Киберугрозы малого и среднего бизнеса в 2026

Добрый день, на связи Авдей Мартынович, руководитель подразделения по работе с СМБ в ALP ITSM.

Думаете, что кибератаки затрагивают только корпорации? Это ошибка, которая дорого обходится малому и среднему бизнесу. Такие компании давно в списке целей злоумышленников, просто не до всех дошла очередь. И то, что ваши данные пока не всплыли в новостях, — не признак высокой защищенности. Чаще это вопрос везения: до вас просто еще не добрались.

Один антивирус и работа системного администратора не создают полноценную защиту. Для снижения рисков нужны управляемые доступы, регулярные обновления, резервное копирование с проверкой восстановления, многофакторная аутентификация (MFA), мониторинг событий и понятный план действий при инциденте.

В статье разберем, почему малый и средний бизнес оказался в прицеле киберзлодеев и как выстроить оборону без бюджета условного Газпрома.

Предупрежден — значит, вооружен. В материале — текущая ситуация с киберугрозами и практический план перестройки ИТ-стратегии с целью избежать пополнения печальной статистики.

Это статья для руководителей компаний малого и среднего бизнеса, у которых уже есть корпоративная ИТ-инфраструктура: рабочие станции, почта, учетные системы, удаленный доступ, локальные или облачные серверы.

Это подтверждает статистика. Сбер оценил возможный ущерб экономике от кибератак за январь–август 2025 года примерно в 1,5 трлн ₽. По оценке Сбера, число кибератак за это время выросло втрое. Тренд сохраняется: по прогнозу Positive Technologies, в 2026 году число успешных кибератак на российские компании может вырасти еще на 30–35%.

Речь не только о крупном бизнесе. По опросу ГК «Солар», 82% российских компаний малого и среднего бизнеса за последний год сталкивались с киберинцидентами. Масштаб потерь вырос многократно.

• Вымогатели требовали у крупного бизнеса 4–40 млн рублей, у малого и среднего — от 240 тыс. до 4 млн; максимальная заявленная сумма 2025 года — 50 биткоинов, около 500 млн рублей.

• Отдельная статья расходов — утечка персональных данных: с 30 мая 2025 года штраф для компании составляет от 3 до 15 млн рублей за первый эпизод, а при повторном нарушении — от 1 до 3% годовой выручки.

Киберугрозы перестали быть абстракцией и стали конкретной реальностью.

Рост атак не случаен. В основе три системных фактора: ускоренная цифровизация, импортозамещение в режиме аврала и появление ИИ в арсенале злоумышленников.

Цифровизация в спешке

Компании массово переводят процессы в цифру, внедряют новые платформы, интеграции, автоматизацию — общий курс задает и национальный проект «Экономика данных и цифровая трансформация государства», стартовавший в 2025 году. Каждое изменение расширяет поверхность атаки: появляются новые учетные записи, внешние подключения, интеграции и подрядчики. Риск создает не цифровизация сама по себе, а внедрение без оценки угроз и контроля доступов. Формируется большой технологический долг. Компании малого и среднего бизнеса часто не уделяют внимания базовой гигиене информационной безопасности (ИБ) и реагируют уже на «пожар».

Ускоренное импортозамещение

Государство требует импортозамещения от владельцев объектов критической информационной инфраструктуры (КИИ). На CNews FORUM в ноябре 2025 года глава Минцифры озвучил последний крайний срок импортозамещения КИИ — до 1 января 2028 года. За срыв сроков Минцифры предлагает ежегодный оборотный штраф. Списки критичных объектов теперь утверждает правительство. Чтобы защитить свой периметр, крупные заказчики (субъекты КИИ) могут потребовать от поставщиков такой же «чистоты» ПО и сертификации. При этом атаки через подрядчиков за 2025 год выросли более чем вдвое.

Искусственный интеллект в руках атакующих

ИИ служит не только помощником, но и инструментом злоумышленников. Через ИИ организуют персонализированный фишинг, создают поддельные аудио и видео, проводят многоступенчатые кампании.

Атаки становятся сложнее, а защита многих компаний осталась на уровне 2020 года.

Для малого и среднего бизнеса критичны не только сложные целевые атаки. Чаще ущерб начинается с базовых сценариев, которые легко масштабировать: фишингового письма, украденного пароля, неустановленного обновления или доступа через подрядчика.

