Автопентест взломал 60% компаний менее чем за 13 минут

В октябре 2026 года компания Positive Technologies опубликовала результаты масштабных пилотных запусков своей платформы PT Dephaze, охвативших ключевые сектора экономики. Автоматизированные «белые хакеры» получили полный контроль над инфраструктурой или критическими данными в 60% из примерно сотни проверенных организаций. На полную компрометацию в половине успешных сценариев уходило менее 13 минут.

Но самое интересное кроется не в коде. Проблема кроется в людях. Эксплуатация классических софтверных уязвимостей сработала лишь в шести процентах всех проверенных сценариев атаки. Девять из десяти путей компрометации строились на банальных учетных данных и системных сбоях в механизмах аутентификации. Логины исследователи находили у 96% компаний, а пароли в открытом виде встречались в 77% проверок, при этом ошибки конфигурации всплывали более чем вдвое чаще, чем реальные дыры в программном обеспечении, что создает идеальную почву для автоматизированных скриптов, методично перебирающих стандартные порты. Ошибки случаются регулярно.

«Такой масштаб указывает на то, что полезные для атакующего данные сохраняются в разных компонентах инфраструктуры», — отмечают в Positive Technologies.

Речь идет о конфигурациях, служебных файлах, системных хранилищах и даже памяти процессов. На практике это выглядит так: системные администраторы часто оставляют тестовые креды в скриптах развертывания, банально забывая их удалить перед финальным релизом. В нашей редакционной практике мы не раз сталкивались с похожими случаями в крупных финтех-компаниях и ритейл-сетях. Доступ к продакшену лежал в открытом корпоративном репозитории годами, прикрытый лишь формальными правами, которые легко обходились. Никто не подозревал об угрозе.

Никита Карпов

Главный редактор

Пишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.