Solar AURA: ключевые внешние цифровые угрозы для российских компаний в первой половине 2026 года

Об отчете

Отчет составлен на основе данных DRP-сервиса мониторинга внешних цифровых угроз Solar AURA ГК «Солар». Аналитика базируется на результатах мониторинга публичных и закрытых сегментов интернета по клиентам и пилотным проектам центра Solar AURA:

• 1,2 млн+ доменных имен и выданных SSL-сертификатов (пул источников динамически обновляется каждые сутки);
• более 2500 Telegram-каналов противоправной тематики и даркнет-форумов;
• 50 млн DNS-запросов в сутки.

Отчетный период включает январь – июнь 2026 года.

О сервисе Solar AURA

Сервис Solar AURA включает одиннадцать модулей, которые можно подключить отдельно или в комплексе:

• «Антифишинг» – обеспечивает полный цикл противодействия фишингу: от выявления доменных имен и интернет-ресурсов, которые могут быть использованы в противоправных действиях в отношении заказчика или от его имени, и до реализации комплекса мер по оперативной блокировке подобных ресурсов.
• «Утечки» – помогает оперативно выявлять факты компрометации чувствительной для компании информации в публичных источниках.
• «Услуги» – отслеживает сообщения о махинациях и готовящихся атаках, объявления о вербовке сотрудников, предложения о продаже конфиденциальных данных, запросы на компрометацию инфраструктуры и другие публикации о нелегальных услугах, затрагивающих компанию.
• «Инфраструктура» – осуществляет непрерывное обнаружение новых или некорректно выведенных из эксплуатации информационных активов, что позволяет снизить риски, связанные с теневым IT.
• «Бренд компании» – выявляет широкий перечень нарушений, затрагивающих бренд компании: от фейковых страниц в соцсетях и мессенджерах до мобильных приложений, использующих название и логотип организации или ее продукты. Обеспечивает юридическое сопровождение в целях предотвращения неправомерного использования объектов интеллектуальной собственности.
• «Юрлица» – предоставляет информацию о юридических лицах, выставленных на продажу на специализированных площадках и используемых для совершения противоправных действий.
• «Личный бренд» – отслеживает появление фейковых личных аккаунтов в соцсетях, случаи компрометации личных и корпоративных учетных данных, оценивает информационный фон вокруг персоналий компании, фиксирует появление негативных или компрометирующих публикаций.
• «Медиаполе» – выявляет в открытом доступе публикации, способные негативно повлиять на информационную или экономическую безопасность компании, в частности сведения об используемых средствах защиты информации, регламентах работы, особенностях ИТ-инфраструктуры и т. п.
• «Антидроп» – обнаруживает факты использования интернет-эквайринга банка, банковских карт, а также привязанных к счетам номеров телефонов для оплаты запрещенных в РФ услуг; собирает сведения о банковских картах, используемых при отмывании или обналичивании нелегальных денег; мониторит сайты с интернет-эквайрингом защищаемого банка на соответствие заявленному виду деятельности; предоставляет сведения для проверки контрагентов.
• «Тренды» – осуществляет поиск в более 2500 Telegram-каналах и чатах тексты противоправной тематики по произвольным словам и отслеживает появление новых сообщений по сохраненным шаблонам.
• «Резюме» – мониторит популярные площадки по поиску работы, отслеживает появление новых резюме, в которых компания клиента указана в качестве текущего работодателя, и предоставляет общие данные об их содержании.

В I полугодии 2026 года количество зарегистрированных утечек сократилось на 47%, однако заявленный объем данных вырос на 31%. Фишинговая активность увеличилась на 10%, при этом сервис стал значительно быстрее блокировать вредоносные ресурсы. Одновременно заметно изменилась доменная инфраструктура фишинга, а в противоправном сегменте интернета было зафиксировано 333,5 тысячи фактов использования платежных инструментов. Основные изменения внешних цифровых угроз – в отчете Solar AURA.

Главные тенденции

• Количество утечек снижается, но количество утекающих данных растет
• Смена отраслевой структуры резкая: вместо госсектора основную массу строк в 2026 году формируют финансы и услуги – вместе 66% полугодового объема.
• Количество фишинговых ресурсов увеличивается: рост составил порядка 10%.
• Скорость реагирования на фишинг сильно выросла: 52% ресурсов блокировались не позднее четырех часов.
• Фишинг все чаще разворачивается серийно: злоумышленники переходят в доменные зоны, которые позволяет дешево и массово регистрировать вредоносные ресурсы.
• В отчетный период было выявлено около 161 тысячи уникальных реквизитов дропов. Треть из них использовалась больше одного раза.

