Эксплойты, голосовой фишинг и атаки на восстановление: что показывает отчет Mandiant M-Trends 2026

Отчет Mandiant M-Trends 2026 основан на более чем 500 тыс. часов расследований инцидентов за 2025 год и отражает реальные практики атакующих. В исследовании отмечается, что атаки становятся более организованными и распределенными, однако их успех по-прежнему связан с базовыми уязвимостями и ошибками в защите. Существенное изменение — рост кооперации между группами: один участник получает первоначальный доступ, после чего передает его другим для дальнейшей эксплуатации. По данным Google Threat Intelligence Group (GTIG), в 2025 году зафиксировано 83 кампании и 8 глобальных событий, затронувших 73 страны и все ключевые отрасли.

Общая картина угроз: что меняется

Атаки все чаще строятся по модели разделения ролей: одни группы специализируются на проникновении, другие — на развитии атаки и монетизации. Такая «цепочка» может разворачиваться за считанные секунды, что резко снижает ценность традиционного приоритезации инцидентов. Распространяются и новые техники социальной инженерии, например ClickFix — сценарий, при котором пользователя убеждают выполнить команды в системе под видом проверки или исправления ошибки.

Начальный доступ: эксплойты и новая социальная инженерия

Основным способом проникновения остаются уязвимости: в 32% расследованных инцидентов начальный доступ был получен через эксплуатацию ПО — этот показатель лидирует шестой год подряд. Одновременно меняется роль социальной инженерии: голосовой фишинг (vishing) занял второе место и используется в 11% атак, тогда как доля классического email-фишинга снизилась до 6% (против 14% годом ранее).

Также заметна роль повторного использования уже скомпрометированного доступа (prior compromise), который стал одним из наиболее распространенных векторов начального проникновения. В отчете подчеркивается, что интерактивные атаки (через звонки и мессенджеры) сложнее обнаружить и они хуже поддаются автоматической защите.

Уязвимости и цели атак

В отчете отмечается, что злоумышленники в первую очередь атакуют публичные корпоративные системы, через которые можно получить доступ к критичным данным и внутренним процессам. Наиболее часто эксплуатируются уязвимости в веб-приложениях и бизнес-платформах, особенно доступных из интернета. Среди ключевых примеров — SAP NetWeaver (CVE-2025-31324), Oracle E-Business Suite (CVE-2025-61882) и Microsoft SharePoint (CVE-2025-53770). Эти уязвимости позволяют выполнять код без аутентификации и использовать систему как точку входа в инфраструктуру. Отдельно подчеркивается, что атаки часто начинаются как разведка и закрепление, после чего могут перерасти в масштабные кампании, включая вымогательство.

Обнаружение атак и время присутствия

Компании чаще начинают выявлять атаки самостоятельно: в 2025 году на внутреннее обнаружение пришлось 52% инцидентов против 43% годом ранее. В 34% случаев о взломе сообщают внешние стороны, а в 14% — сами злоумышленники, обычно через требования выкупа. При этом среднее время скрытого присутствия (dwell time — период от проникновения до обнаружения) выросло до 14 дней против 11 дней годом ранее. Для атак, выявленных извне, этот показатель достигает 25 дней. В случаях кибершпионажа и операций северокорейских ИТ-работников злоумышленники могут оставаться незамеченными около 122 дней, используя легитимные инструменты и маскируя активность. Такие сценарии часто связаны с использованием легитимных инструментов (living-off-the-land), что усложняет обнаружение.

Действия злоумышленников после проникновения

Не все атаки напрямую связаны с вымогательством: 30% инцидентов были финансово мотивированы, что ниже показателя 2024 года (35%). При этом вымогательство остается основной формой монетизации — на него приходится 23% атак, включая ransomware и угрозы публикации данных, а сами атаки с шифрованием фиксируются в 13% случаев. Одновременно растет роль кражи данных: признаки утечек выявлены в 40% расследований против 37% годом ранее. Злоумышленники чаще похищают учетные данные и персональные данные (PII), которые затем используют для дальнейших атак, включая социальную инженерию. Также фиксируется рост инсайдерских угроз до 6%, включая случаи использования подставных сотрудников и покупки доступа у подрядчиков.

Атаки с использованием программ-вымогателей: смена логики

Атаки с использованием программ-вымогателей (ransomware) остаются значимой угрозой и зафиксированы в 13% расследованных инцидентов. Ключевое изменение — смещение атак от шифрования данных к лишению возможности восстановления. Злоумышленники целенаправленно атакуют резервные копии, системы управления учетными записями и инфраструктуру виртуализации, повышая вероятность выплаты выкупа. Атаки с использованием программ-вымогателей зафиксированы в 13% расследованных инцидентов, при этом вымогательство в целом (включая угрозы публикации данных) составляет 23% атак. При этом в 44% случаев организации узнают об атаке от самих злоумышленников, что отражает модель вымогательства. В отчете подчеркивается, что целью все чаще становится не только шифрование данных, а лишение возможности восстановления — за счет атак на резервные копии и инфраструктуру управления.

Вредоносное ПО и группы атакующих

Mandiant отмечает рост разнообразия вредоносного ПО и числа участников атак. В 2025 году выявлено 714 новых семейств вредоносного ПО, а общее число отслеживаемых превысило 6000. При этом в реальных атаках чаще всего используются не новые, а проверенные инструменты: на backdoor приходится 36% наблюдаемых семейств, далее идут загрузчики (11%), программы-вымогатели (10%) и дропперы (10%). Основной целевой платформой остается Windows — на нее приходится более 60% используемого вредоносного ПО.

Параллельно расширяется и экосистема атакующих: за год зафиксировано 661 новая группа, а всего в расследованиях участвовало 288 групп. В расследованиях 2025 года Mandiant зафиксировала активность 288 групп, из которых 205 были выявлены впервые. Это подтверждает устойчивый рост числа как финансово мотивированных, так и шпионских операций.

Роль искусственного интеллекта в атаках

Злоумышленники все активнее используют искусственный интеллект как вспомогательный инструмент, но не как основной фактор взломов. Модели машинного обучения и большие языковые модели используются для подготовки более убедительных сценариев социальной инженерии и персонализированных атак, автоматизации отдельных этапов атак и обхода защитных механизмов. Зафиксированы и более сложные сценарии — например, вредоносные программы, которые обращаются к языковым моделям во время работы, а также атаки на сами модели с целью извлечения данных и логики (так называемые атаки «дистилляции»). При этом в отчете подчеркивается, что в 2025 году не зафиксировано значимых инцидентов, где искусственный интеллект был бы непосредственной причиной успешного взлома.

Выводы и практические рекомендации

В отчете подчеркивается, что защита должна смещаться в сторону инфраструктуры, на которую сегодня нацелены атаки. В первую очередь речь идет о резервных копиях, системах управления учетными записями (identity) и платформах виртуализации — именно их злоумышленники используют, чтобы лишить компанию возможности восстановиться. Также сохраняется критическая роль защиты пограничных и сетевых устройств, поскольку эксплуатация уязвимостей остается основным вектором проникновения. Рекомендуется уделять внимание ранним сигналам атак: из-за высокой скорости «передачи доступа» даже низкоприоритетные события могут быстро перерасти в серьезный инцидент. Повышение видимости инфраструктуры и фокус на реальных техниках атак напрямую влияет на устойчивость к угрозам.

В отчете также уделяется внимание защите сетевых и пограничных устройств: эксплуатация уязвимостей в таких системах остается одним из основных способов проникновения и часто используется как начальная точка атаки.

Отчет Mandiant M-Trends 2026 доступен по ссылке.