Фишинг с использованием ИИ. Злоумышленники делают убедительные письма, поддельные страницы входа, аудио и видео от имени руководителей. Отсюда — регулярное обучение сотрудников, понятный канал проверки подозрительных запросов и MFA.

Компрометация учетных записей. Почта, VPN (защищенный удаленный доступ в сеть компании), RDP (протокол удаленного рабочего стола), облачные сервисы и учетные записи администраторов — основные точки входа. Защита начинается с MFA, ревизии прав и отключения неактуальных записей.

Шифровальщики и остановка работы. Цель атаки не только выкуп, но и остановка продаж, производства, логистики. Критичны изолированные резервные копии и регулярная проверка восстановления.

Атаки через поставщиков и подрядчиков. Небольшая компания становится промежуточной точкой входа в инфраструктуру крупного заказчика. Значит, нужен контроль внешних доступов и требований к подключению подрядчиков.

Ошибки при миграции и импортозамещении. Смена ПО, перенос данных и новые интеграции создают точки риска, если проверка безопасности остается «на потом».

Многие компании до сих пор живут в логике:

«У нас есть админ, стоит какой-то антивирус, значит, мы защищены».

Цифры говорят об обратном.

По результатам проектов PT SWARM — команды тестирования на проникновение Positive Technologies при внешних тестах на проникновение проникнуть во внутреннюю сеть удалось в 96% проектов, а при внутренних тестах в 100% случаев исследователи получили контроль над доменом.

Типовые причины:

• слабые и словарные пароли;

• отсутствие многофакторной аутентификации;

• устаревшее ПО с известными уязвимостями;

• ошибки в разграничении прав доступа;

• отсутствие обучения сотрудников против фишинга.

То есть проблема в базовой ИТ-гигиене и управлении ИТ-рисками.

Этот перекос особенно заметен в малом и среднем бизнесе. Средний годовой бюджет малого и среднего бизнеса на информационную безопасность — 100–500 тыс. рублей, и лишь 4% компаний тратят больше 5 млн в год. При этом даже начинающий специалист по ИБ получает от 60 тыс. рублей в месяц, а средняя предлагаемая зарплата в отрасли приближается к 99 тыс. рублей и за четыре года выросла почти на треть.

Фактически малый бизнес пытается противостоять глобальному криминальному рынку с ограниченным набором ресурсов и средств защиты. В таких условиях вопрос не в том, взломают или нет, а в том, когда это случится и насколько вы к этому готовы.

Отдельная проблема — иностранное ПО безопасности, которое многие продолжают использовать. Из-за санкций некоторые из решений перестают обновляться, продлить поддержку не получается. То есть формально антивирус установлен, но фактически уязвимости копятся, а риск успешности атак растет.

По данным отчета CODE RED 2026 и независимой аналитики, чаще всего атакуют следующие отрасли:

• промышленность — 17% всех атак (рост на 6 п.п. к 2023-му);

• госучреждения — 11%;

• ИТ-компании — 9%;

• телеком-операторы — 7%;

• финансовый сектор стабильно остается среди приоритетных целей.

Но даже если вы не относитесь к этим отраслям, вы, скорее всего, либо поставляете им услуги, либо зависите от их устойчивой работы.

При этом малый и средний бизнес становится «слабым звеном в цепочке»: через такие компании злоумышленникам легко «войти» в крупный бизнес. Поэтому их защита должна быть тоже серьезной, так как сейчас именно они становятся удобный входом для злоумышленников. 

У малого и среднего бизнеса возможности не столь велики, как у корпораций. Но можно рассчитывать и на адекватные средства защиты: малому бизнесу нет смысла строить оборону уровня госкорпораций, но и «символической защиты» уже недостаточно. Атаки масштабируются, и даже базовые уязвимости монетизируются.

И начать правильней с аудита. Он проводится с целью максимально честного вскрытия всех огрехов и недостатков. Проведя аудит однажды, его необходимо повторять не реже одного раза в год.

Необходимый минимум:

Это первое, с чего начинается любой аудит. Невозможно оценить достаточность или избыточность мер по обеспечению безопасности, не имея на руках актуальной модели угроз.

