Рынок нелегального доступа к системам российских компаний вырос на 20%, а ИИ помогает находить критические уязвимости за день

Рынок несанкционированного доступа к корпоративным сетям российских организаций продолжает расширяться, однако темпы роста заметно замедлились. По данным Bi.Zone Threat Intelligence, за январь–июль 2026 года предложение доступов на теневых площадках увеличилось на 20%, тогда как за аналогичный период 2025 года прирост превышал 150%. Медианная цена типового доступа остаётся в диапазоне $500–600, а самыми востребованными объектами атаки остаются промышленные предприятия. Параллельно исследователи демонстрируют, как доступные ИИ-модели позволяют создавать рабочие эксплойты для критических уязвимостей за считанные часы.

Динамика рынка и ценообразование

По информации «Коммерсанта» и CNews, ежегодно на теневом рынке фиксируется несколько тысяч предложений о продаже первоначальных доступов в корпоративные сети. Услуга пользуется стабильным спросом: киберпреступникам проще массово приобретать готовые точки входа, чем самостоятельно проводить разведку и проникновение. Рост конкуренции среди продавцов сдерживает цены — медианная стоимость типового доступа, чаще всего представляющего собой компрометацию внешних служб удалённого доступа, практически не изменилась и составляет $500–600.

При этом отдельные категории лотов существенно дорожают. Доступы к доменной инфраструктуре, учётные данные с правами администратора и возможность работы с критически важными бизнес-системами оцениваются в $2000–5000 и выше. По данным Bi.Zone, в среднем лот находит покупателя за 7–14 дней. Если предложение пользуется высоким спросом, оно бронируется или переходит в статус закрытой сделки за один–три дня. Дорогие или узкоспециализированные доступы могут ждать покупателя от одного до двух месяцев и дольше.

Наиболее атакуемые отрасли

Лидером по количеству предложений на теневых ресурсах остаётся промышленный сектор — на него приходится около 20% всех объявлений. По мнению экспертов Bi.Zone, промышленные организации чаще всего становятся целью шпионских кластеров, заинтересованных в данных о новых технологиях и разработках. Значительный спрос также фиксируется на системах компаний розничной торговли и финансового сектора — по более 15% предложений на каждый. На IT-сектор приходятся примерно 10% объявлений, на сервисные и строительные организации — 8%.

Особенностью рынка является высокая доля посредников. Руководитель Bi.Zone Threat Intelligence Олег Скулкин отмечает, что значительная часть публикаций представляет собой перепродажу через третьих лиц. Особенно это заметно в Telegram: базы данных и доступы часто появляются на одной площадке, а затем распространяются по другим каналам уже от имени других продавцов, иногда с изменённым описанием, ценой или составом данных. В результате один и тот же материал может многократно возвращаться на рынок как новое предложение.

Роль искусственного интеллекта в снижении порога входа

Эксперты связывают рост количества участников теневого рынка с развитием инструментов на базе искусственного интеллекта. Аналитик Positive Technologies Дмитрий Стрельцов указывает, что ИИ автоматизирует рутинные этапы атак: разведку, подбор учётных данных, эксплуатацию типовых уязвимостей. Это привлекает в дело новых участников, которые ранее не обладали достаточными техническими навыками. При этом не все продавцы до конца понимают природу полученного доступа, поэтому рост числа объявлений не всегда означает рост реально опасных компрометаций.

Критическая уязвимость в Zoom найдена за день с помощью ИИ

Ярким подтверждением опасений экспертов стал инцидент с видеоконференцсервисом Zoom. Исследователи компании A Security создали рабочий эксплойт для критической уязвимости, получившей название Zoomsday, всего за один день, используя общедоступные ИИ-модели. Брешь была связана с функцией аннотирования, позволяющей наносить метки поверх транслируемого экрана. Для атаки злоумышленнику достаточно было организовать встречу или присоединиться к чужой конференции — после этого он мог удалённо запускать вредоносный код на устройствах остальных участников без каких-либо действий с их стороны и без визуальных признаков компрометации.

Специалист A Security Идан Левкович отметил, что создание подобных эксплойтов ранее считалось задачей государственного уровня, требующей элитных команд, месяцев работы и крупных бюджетов. Рабочий эксплойт был создан с помощью ИИ-агента и всего 20 запросов к публичным нейросетям. После раскрытия проблемы Zoom выпустила исправления для приложений на Windows, macOS, Linux, Android и iOS. Инцидент фактически подтвердил: инструменты, доступные ранее узкому кругу профессионалов, теперь могут использоваться для создания сложных атак любым пользователем публичных ИИ-моделей.

Рекомендации по защите

Для снижения рисков компрометации специалисты рекомендуют внедрять многофакторную аутентификацию (MFA) для всех удалённых сервисов и критических контуров, жестко разделять полномочия внутри сети по принципу наименьших привилегий, своевременно блокировать и отзывать права доступа при увольнении персонала или завершении работы подрядчиков, а также регулярно проводить аудит инфраструктуры и учётных записей.