II Кибервойна и критическая инфраструктура·Анализ·Америка

Злоумышленник не взламывает дверь, а входит с ключом поставщика

За три дня три инцидента указали на одну и ту же дверь. Учётные данные приложения резервного копирования открыли 173 арендатора, инструмент удалённой поддержки использовали семь недель, а в Японии утечки пришли из платёжного и облачного слоя. Слепое пятно — не пользователь, а доверенная программа.

Отдел киберугроз и критической инфраструктуры · 18 октября 2026 г. · 7 мин чтения · 6 источников

Почему это важно

Шум — рекордное число утёкших записей. Сигнал — злоумышленник входит не с паролем пользователя, а с учётными данными приложения поставщика, которому организации заранее выдали широкие права. В случае ConnectWise 15 октября за окно в 2 часа 21 минуту был получен доступ к 173 арендаторам без какой-либо многофакторной проверки. Ограничение — не безопасность паролей, а инвентаризация разрешений: большинство организаций не знает, кто и какие права выдал каким приложениям.

Последствия

Huntress на 17 октября подтвердил несанкционированный вход в 173 арендатора Microsoft 365 с украденными учётными данными ConnectWise Cloud Backup; как минимум в одном права повышены до глобального администратора.
Уязвимость в инструменте удалённой поддержки BeyondTrust эксплуатировалась с 29 августа; Mandiant связал атаку с поддерживаемой государством Китая шпионской группой, подтверждение получено 16 октября.
Yamato 16 октября сообщила о выгрузке 5,31 млн записей из платёжного сервиса, Nikkei — о похищении 1,83 млн записей из облака для разработки.

Шум

Утечки бьют рекорды, проблема в числе записей.

Сигнал

С учётными данными приложения поставщика злоумышленник полностью обходит многофакторную аутентификацию.

Сигнал и шум ›

Карта: Злоумышленник не взламывает дверь, а входит с ключом поставщика

Шум — число записей, сигнал — цепочка доверия

Шум таков: утечки бьют рекорды. В Японии 16 октября Yamato раскрыла 5,31 млн записей, Nikkei — 1,83 млн, и заголовки читают это как гонку цифр. Чем больше число, тем сильнее реакция смещается к ужесточению паролей и обучению сотрудников распознавать фишинг.

Сигнал находится в другом месте. Ни в одном из трёх крупных случаев, раскрытых за последние 72 часа, злоумышленник не вошёл через парадную дверь организации. Он использовал программу доверенного поставщика, его ключ или связанный с ним слой сервиса. Этот путь лежит за пределами стены многофакторной аутентификации, которую последние десять лет выстраивали вокруг учётной записи пользователя.

Ключ не у пользователя, а у приложения

По данным The Hacker News от 17 октября, учётные данные ConnectWise Cloud Backup были похищены, и 15 октября между 06:13 и 08:34 UTC выполнялись входы в клиентские арендаторы. Арендатор — собственная среда организации внутри Microsoft 365. Поскольку приложение резервировало почту, файлы, переписку в Teams и каталог клиентов, оно имело права на чтение и запись ко всем этим данным.

Учётные данные принадлежали приложению, поэтому злоумышленник унаследовал эти права целиком. Не сработали ни пользователь, ни устройство, ни запрос на подтверждение. Злоумышленник обходил арендаторов по очереди с интервалом в несколько секунд. Как минимум в одном арендаторе другое приложение ConnectWise назначило себя глобальным администратором и записало новые секреты в два доверенных приложения. По данным Todyl, даже после отключения приложения выданные токены доступа остаются действительными ещё 90 минут. Заметка SpecterOps в тот же день говорит о 162 арендаторах; за день число выросло до 173.

Одна дверь в трёх формах

По данным The Record от 16 октября, уязвимость повышения привилегий в устройствах удалённой поддержки BeyondTrust использовалась как минимум с 29 августа, а компанию предупредили 27 сентября. Mandiant называет злоумышленника Armory Castle и относит его к поддерживаемым государством Китая шпионским группам, которые ведут долгосрочный сбор информации. Цели — юридические фирмы, поставщики программных сервисов, аутсорсинговые компании и госсектор. Инструмент удалённой поддержки, как и приложение резервного копирования, — доверенный мост, который ИТ-служба строит, чтобы дотянуться до каждой машины.

В Японии тот же шаблон проявляется в побочном слое. По данным Kyodo, утечка у Yamato пришла не из основной системы доставки, а из платёжного сервиса после доставки и была обнаружена 28 сентября. По данным Jiji, 1,83 млн записей Nikkei вышли из облачного сервиса, который использовался при разработке систем. В обоих случаях данные лежали в связанной среде, на которую не распространялся стандарт безопасности основной системы.

Почему ограничение ужесточилось именно сейчас

Согласно обзору The Register от 17 октября, Dragos насчитал 1020 инцидентов с программами-вымогателями против промышленных организаций в первом квартале 2026 года и 1140 — во втором. По тем же данным, достаточным мониторингом охвачено менее 10% сетей операционных технологий. Октябрьский отчёт Armis добавляет, что у 73% организаций есть системы автоматизации зданий, которые уже использовались в атаках вымогателей.

