Эксперты: автоматизированная разведка и умные боты меняют характер атак на веб‑приложения
Совместное исследование WMX и Servicepipe кибератак за первое полугодие 2026 года
03.08.2026
| Команда Servicepipe
Почти половина веб-атак на российские компании (44%) в первом полугодии 2026 года стала многоэтапной: злоумышленники все активнее комбинируют DDoS, атаки на веб-приложения и эксплуатацию бизнес-логики. К такому выводу пришли эксперты WMX и Servicepipe по итогам анализа киберинцидентов за январь—июнь 2026 года. Многоэтапные атаки сложнее обнаружить и остановить. Для защиты приходится одновременно закрывать несколько уровней — от сетевой инфраструктуры до бизнес-логики приложения. При этом почти каждая сложная веб-атака сегодня начинается с киберразведки, а количество автоматизаций (включая умных ботов) выросло в 2 раза.
Совместное исследование WMX и Servicepipe основано на агрегированных данных об атаках, зафиксированных в первом полугодии 2026 года и их сравнении с предыдущими периодами. В рамках исследования была проанализирована информация почти о 600 крупных организациях из различных отраслей, включая госсектор, ИТ, ритейл, финансы, здравоохранение, промышленность, телеком и др.
Практически каждая сложная атака на онлайн-ресурсы в отчетном периоде начиналась с киберразведки. Теперь злоумышленники не просто «прощупывают» периметр, чтобы узнать, какие сервисы на нем есть и их характеристики (например, версию ПО), а пытаются определить пороги срабатывания СЗИ для обода защиты.
Основной инструмент киберразведки – это автоматизированные сканирования, число которых за год выросло в 2 раза. Распространение инструментов на базе искусственного интеллекта и готовых наборов эксплойтов существенно ускорило этот процесс и снизило порог входа для проведения сложных атак. Современные автоматизированные системы способны имитировать поведение реальных пользователей, корректно работать с cookies и TLS-отпечатками, соблюдать ограничения по количеству запросов и даже успешно проходить CAPTCHA.
После разведки злоумышленники все чаще переходят к инфраструктурному воздействию. В первом полугодии были зафиксированы DDoS-атаки мощностью свыше 2 Тбит/с, а количество гиперобъемных атак интенсивностью более 100 Гбит/с выросло в пять раз.
«Изменился и характер атак. Наряду с продолжительными кампаниями длительностью до 22–36 часов злоумышленники активно используют серии коротких импульсных атак, рассчитанных на перегрузку средств защиты и отвлечение специалистов информационной безопасности. При этом целью становятся не только публичные сервисы компаний, но и VPN-инфраструктура, резервные каналы связи, тестовые среды и другие менее защищенные сегменты»
Анна Станюлис
Руководитель отдела по работе с партнерами Servicepipe
Пока DDoS «выматывает» инфраструктуру, злоумышленники переходят к эксплуатации веб-уязвимостей. Число атак на прикладной уровень (L7) также растет. Так, за первые шесть месяцев 2026 года было отражено 849,7 млн веб-атак, что на 27% превышает показатель аналогичного периода прошлого года.
Основная опасность связана с тем, что атаки смещаются с поиска технических уязвимостей на эксплуатацию ошибок бизнес-логики приложений.
«Атака на бизнес-логику – это использование функционала приложения против него самого. Такие атаки достаточно сложно обнаружить обычными средствами, что делает их воздействие особенно разрушительным. Эти техники все чаще используются не для компрометации инфраструктуры, а для манипуляции пользовательскими сценариями – платежами, авторизацией, бонусными программами и внутренними бизнес-процессами компаний».
Владимир Гриднев
Заместитель генерального директора по развитию бизнеса WMX
Основными целями таких атак обычно становятся критичные бизнес-процессы: авторизация, регистрация пользователей, платежные сценарии, программы лояльности, бонусные системы, оформление заказов и восстановление доступа. А основным каналом эксплуатации бизнес-логики становятся API (программные интерфейсы, через которые приложения и сервисы обмениваются данными). Через них атакующие автоматизируют подбор сценариев, обход ограничений, массовое выполнение операций и атаки на учетные записи.
Эксперты ожидают, что именно многоэтапные атаки станут основным сценарием киберугроз в ближайшие годы. Поэтому защита отдельных компонентов инфраструктуры уже недостаточна — компаниям потребуется комплексный подход, объединяющий анти-DDoS, WAF, защиту API и средства противодействия интеллектуальным ботам.
Команда Servicepipe