Кибератаки на малый бизнес в 2026: 8 сценариев и защита

«Кому мы нужны, у нас нет ничего ценного» — самая распространённая фраза владельцев малого бизнеса о кибербезопасности. На практике у любой компании есть то, за что злоумышленники готовы работать: деньги на расчётном счёте, доступ к банк-клиенту, клиентская база, которую можно продать или использовать для мошенничества, сайт с хорошей репутацией для размещения спама, а также сама возможность остановить работу и потребовать выкуп. Небольшие компании привлекательны тем, что у них нет отдела безопасности, а атака на них занимает часы, а не месяцы.

Цифры подтверждают тренд. По данным «Лаборатории Касперского», представленным в июне 2026 года, число обнаруженных и предотвращённых инцидентов в российских компаниях в первом квартале 2026 года выросло на 68% к тому же периоду 2025-го; среди векторов заметно росли банковские трояны и эксплойты (по +39%) и шифровальщики (+20%). В том же отчёте отмечается рост атак через подрядчиков и поставщиков ПО. Ниже — восемь сценариев, с которыми чаще всего сталкиваются небольшие компании, и конкретные меры защиты.

1. Фишинг, написанный нейросетью

Раньше фишинговое письмо можно было узнать по ошибкам и странным оборотам. Теперь злоумышленники используют языковые модели, и письмо «от налоговой», «от контрагента с актом сверки» или «от службы доставки» выглядит грамотно и правдоподобно. Цель — заставить открыть вложение с вредоносной программой или ввести пароль на поддельной странице.

• Фильтрация вложений на почтовом сервере: архивы с паролем, исполняемые файлы, макросы.
• Правило для бухгалтерии: любые изменения реквизитов контрагента подтверждаются звонком по известному номеру, а не по номеру из письма.
• Настройка SPF, DKIM и DMARC для своего домена, чтобы от вашего имени было сложнее рассылать письма. Подробнее — в статье SPF, DKIM и DMARC и в нашем генераторе SPF/DKIM/DMARC.

2. «Фейковый директор» в мессенджере

Сотруднику пишет «руководитель» с аккаунта с его фото и именем: «Сейчас позвонит человек из проверяющего органа, сделай всё, что он скажет» или «Срочно переведи предоплату поставщику, я в самолёте». Иногда используется голосовое сообщение, сгенерированное по записям реального голоса. Схема рассчитана на страх и спешку.

• Внутреннее правило, известное всем сотрудникам: любые просьбы о деньгах, доступах и документах через мессенджер подтверждаются звонком на известный номер или лично.
• Двойная подпись для платежей выше порога.
• Короткий инструктаж для новых сотрудников с примерами таких сообщений.

3. Шифровальщик через удалённый доступ

Открытый в интернет RDP-порт, слабый пароль администратора, удалённый помощник, установленный подрядчиком несколько лет назад, — классический вход для атак шифровальщиков. Злоумышленник подбирает пароль или использует украденный, проводит несколько дней в сети, отключает защиту, удаляет резервные копии и запускает шифрование. Что делать в момент атаки, мы разобрали в плане шифровальщик в компании: первые 24 часа.

• Закрыть RDP из интернета; удалённый доступ — только через VPN с двухфакторной аутентификацией.
• Удалить неиспользуемые программы удалённого доступа и учётные записи бывших подрядчиков.
• Резервные копии, недоступные с основных серверов, — см. невидимые резервные копии.

4. Атака через подрядчика или программу

Злоумышленникам проще взломать одного подрядчика, который обслуживает сотню компаний, чем сто компаний по отдельности. В 2026 году заметным примером стала атака на распространение популярной программы для работы с образами дисков: с официального сайта какое-то время раздавалась версия с бэкдором, заражения фиксировались более чем в ста странах, и значительная доля — в России. Для малого бизнеса типичный вариант проще: у ИТ-аутсорсера, веб-студии или бухгалтерской фирмы есть доступы ко всем клиентам, и их компрометация открывает дверь и к вам.

• Отдельные учётные записи для каждого подрядчика, а не общий пароль администратора.
• Доступ подрядчика только на время работ и только к нужным системам.
• Журнал, кто и когда заходил.
• Требования к безопасности в договоре с подрядчиком, включая ответственность за утечку.

5. Взлом сайта

Сайт на устаревшей CMS с плагинами, которые никто не обновлял несколько лет, — лёгкая цель для автоматических сканеров. Последствия бывают разными: скрытые спам-страницы, которые портят позиции в поиске; перенаправление мобильных посетителей на мошеннические сайты; внедрение скрипта, ворующего данные карт или форм; использование сервера для атак на других. Иногда владелец узнаёт о взломе из уведомления в Вебмастере или от клиента.