Эти цифры указывают на одно структурное ограничение. Чем строже организации защищают учётные записи пользователей, тем активнее злоумышленник переключается на программные идентичности с широкими правами и слабым надзором. Резервное копирование, удалённая поддержка и автоматизация зданий играют в трёх разных отраслях одну роль: это учётная запись, у которой есть доступ ко всему, но за которой никто не следит ежедневно.

Что дальше

Первый индикатор — объявление ConnectWise о перевыпуске учётных данных и окончательный подсчёт арендаторов от Huntress. Второй — введёт ли Microsoft новое предупреждение или ограничение по умолчанию для ключей, добавляемых к субъектам-службам. Третий — будут ли новые раскрытия утечек в Японии до конца октября снова связаны с побочным слоем.

Наше прочтение: наиболее вероятный путь — эти три случая запустят волну проверок разрешений сторонних приложений, которая превратится в новые условия страховых договоров и договоров поставки. Тезис опровергнет объяснение случая ConnectWise паролем пользователя или ошибкой сотрудника. Тогда ограничение окажется не в идентичности приложения, а в классической безопасности учётных записей.

Вероятности

Сценарии

Сценарий	Вероятность	Триггер	Влияние на рынки
H1Волна проверок разрешений	50 %	ConnectWise перевыпускает учётные данные, число затронутых арендаторов остаётся на уровне нескольких сотен, организации сужают разрешения сторонних приложений.	Инцидент закрывается, не превратившись в утечку данных, но инвентаризация разрешений становится вопросом соответствия.
H2Всплывают бэкдоры	30 %	Число арендаторов с новыми записанными секретами растёт, уязвимость BeyondTrust эксплуатируется массово, поступают сообщения об утечках данных.	Инцидент выходит за пределы одного поставщика и превращается в волну шпионажа и утечек, охватывающую юридические, программные и государственные организации.
H3Ограниченный инцидент	20 %	ConnectWise подтверждает, что данные не выгружались, патч BeyondTrust быстро устанавливается, в Японии не раскрываются новые крупные утечки.	Инциденты закрываются по отдельности, структурных изменений не происходит.

Модуль A

Матрица ограничений

СРЕДНЕЕ СТРУКТ. 4,0 · СРЕДНЕЕ ОПЕР. 2,7Преобладают структурные ограничения: исход определяется скорее этими рамками, чем предпочтениями участников.

Структурные ограниченияустойчивые · не зависят от воли участников

Идентичность приложения вне аутентификации
5/5
Учётные данные принадлежали приложению, поэтому в 173 арендаторах многофакторная аутентификация не сработала; злоумышленник унаследовал ранее выданные права вроде Directory.ReadWrite.All.
Привилегии инструмента удалённой поддержки · Китай
4/5
Уязвимость BeyondTrust использовалась около 7 недель — с 29 августа до подтверждения 16 октября; инструмент служит мостом к каждой конечной точке.
Данные в побочном слое · Япония
4/5
Около 8 лет данных, накопленных в платёжном сервисе Yamato с 1 октября 2018 года, и 1,83 млн записей в облаке разработки Nikkei хранились вне основной системы.
Срок жизни выданных токенов
3/5
По данным Todyl, даже после отключения приложения выданные токены доступа действуют до 90 минут; окно реагирования работает на злоумышленника.

Операционное трениевременное · ослабевает со временем

Источник учётных данных неизвестен недели
3/5
ConnectWise не объяснила, как были похищены учётные данные; организации не могут оценить тот же риск в приложениях других поставщиков.
Пробел в мониторинге операционных технологий месяцы
3/5
По данным Dragos, достаточным мониторингом охвачено менее 10% сетей операционных технологий; 30% реагирований в 2025 году начались не с сигнала тревоги, а с того, что проблему заметил персонал.
Число арендаторов ещё меняется дни
2/5
Подсчёт Huntress 16 октября составлял 162 арендатора, 17 октября — 173; масштаб инцидента ещё не определён.

Модуль B

Сигнал и шум

СИГНАЛ 60 % · ШУМ 40 %

ШУМ
Утечки бьют рекорды, проблема в числе записей.
Yamato раскрыла 5,31 млн записей, Nikkei — 1,83 млн; но в обоих случаях данные вышли не из основной системы, а из связанных слоёв вроде платёжного сервиса и облака разработки.
nippon.com (Jiji) — More Japanese Firms Disclose Details of Data Breaches
СИГНАЛ
С учётными данными приложения поставщика злоумышленник полностью обходит многофакторную аутентификацию.
15 октября между 06:13 и 08:34 UTC с одной идентичностью приложения выполнен вход в 173 арендатора; в одном из них права повышены до глобального администратора.
The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
СИГНАЛ
Государственный шпионаж использует тот же доверенный мост.
Уязвимость в инструменте удалённой поддержки BeyondTrust эксплуатировалась с 29 августа; Mandiant определил группу как поддерживаемую государством Китая Armory Castle.
The Record — Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day
ШУМ
Атака на французские супермаркеты — дело рук государства.
Бывший сотрудник Министерства внутренней безопасности США Мэтт Хейден считает атаки не государственными, а оппортунистическими; личность злоумышленника до сих пор не раскрыта.
The Register — Cybercrims go beyond stealing data to attack physical building systems
СИГНАЛ
Инциденты с вымогателями в промышленности растут от квартала к кварталу.
Dragos насчитал 1020 инцидентов в первом квартале 2026 года и 1140 — во втором; достаточно отслеживается менее 10% сетей операционных технологий.
The Register — Cybercrims go beyond stealing data to attack physical building systems

