Автоматизированная разведка и умные боты меняют характер атак на веб-приложения
Совместное исследование WMX и Servicepipe основано на агрегированных данных об атаках, зафиксированных в первом полугодии 2026 года и их сравнении с предыдущими периодами. В рамках исследования была проанализирована информация почти о 600 крупных организациях из различных отраслей, включая госсектор, ИТ, ритейл, финансы, здравоохранение, промышленность, телеком и др.
Практически каждая сложная атака на онлайн-ресурсы в отчетном периоде начиналась с киберразведки. Теперь злоумышленники не просто «прощупывают» периметр, чтобы узнать, какие сервисы на нем есть и их характеристики (например, версию ПО), а пытаются определить пороги срабатывания СЗИ для обода защиты.
Основной инструмент киберразведки – это автоматизированные сканирования, число которых за год выросло в 2 раза. Распространение инструментов на базе искусственного интеллекта и готовых наборов эксплойтов существенно ускорило этот процесс и снизило порог входа для проведения сложных атак. Современные автоматизированные системы способны имитировать поведение реальных пользователей, корректно работать с cookies и TLS-отпечатками, соблюдать ограничения по количеству запросов и даже успешно проходить CAPTCHA.
После разведки злоумышленники все чаще переходят к инфраструктурному воздействию. В первом полугодии были зафиксированы DDoS-атаки мощностью свыше 2 Тбит/с, а количество гиперобъемных атак интенсивностью более 100 Гбит/с выросло в пять раз.
«Изменился и характер атак. Наряду с продолжительными кампаниями длительностью до 22–36 часов злоумышленники активно используют серии коротких импульсных атак, рассчитанных на перегрузку средств защиты и отвлечение специалистов информационной безопасности. При этом целью становятся не только публичные сервисы компаний, но и VPN-инфраструктура, резервные каналы связи, тестовые среды и другие менее защищенные сегменты», - комментирует руководитель отдела по работе с партнерами Servicepipe Анна Станюлис.
Пока DDoS «выматывает» инфраструктуру, злоумышленники переходят к эксплуатации веб-уязвимостей. Число атак на прикладной уровень (L7) также растет. Так, за первые шесть месяцев 2026 года было отражено 849,7 млн веб-атак, что на 27% превышает показатель аналогичного периода прошлого года.
Основная опасность связана с тем, что атаки смещаются с поиска технических уязвимостей на эксплуатацию ошибок бизнес-логики приложений.
«Атака на бизнес-логику – это использование функционала приложения против него самого. Такие атаки достаточно сложно обнаружить обычными средствами, что делает их воздействие особенно разрушительным. Эти техники все чаще используются не для компрометации инфраструктуры, а для манипуляции пользовательскими сценариями – платежами, авторизацией, бонусными программами и внутренними бизнес-процессами компаний», - комментирует заместитель генерального директора по развитию бизнеса WMX Владимир Гриднев.
Основными целями таких атак обычно становятся критичные бизнес-процессы: авторизация, регистрация пользователей, платежные сценарии, программы лояльности, бонусные системы, оформление заказов и восстановление доступа. А основным каналом эксплуатации бизнес-логики становятся API (программные интерфейсы, через которые приложения и сервисы обмениваются данными). Через них атакующие автоматизируют подбор сценариев, обход ограничений, массовое выполнение операций и атаки на учетные записи.
Эксперты ожидают, что именно многоэтапные атаки станут основным сценарием киберугроз в ближайшие годы. Поэтому защита отдельных компонентов инфраструктуры уже недостаточна — компаниям потребуется комплексный подход, объединяющий анти-DDoS, WAF, защиту API и средства противодействия интеллектуальным ботам.