• Регулярные обновления CMS, плагинов и библиотек.
• Двухфакторная аутентификация для админки и хостинга.
• Заголовок Content-Security-Policy, ограничивающий загрузку посторонних скриптов — собрать его поможет генератор CSP.
• Мониторинг изменений файлов и доступности. Подробнее — в статьях что делать, если сайт взломали и мониторинг сайта.

6. Утечка клиентской базы изнутри

Не все утечки — дело рук хакеров. Менеджер, который уходит к конкуренту, выгружает базу в таблицу. Сотрудник открывает доступ к таблице с клиентами «по ссылке для всех». Тестовый стенд разработчика с копией боевой базы оказывается открыт в интернет. С 30 мая 2025 года такие инциденты обходятся дорого: за утечку данных от 1 000 человек юрлицу грозит штраф от 3 млн рублей, за повторную — процент от выручки. Подробнее — в статье об оборотных штрафах.

• Роли и права в CRM: менеджер видит своих клиентов, массовая выгрузка — только у руководителя.
• Журналирование выгрузок и уведомление о необычно больших экспортах.
• Запрет на тестовые стенды с реальными данными.
• Чек-листы по теме — в статьях как защитить CRM от утечки и права доступа.

7. Подбор паролей и повторное использование

Базы украденных паролей с других сервисов используются для автоматического входа: если сотрудник использует один и тот же пароль для личной почты и рабочей CRM, утечка на постороннем сайте открывает доступ к вашим данным. Такие атаки массовые и дешёвые для злоумышленников.

• Двухфакторная аутентификация везде, где это возможно: почта, CRM, хостинг, банк, облачные сервисы.
• Менеджер паролей для сотрудников и запрет на повторное использование паролей.
• Ограничение частоты попыток входа на собственных сервисах.
• Генерация стойких паролей — генератор паролей; подробнее о порядке с доступами — в статье пароли сотрудников.

8. DDoS и вымогательство

Атака на доступность сайта или сервиса с последующим требованием денег. Для интернет-магазина или сервиса записи даже несколько часов простоя в пиковый сезон означают прямые потери. Защита — сеть доставки контента или сервис защиты от DDoS, способный отфильтровать мусорный трафик до вашего сервера. О том, что реально работает, — в статье защита от DDoS.

Меры защиты по бюджету

С чего начать на этой неделе

1. Включите двухфакторную аутентификацию в почте, банке, CRM и панели хостинга.
2. Проверьте, открыт ли RDP или другие сервисы удалённого доступа из интернета.
3. Удалите учётные записи бывших сотрудников и подрядчиков.
4. Проверьте, где лежат резервные копии и когда в последний раз из них восстанавливались.
5. Объявите сотрудникам правило подтверждения просьб о деньгах и доступах.
6. Распечатайте план реагирования с контактами.

Пример: как одна атака проходит через несколько сценариев

Реальные инциденты редко укладываются в один сценарий. Условная история: бухгалтер получает грамотное письмо «от контрагента» со ссылкой на акт сверки и вводит пароль от почты на поддельной странице. Через почту злоумышленник находит письма от ИТ-подрядчика с учётными данными для удалённого доступа к серверу — они годами лежали во входящих. Подключается к серверу по RDP, неделю изучает сеть, находит сетевую папку с резервными копиями, удаляет их и в ночь на субботу запускает шифрование. Параллельно выгружает клиентскую базу и требует деньги за нераспространение.

Каждое звено этой цепочки закрывается дешёвой мерой: двухфакторная аутентификация в почте остановила бы атаку на первом шаге; правило «пароли не пересылаются письмами» — на втором; закрытый из интернета RDP — на третьем; изолированные бэкапы — на четвёртом; роли в CRM и журнал выгрузок — на пятом. Безопасность небольшой компании строится не из одного дорогого продукта, а из нескольких простых барьеров, каждый из которых может остановить атаку. Оценить, во что обойдётся подобный инцидент вашему бизнесу, поможет калькулятор ущерба от инцидента, а утвердить правила для паролей — генератор парольной политики.

Если хотите получить независимую оценку, закажите аудит безопасности: проверим периметр, сайт, CRM, доступы и бэкапы и дадим список мер по приоритету. Общий вводный материал — кибербезопасность для бизнеса: с чего начать.