Слабые пароли остаются главной проблемой безопасности российских компаний

Компания DSEC (входит в Группу компаний «Солар») провела анализ защищённости информационных систем российских компаний в 2025 году. Основными проблемами стали слабые пароли, неправильные настройки контролей доступа и устаревшее ПО. Отчёт основан на анализе 390 проектов по проверке защищённости и тестированию на проникновение с января по декабрь 2025 года. Среди заказчиков были компании из разных отраслей — финансы, промышленность, ретейл и другие. При этом 53% заказчиков представляли коммерческие структуры, а 47% — госсектор. В 73% случаев во внутренних сетях компаний сотрудники использовали пароли по умолчанию или один и тот же пароль к разным учётным записям.

Специалисты моделировали кибератаки на внешнем периметре в 14% проектов и на внутреннем — в 20%. Также проверили веб-приложения в 45% случаев; корпоративные Wi-Fi-сети, сертификации и десктоп-приложения — в 21% случаев. По итогам всех проектов выявили в организациях 5,3 тысячи уязвимостей различного уровня критичности.

В 78% проектов по внешнему тестированию хакер мог бы использовать уязвимости для проникновения во внутреннюю сеть, скомпрометировать хосты внешнего периметра или получить доступ к чувствительным данным и критичным системам. Неправильные настройки контроля доступа оказались основной проблемой в 33% случаев, устаревшие версии софта — в 28%, внедрение вредоносного SQL-кода — в 20% случаев, слабые и словарные пароли — в 20% и выполнение вредоносного произвольного кода — в 13%.

Эксперты отмечают, что все выявленные уязвимости несут серьёзную угрозу для безопасности компаний. В 87% проектов по внутреннему пентесту специалисты смогли получить контроль над доменом и разным критичным объектам компании.

Главными проблемами внутренних периметров российских компаний в 2025 году были слабые пароли в 53% проектов, ПО с известными уязвимостями — в 42%, неправильные настройки контроля доступа — в 37%, уязвимые центры сертификации — в 22% и повторное использование паролей — в 20%.

Кроме того, в 47% веб-приложений обнаружена хотя бы одна уязвимость высокого уровня критичности. Среди них чаще встречались недостатки, связанные с некорректной реализацией контроля доступа — в 46% случаев и внедрением SQL-кода в запросы к базе данных — в 14%.

Специалисты также изучили исходный код веб-приложений. В 42% случаев он содержал уязвимости, которые в руках хакеров могли бы нанести ущерб активам компании. В ходе анализа десктоп-приложений, не требующих для работы подключения к интернету, хотя бы одну уязвимость нашли в половине из них.

В 43% случаев уязвимости Wi-Fi-сетей и отсутствие корректных сетевых разграничений позволили бы хакерам получить доступ во внутреннюю сеть компании.

В дополнение специалисты провели симуляцию фишинговых рассылок, чтобы вычислить вероятность реализации кибератак из-за человеческого фактора. В 100% случаев хотя бы один сотрудник перешёл по вредоносной ссылке. А ещё в 86% случаев получатели ввели свои учётные данные на фейковом сайте или запустили вредоносное ПО.