Слабые «вечные» пароли, активные аккаунты уволенных с доступом повсюду в корпоративной сети, бардак в моделях доступа — по отчету Verizon Data Breach Investigations Report (DBIR) 2026 украденные пароли впервые уступили первое место среди способов проникновения: 31% взломов начинается с эксплуатации уязвимостей в программном обеспечении.

Закажите независимый пентест — контролируемую попытку взлома силами сторонней команды — с согласованным сценарием, границами работ, правилами эскалации и запретом на действия, которые могут нарушить работу критичных систем. Проверка «своими силами» нерелевантна — админы знают, что защитили и пытаются пробить эту защиту. А посторонний человек попробует найти незащищенную лазейку.

По отчетам в компании эшелонированная оборона от всех видов атак. На деле часто оказывается, что на ключевое решение истекла лицензия, а несколько компонентов скомпрометированы. Выход — своевременное приобретение прав пользования, импортозамещение. Причем если компания подпадает под отраслевые или регуляторные требования, средства защиты нужно выбирать с их учетом — вплоть до сертификата ФСТЭК — Федеральной службы по техническому и экспортному контролю.

И еще: часто неконтролируемые каналы доступа появляются изнутри: сотрудники сами ставят обходные средства, чтобы получить доступ к привычному зарубежному сервису. Часто и начальство требует обеспечить подключение к любимым Claude, Confluence и прочим Canva. Поэтому любое ПО на рабочих станциях должны устанавливать только сотрудники ИТ-подразделения. Все туннели, клиенты частных сетей и прочие «костыли» должны быть либо грамотно ограничены, либо запрещены. Пользователь установил что-то сам? Если это нужное, но не подходит под критерии безопасности — в план замены. Подходит? В чек-лист комплектации рабочих мест.

Если в контуре информационной безопасности есть импортный софт, замену стоит спланировать заранее: оценить применимые требования, совместимость, качество поддержки и возможности безопасной настройки.

В результате аудита должны появиться несколько документов. Это, в частности:

• актуальная модель угроз;

• матрица рисков;

• план по минимизации последствий или устранению рисков с разбивкой по кварталам.

Провести такой аудит собственными силами небольшой компании вряд ли реально: администратор не может проверить сам себя. Поэтому здесь целесообразен аутсорсинг, который даст не только заключение, но и ту самую матрицу рисков и план мероприятий.

Импортозамещение

Импортозамещение — не самостоятельная мера киберзащиты, а управляемый проект изменения ИТ-ландшафта. Замена иностранного ПО на отечественное должна быть планомерной. График вывода одних средств и ввода вместо них других нужно составить так, чтобы не парализовать основную работу компании. Как и в любых других внедрениях, здесь работает практика пилотных проектов со всесторонним тестированием нового ПО в боевом режиме до того, как передавать его в промышленную эксплуатацию.

Цель пилотных настроек и проверок — устранить уязвимости. Без этого этапа очень велик риск получить вместо одной уязвимости целый набор новых.

Виртуальный ИТ-директор

Многие компании малого и среднего бизнеса объективно не могут позволить себе штатного ИТ-директора (CIO) или директора по информационной безопасности (CISO) с опытом построения комплексной защиты, собственного центра мониторинга атак (SOC) и импортозамещения.

Выходом может стать внешний ИТ-директор: он берет на себя ИТ-стратегию, приоритизацию инициатив по уровню риска, контроль подрядчиков и координацию проектов, включая базовое управление киберрисками. Если нужна узкая экспертиза — построение SOC, расследование инцидента, выполнение требований регулятора, — подключается профильный ИБ-специалист.

Это возможность привлечь внешнего ИТ-директора за долю от стоимости найма сильного инхаус-специалиста. Для МСП это зачастую единственный реалистичный путь.

Не уверены, что у вас закрыт базовый минимум информационной безопасности?

IT Check-up — экспресс-диагностика без подключения к серверам и остановки бизнеса: два-три интервью, короткий отчет на языке денег и рисков, что чинить в первую очередь. Срок 3–5 рабочих дней.

Заказать ИТ чек-ап

Независимо от масштаба компании, есть набор мер, который нельзя откладывать:

Навести порядок в правах доступа. Часто это самая большая дыра в безопасности.