1. Утечки данных

В I полугодии 2026 года было зарегистрировано 214 событий, связанных с утечками данных, против 406 годом ранее. При этом сокращение количества инцидентов не привело к уменьшению объема опубликованной информации: суммарный заявленный объем вырос до 378 млн строк, средний размер события увеличился на 79%, а медианный ­– на 59%. Половина событий, для которых был указан объем, затрагивала не более 51 тысячи строк данных, однако несколько очень крупных массивов подняли средний показатель до 2,5 млн строк.

Сравнение кол-ва событий

Сравнение объемов

Изменилась и отраслевая структура утечек. Если в 2025 году на госсектор приходилось 52% заявленного объема данных, то в 2026 году его доля снизилась до 4%. Лидерами стали финансовый сектор и сфера услуг – 38% и 28% соответственно, вместе почти две трети всего объема за полугодие.

Изменение показателей госсектора связано в том числе с особенностями публикаций 2025 года: несколько крупных баз данных злоумышленники относили к госорганам, хотя при проверке они с ними не были связаны. В финансовом секторе рост объема в 2026 году связан прежде всего с большим количеством относительно небольших инцидентов у микрофинансовых организаций. При этом среди крупнейших банков подобные события по-прежнему редки.

Отдельно стоит отметить сегмент среднего и малого бизнеса (СМБ). На такие компании пришлось 83% утечек в первой половине 2026 года. Это связано с ограниченными бюджетами на информационную безопасность, невысокой зрелостью процессов и тем, что СМБ нередко становятся точкой входа в цепочки поставок для атак на более крупных партнеров.

Отраслевая структура утечек по объему данных

2. Фишинг

Сервис обработал (обнаружил и заблокировал) на 10% больше фишинговых ресурсов относительно аналогичного периода прошлого года. Увеличение числа ресурсов невелико – поток остался практически тем же по масштабу. Куда важнее то, что произошло со скоростью реагирования: при сопоставимом количестве атак сервис стал закрывать их в разы быстрее, а для фишинга это едва ли не важнее самого факта обнаружения.

Доля ресурсов, заблокированных не позднее чем за 4 часа, выросла с 24% до 52% – то есть больше половины всего потока теперь купируется почти мгновенно. Одновременно длинный хвост ресурсов старше 48 часов сократился с 20% до 10%. Оба сдвига указывают на один и тот же процесс: сервис устойчиво снимает фишинговые ресурсы быстрее, чем годом ранее, причем это касается не только легких случаев, но и наиболее «живучих».

Структура времени блокировки

Структура доменных зон, используемых для фишинга, полностью перестроилась: в 2026 году 56% ресурсов пришлось на лидирующую зону .com, тогда как в 2025 году было всего 2%. В 2025 году в топе были .click (28%), .ru (21%) и .sa.com (18%). Рост доли .com объясняется тем, что киберпреступный рынок движется в сторону мультибрендовых автоматизированных фишинговых китов: злоумышленники регистрируют домен второго уровня, а на нем с помощью ИИ поднимают десятки или сотни поддоменов третьего уровня, которые могут работать в рамках кампании под один бренд или сразу под несколько. По той же причине, а также из-за дешевизны заметно выросла и активность злоумышленников в зоне .cfd: если в первой половине 2025 года на нее приходилось меньше 1% доменов, то в 2026 ее доля возросла до 9%.

Вместе с тем количество вредоносных ресурсов .ru снизилось на 46%, из-за чего доля этой доменной зоны опустилась до 12%. Одна из причин – с сентября 2026 года в России усложнились условия регистрации доменов: вступил в силу федеральный закон об обязательной идентификации администраторов доменов, обязывающий пройти эту процедуру даже держателей уже зарегистрированных ресурсов.

Доли доменных зон и публичных суффиксов

Злоумышленники стали чаще тиражировать однотипные поддомены с псевдослучайными префиксами (буквенно-числовыми фразами, сопровождающими основную часть доменного имени). Драйвером этого процесса также стала автоматизация регистрации доменов за счет ИИ в распоряжении злоумышленников.

