уровня могут привести к получению контроля над контроллерами домена, что предоставляет злоумышленникам максимальные права доступа к корпоративной инфраструктуре, а также к несанкционированному доступу к конфиденциальной информации.

В 36% случаев были обнаружены уязвимости среднего уровня. Хотя эти недостатки сами по себе не обеспечивают полного контроля над системой, они могут стать важным звеном в последовательности кибератаки и поставить под угрозу более защищенные части инфраструктуры. При этом только 4% компаний, прошедших такое тестирование, не имели серьезных пробелов в защите.

В тестировании на проникновение приняли участие организации из различных секторов экономики:

• 60% представляли электроэнергетику, информационные технологии и промышленность;
• 20% были из финансового сектора;
• по 8% пришлось на предприятия недвижимости, рекламы и медиа, а также розничной торговли.

Тестирование на проникновение - это безопасный метод оценки уровня защищенности информационных систем компании путем имитации действий потенциальных злоумышленников. В процессе такого тестирования специалисты анализируют внешние и внутренние сети, проверяют веб-приложения и мобильные сервисы, оценивают устойчивость к атакам социальной инженерии и тестируют системы аутентификации. По завершении работ компания получает подробный отчет с описанием выявленных уязвимостей и пошаговыми рекомендациями по их устранению и предотвращению.

Среди различных видов тестирования на проникновение наибольшей популярностью пользуется внешнее тестирование. С начала текущего года спрос на него увеличился на 48% по сравнению с общими показателями за 2024 год. На втором месте по востребованности находятся проекты по комплаенсу, включающие анализ соответствия систем требованиям регуляторов, нормативных документов и отраслевых стандартов. Их число возросло на 75% за тот же период. Услуга по расследованию уже произошедших инцидентов показала самый значительный прирост, превышающий 100%, однако доля таких работ составляет всего 4% от общего объема.

Спрос на тестирование на проникновение растет ежегодно примерно на 30%, и в настоящее время рынок достиг рекордных показателей. По оценкам экспертов, к концу 2025 года количество таких проектов удвоится по сравнению с прошлым годом. Этот рост объясняется увеличением числа кибератак, в том числе с применением новых угроз и методов, а также усилением регуляторных требований, таких как введение новых стандартов и ужесточение ответственности.

"Результаты нашего исследования показывают, что только 32% протестированных компаний обладают высоким уровнем защиты от кибератак. Еще 23% имеют средний уровень защищённости, а оставшиеся 45% - низкий. Проведение пентестов - лишь первый шаг к построению эффективной системы кибербезопасности. Анализируя результаты такого комплексного тестирования, компания может определить слабые места в своей инфраструктуре и понять, как правильно выстраивать защиту", - отмечает директор по развитию корпоративного бизнеса МегаФона Наталья Талдыкина.