Ревизия «забытых» учеток. Проверьте и отключите учетные записи уволенных сотрудников и тех, кто не заходил в систему более двух месяцев.

Аудит прав администратора. Регулярно пересматривайте, у кого есть права администратора. Часто их выдают временно для решения задачи, а потом забывают забрать.

Ограничение удаленного доступа. Убедитесь, что доступ к серверам (например, по RDP) есть только у тех, кому это действительно необходимо для работы.

Актуализация групп доступа. Периодически проверяйте, кто и на каком основании имеет доступ к важным ресурсам. Отдельный контроль за учетными записями, у которых есть возможность удаленно подключаться к информационным системам компании, то есть попадать во внутренний контур из любой точки мира и с любого устройства. Компьютер могут украсть, и злоумышленник запросто получит доступ ко всем системам, если компания пренебрегает базовой безопасностью и не обучает сотрудников азам киберграмотности.

Это базовый уровень, которым часто пренебрегают.

Политика паролей. Установите минимальную длину не менее 14–15 символов, требуйте уникальные пароли для разных сервисов и запрещайте распространенные и скомпрометированные комбинации. Система должна блокировать пользователя после нескольких неудачных попыток входа.

Смена паролей «локального админа». Не забывайте регулярно менять стандартные пароли локальных администраторов на всех серверах и рабочих компьютерах.

Сервисные учетные записи. Назначьте каждой владельца и назначение, ограничьте права, храните секреты в защищенном хранилище и настройте контролируемую ротацию. Не используйте сервисные учетные записи для обычной работы сотрудников.

Несколько ключевых технических мер, которые укрепляют защиту:

Централизованное управление. Все рабочие устройства должны быть подключены к централизованной системе управления идентификацией, политиками и обновлениями.

Аудит системных политик. Проведите ревизию групповых политик, чтобы отключить устаревшие и потенциально опасные правила.

Включение журналирования (логирования). Настройте систему так, чтобы она фиксировала все критически важные события безопасности (например, попытки входа с неверным паролем или доступ к системным файлам).

Автоматическое завершение сессий. Настройте автоматический выход из системы для неактивных пользователей: общепринятый ориентир — не больше 15 минут бездействия на рабочих станциях и 2 минут на мобильных устройствах. Это снижает риск доступа с оставленного без присмотра устройства. От шифровальщика такая мера мало помогает: он работает через службу, украденную сессию или задачу планировщика, поэтому нужны MFA, своевременная установка обновлений, сегментация сети, изолированные резервные копии с проверкой восстановления, EDR (система обнаружения угроз и реагирования на рабочих станциях и серверах) или антивирус и контроль привилегий.

Многофакторная аутентификация. Включите MFA в первую очередь для удаленного доступа, почты, административных учетных записей и облачных сервисов. Это дает больше, чем любые требования к составу пароля.

Резервные копии. Держите несколько независимых копий, одну из них — изолированной от основной сети, и регулярно проверяйте восстановление. Копия, которую ни разу не разворачивали, резервной не является.

Все, что здесь перечислено, — лишь малая доля того, что требуется сделать, чтобы обеспечить защиту периметра, но если закрыть хотя бы эти вопросы, вы уже станете на голову выше других компаний малого и среднего бизнеса.

Количество атак растет, их качество улучшается, цена ошибки возрастает.

Старый подход «постоянно догонять угрозы точечными покупками лицензий и железа» больше не работает. Нужна осознанная ИТ-стратегия. Начать можно с честного аудита и разговора о том, какие потери компания готова терпеть, а какие — нет.

При прогнозе роста киберугроз на +35% к прошлому году лучшая стратегия — не надеяться, что «пронесет», а строить прочный дом.

Читайте «Двойной удар: почему хакеры полюбили заводы и торговые сети» (https://www.klerk.ru/blogs/it-kompania-alp-itsm/694930/) — о том, как кибератаки на первый взгляд «неинтересный» бизнес оборачиваются остановкой производства.

Хотите получать такие разборы первыми?

Подписывайтесь на Telegram-канал ALP ITSM

Подписаться

Реклама: ООО «КТ-АЛП», ИНН 7703402450, erid: 2W5zFJrfJcH