Инциденты, связанные с хакерами и кибербезопасностью, становятся все более частыми. Эти случаи охватывают системы Портового управления Сантуса, а также крупные криптобиржи, такие как Binance и Mercado Bitcoin. Кибератаки усилились и участились, причем они все чаще требуют участия всего одного хакера, что во многом связано с прогрессом искусственного интеллекта (ИИ).
Об этом свидетельствует отчет Cyber Pulse 2026 компании Acronis, опубликованный в начале ноября. В документе описывается случай, известный как BOSSAI, в котором один человек использовал более десяти моделей ИИ, подключенных к инструментам, для координации атак против государственных систем в Тайване, университетов в Таиланде и финансовых учреждений в Мексике.
Как отмечается, произошли глубокие изменения как среди сторонников, так и противников кибербезопасности. Этот новый ландшафт особенно драматичен для малых и средних предприятий. Специалисты из Olhar Digital обсудили этот «новый нормальный» сценарий.
Карло Тил, эксперт по технологиям и инновациям, объяснил, что ИИ трансформирует соотношение между возможностями, масштабом и ресурсами в цифровой среде. Он уточнил, что благодаря ИИ небольшие структуры способны достигать результатов, которые ранее требовали значительно больше ресурсов. При этом он подчеркнул, что эта способность находится в руках злоумышленников.
Леонардо Ла Роза считает, что случай BOSSAI демонстрирует, как ИИ позволяет одному человеку обладать операционным охватом групп хакеров, финансируемых правительствами. Для Карло Тил наиболее значимым аспектом этого случая является способность одного человека координировать действия в разных странах и секторах.
Джеральд Карон, директор по информационной безопасности в Acronis, добавил фактор скорости. Он заявил, что главными рисками новой реальности являются скорость и масштаб атак, а также более убедительные фишинговые кампании и мошенничества с фальсификацией идей (включая дипфейки), а также снижение барьеров входа для атакующих.
По словам Карона, ИИ предоставляет злоумышленникам инструмент для более быстрого обнаружения уязвимостей, написания фишинговых писем без орфографических ошибок, автоматизации задач в таком масштабе, который занял бы у человека гораздо больше времени, и повышения квалификации людей с ограниченными техническими знаниями (например, для написания кода).
Однако, говоря о стороне защиты, Карон отметил, что большая часть этих возможностей может использоваться положительно: ИИ способен ускорить обнаружение угроз, сортировку оповещений, анализ больших объемов журналов (логов) и автоматизацию рутинных задач реагирования на инциденты.
Тил заключил, что ИИ не породил преступное намерение, но существенно расширил возможности его реализации. В результате происходит изменение масштаба, которое делает цифровую безопасность вопросом гораздо более широкого значения, чем защита крупных организаций.
Ла Роза предупреждает, что для малых и средних предприятий риск возрастает экспоненциально, поскольку киберпреступники часто нацеливаются на поставщиков технологических услуг. Карон подчеркивает, что малые и средние предприятия особенно уязвимы, поскольку часто не имеют выделенных служб безопасности или достаточного бюджета.
Ла Роза объясняет, что компрометация одного поставщика открывает путь для вторжения в сети нескольких МСП одновременно. Он рассказал о недавнем случае с небольшой компанией: атака началась незаметно, когда сотрудник заразил свой компьютер инфостелером, предназначенным для кражи учетных данных и сессий. Используя этот первоначальный доступ, преступники перешли непосредственно в облачные среды компании, где намеренно отключили защитные инструменты и записи активности, чтобы создать слепые зоны и избежать обнаружения. В итоге это привело к полной остановке ежедневных операций и утечке конфиденциальных данных клиентов.
Этот случай, по мнению Ла Розы, подтверждает, что взлом одного компьютера сегодня является первым шагом к разрушительной цепной атаке. Другой случай, описанный директором по информационной безопасности Acronis, также подчеркнул риски ИИ для малого бизнеса. В поставщике программного обеспечения агент, основанный на ИИ, выполнял рутинную задачу в тестовой среде (staging), когда обнаружил несовместимость учетных данных. Вместо того чтобы остановить работу, агент самостоятельно решил «исправить» проблему, удалив объем хранения, что стер всю производственную базу данных и ее резервные копии на уровне томов примерно за девять секунд.
Карон особо выделил, что не было этапа подтверждения, и ни один человек не участвовал в процессе для проверки действия перед его выполнением. Ни в одной инструкции не было указано, что он должен это сделать; сам агент принял решение об исполнении. Когда генеральный директор спросил причину, агент признался, что предположил, что действие затронет только тестовую среду, не проверил эту информацию и выполнил разрушительное действие без получения запроса. В результате компания потеряла около трех месяцев данных и записей новых клиентов, а ее коммерческая деятельность была приостановлена примерно на 30 часов до восстановления данных с помощью поставщика инфраструктуры. Карон отметил, что это стало следствием отсутствия дополнительных контролей, таких как требование человеческого надзора для утверждения разрушительных действий. Агент получил токен доступа с полными разрешениями, и ничто не требовало подтверждения перед удалением.
Карло Тил настаивает, что «новый нормальный» в кибербезопасности требует «особого внимания» от малых и средних компаний. Проблема заключается в сочетании атак с расширенными возможностями и растущей зависимости бизнеса от цифровых услуг. Тил выделил три последствия. Первое — подверженность из-за зависимости от третьих лиц. Компания может иметь хорошо структурированную коммерческую деятельность, но если внешний поставщик, управляющий системами или хранящий информацию, столкнется с проблемой, заказчик также может остановиться, даже если не был первоначальной целью атаки. Таким образом, безопасность организации не заканчивается на границах ее собственных систем.
Второе последствие — подрыв доверия и репутации. Цифровой инцидент может раскрыть информацию о клиентах, нарушить обслуживание и поставить под сомнение способность организации выполнять свои обязательства. В определенных сегментах доверие является одним из главных коммерческих активов. Восстановление работы может быть относительно быстрым, но восстановление доверия бренда — это совсем другое дело.
Наконец, третье последствие — неравенство в готовности между компаниями. Крупные организации обычно располагают специализированными командами, процессами и ресурсами для управления технологическими рисками. Малым и средним предприятиям приходится совмещать эти решения с другими приоритетами, такими как рост, найм персонала, денежный поток и отношения с клиентами. Часто риск становится видимым только после того, как он уже оказал влияние. По мнению Тил, «новый нормальный» не означает, что все компании однажды станут мишенью кибератаки. Это означает, что «возможность технологического инцидента стала частью условий, при которых работает любой бизнес», отчасти благодаря ИИ.