Одновременно снизилась концентрация фишинговой инфраструктуры на крупнейших IP-адресах: доля топ-20 IP сократилась с 85% до 21%. Ресурсы стали распределяться по большему числу площадок, в том числе по абузоустойчивым хостингам (сервисам, которые медленно реагируют на жалобы или не реагируют на них), при сохранении высокой степени автоматизации их создания. Злоумышленниками это делается для того, чтобы блокировка одного популярного хостера не приводила к потере большого количества вредоносных ресурсов сразу.

Кейсы фишинга:

Три показательных кейса иллюстрируют, как меняются схемы с точки зрения содержания:

• Фейковый личный кабинет банка. Страница имитирует вход в онлайн-кабинет банка с запросом номера телефона для «получения кода» – классическая схема кражи одноразового пароля, но с точной визуальной копией интерфейса конкретной финансовой организации. Такой банковский фишинг в последние 6-7 лет почти не встречался, но именно в 2026 году наметился тренд на его возвращение.
• Страница коллективного обращения. Злоумышленники эксплуатируют общественно значимую повестку. Например, под видом петиции или коллективного обращения к органам власти жертву пытаются заставить нажать на кнопку вида «подписать обращение» и авторизоваться для этого под аккаунтом популярного мессенджера. Как только жертва соглашается, она теряет доступ к учетной записи. Схема не нова, но информационный повод регулярно меняется: например, перед Новым годом традиционно активизируются темы вроде голосования за лучшую поделку или конкурса детского рисунка.
• Страница оформления доставки. Имитация интерфейса службы доставки с «верификацией через банковскую карту» – пользователя просят выбрать один из нескольких банков и якобы пройти безопасную проверку, хотя по факту это форма для кражи платежных данных. Подобные мультибанковские «комбайны» были популярны примерно 7-8 лет назад и сейчас возвращаются в обиход: вместо отдельного сайта под каждый банк злоумышленникам достаточно одного ресурса, который в зависимости от выбора жертвы показывает фишинговую страницу нужного банка – это сразу расширяет охват на топ-3, топ-5 или топ-10 банков.

3. Платежные инструменты противоправных ресурсов

В первом полугодии 2026 года было зафиксировано 333,5 тысячи фактов использования платежных инструментов. Из них выявлено около 161 тысячи уникальных реквизитов: 110 тысяч телефонных номеров, с помощью которых осуществлялся прием денег и 51,5 тысячи банковских карт. Для сравнения: за 6 месяцев 2025 года мы выявили 68,5 тысячи случаев использования интернет-эквайринга или карт дропов, и зафиксировали более 28 тысяч телефонных номеров, с помощью которых осуществлялся прием денег. Соотношение фактов и уникальных реквизитов – больше двух к одному – говорит о заметной повторяемости: значительная часть номеров и карт использовалась больше одного раза.

Количество уникальных реквизитов

В онлайн-казино 78% наблюдений связано с телефонными идентификаторами. На наркотических площадках карточный канал преобладает и формирует 61% наблюдений. Такой дисбаланс объясняется тем, что онлайн-казино ввиду больших оборотов денежных средств обладает более развитой платежной инфраструктурой, а «наркошопы», наоборот, тяготеют к консервативным инструментам.

Платежные каналы по типу противоправного ресурса

Большая часть реквизитов короткоживущая, но треть уникальных инструментов встречается более одного раза. Пересечение категорий невелико, но их наблюдение важно, поскольку позволяет выявить площадки с общими посредниками и платежными узлами. Подобная информация представляет особую ценность для проведения расследований.

4. Выводы

Внешний цифровой ландшафт в первом полугодии 2026 года изменился сразу по нескольким направлениям. При меньшем количестве зарегистрированных утечек объем опубликованных данных вырос, а основной вклад в него внесло относительно небольшое число крупных событий. Одновременно заметно изменилась отраслевая структура: лидерами по объему стали финансовый сектор и сфера услуг, а СМБ оказались основной группой среди пострадавших организаций.

Фишинговые кампании стали более автоматизированными и распределенными: злоумышленники быстрее разворачивают серии поддоменов, но размещают их на более широкой IP-инфраструктуре. При этом сервис Solar AURA заметно ускорил блокировку вредоносных ресурсов, а доля быстро закрываемого фишинга стала существенно выше.

Платежные реквизиты, напротив, остаются короткоживущими, однако значительная их часть используется повторно. Это позволяет находить связанные площадки и платежные узлы даже при постоянной смене конкретных номеров и карт.