По данным исследования, 64% крупных компаний в 2026 году назвали основным источником киберугроз уязвимости в системах партнеров и поставщиков, интегрированных в их цифровые и операционные процессы, сообщают эксперты «Информзащиты». За период с начала 2025 года этот показатель увеличился на 11%, что свидетельствует о смещении вектора атак с периметра самой компании на ее деловую экосистему. Глобальные исследования, включая отчет IBM Cost of a Data Breach 2025 и доклад Всемирного экономического форума по киберустойчивости цепочек поставок, фиксируют аналогичную мировую тенденцию. Количество инцидентов, вызванных компрометацией сторонних организаций, по оценкам аналитиков компании, возросло примерно на 27%, причем в более чем 50% случаев атака на партнера приводила к прямым финансовым убыткам или сбоям в работе заказчика.
Сложившаяся ситуация обусловлена системными причинами. Прежде всего, наблюдается устойчивый дефицит квалифицированных специалистов в сфере управления рисками цепочек поставок. Около 42% организаций, по оценкам «Информзащиты», испытывают нехватку кадров, способных выстраивать сквозные системы оценки и контроля рисков, связанных с партнерами. Во-вторых, значительно возросла технологическая сложность бизнес-экосистем. Широкое применение API, интеграция операционных и информационных систем, а также активное использование low-code-платформ и SaaS-решений существенно расширили область потенциальных атак за рамки традиционного периметра безопасности. Дополнительным фактором стало быстрое распространение сервисов с элементами искусственного интеллекта, которые внедряются без должной проверки их поставщиков. В-третьих, влияние оказали внешние обстоятельства – усиление геополитической разобщенности, усложнение международных цепочек поставок и рост числа атак, нацеленных на каскадный эффект, когда компрометация одного подрядчика позволяет распространить ущерб на множество связанных компаний.
Такой заметный рост показателей также связан с тем, что многие крупные организации за последние годы существенно усилили собственную защиту. Киберпреступники, встречая многоуровневую оборону банков, телекоммуникационных компаний или промышленных предприятий, массово перешли к тактике «прыжков по островам» (Island Hopping) – атаке на цель через инфраструктуру ее менее защищенного партнера. Подрядчики, имеющие легальный доступ к системам заказчика, зачастую не обладают сопоставимым уровнем зрелости в области информационной безопасности, становясь идеальным каналом для действий групп вымогателей и промышленного шпионажа.
В 2025 году лидером по количеству инцидентов, связанных с партнерами, стал финансовый сектор, на который пришлось примерно 24% всех случаев. Это обусловлено глубокой цифровизацией процессов и сосредоточением большого объема конфиденциальной информации. Следом идут промышленность и машиностроение с показателем 21%, где основными источниками угроз выступают уязвимости в цепочках поставок оборудования и программного обеспечения. На долю ритейла приходится около 18% подобных событий, преимущественно из-за вовлеченности подрядчиков в сфере логистики и онлайн-торговли. Транспорт и логистика составляют 14%, телекоммуникации и IT-услуги — 13%, а оставшиеся 10% распределяются между энергетикой, здравоохранением и государственными структурами.
Для смягчения этих рисков необходим переход от разовых проверок к системе непрерывного контроля. Опыт 2025 года подтвердил важность постоянной оценки киберустойчивости ключевых контрагентов, внедрения сегментированного доступа по принципу наименьших привилегий и закрепления требований информационной безопасности в коммерческих соглашениях и SLA. Все большую роль играют совместные тренировки по отработке реагирования на инциденты, а также обмен данными телеметрии, который помогает обнаруживать атаки на начальных этапах. Особое внимание следует уделять ранжированию партнеров по степени их важности для бизнеса, чтобы средства защиты распределялись в соответствии с потенциальным масштабом ущерба. По прогнозам экспертов «Информзащиты», в 2026 году давление, связанное с рисками от партнеров, будет усиливаться. В числе ключевых мер называют внедрение автоматизированных систем оценки рисков сторонних организаций, использование разведданных об угрозах для цепочек поставок и развитие подхода Cyber Risk Rating. Преуспеют те компании, которые уже сейчас приступят к построению целостной системы управления рисками в цепочках поставок, рассматривая кибербезопасность не как внутреннюю задачу, а как неотъемлемое свойство всей бизнес-экосистемы.