Модуль C

Выводы по классам активов и позиционированию

Класс активов	Экспозиция	Канал трансмиссии	H1	H2	Ожидаемое	Уверенность	Горизонт	Что отслеживать
Акции	ПО для управления идентификацией и доступом	Растёт спрос на контроль разрешений приложений и служебных идентичностей	+	++	+1,10	●●●	3–12 мес.	Объявление Microsoft о новом ограничении по умолчанию для разрешений приложений
Акции	Поставщики управляемых услуг и ПО для ИТ-поддержки	Перебои в обслуживании, отток клиентов и судебные риски	−	−−	−1,10	●●●	0–3 мес.	Подтверждённые сообщения об утечках данных по делам ConnectWise и BeyondTrust
Фрахт и страхование	Премии по киберстрахованию	Риск сторонних приложений закрепляется в условиях полисов	+	++	+1,10	●●●	3–12 мес.	Пункты страховщиков о сторонних приложениях и проверке поставщиков
Волатильность	Общая волатильность акций	Премия за риск растёт, если инцидент у поставщика перекинется на госсектор и финансы	0	+	+0,30	●●●	0–3 мес.	Порог 25 по индексу волатильности

Эффекты второго порядка

И что потом?

Отправная точка

Украденные учётные данные приложения для резервного копирования 15 октября открыли 173 арендатора Microsoft 365 в обход многофакторной аутентификации; ConnectWise отключила приложение.

1
Управляемые услуги и облачные операциив течение дней
Поставщики управляемых услуг массово отключают сторонние приложения и проверяют ключи, добавленные после 13 октября; у клиентов временно останавливаются резервное копирование и сервисы управления.
Что отслеживать: Дата восстановления доступа приложения ConnectWise и объявление о перевыпуске учётных данных
2
Киберстрахование и правила платформв течение месяцев
Платформы и страховщики начинают рассматривать разрешения приложений как отдельную статью риска; для приложений с широкими правами записи в каталог вводятся дополнительные условия и проверки.
Что отслеживать: Объявление Microsoft о новом ограничении по умолчанию для разрешений приложений и пункты о сторонних приложениях в киберполисах
3
Концентрация поставщиковв течение месяцев
Для небольших организаций проверка поставщиков дорожает, и рынок управляемых услуг концентрируется у меньшего числа крупных провайдеров. Турецкие МСП, которые ведут облачное резервное копирование через внешнего поставщика, используют ту же модель разрешений и столкнутся с той же нагрузкой по соответствию.
Что отслеживать: Объявления о слияниях в секторе управляемых услуг в октябре–декабре и изменения цен у провайдеров

Что обрывает цепочку

Цепочка остановится на первом шаге, если случай ConnectWise объяснят классическим взломом учётной записи пользователя или будет установлено, что данные не выгружались. Если Microsoft сделает контекстное ограничение доступа для идентичностей приложений правилом по умолчанию, второй шаг решится, не дойдя до страховщиков.

Триггеры

Пороги для наблюдения

Показатель	Порог	Сегодня	Значение
Индекс волатильности VIX	> 25	16,46	Рост индекса волатильности выше 25 покажет, что киберинциденты со стороны поставщиков вышли за рамки отраслевых затрат на соответствие и стали событием, влияющим на общий аппетит к риску.

Источники

Правила работы с источниками и проверки: методология · Сообщить об ошибке: контакты

Связанные доклады

IVМакро и долг·Анализ·Америка

Средняя ставка по госдолгу США догоняет рынок, и дефицит раздувают проценты

США закрыли 2026 финансовый год с дефицитом 1,992 трлн долларов, и две трети его прироста дали процентные расходы. Средняя ставка по долгу 3,53%, доходность 10-летних бумаг 5,09%. По мере сокращения разрыва счёт растёт независимо от решений центрального банка.

Отдел макроэкономики и долговых рынков · 18 октября 2026 г. · 9 мин

IVМакро и долг·Анализ·Америка

Центробанки замрут в октябре, а судьбу декабря решит стойкость энергошока

ФРС, ЕЦБ, Банк Англии и Банк Канады реагируют на один и тот же энергетический шок с разной скоростью. На заседаниях 28–29 октября рынок закладывает паузу. Настоящее решение придёт с ноябрьскими данными о том, перешла ли энергетика в цены услуг.

Отдел макроэкономики и долговых рынков · 17 октября 2026 г. · 9 мин

IVМакро и долг·Углубленный анализ·Америка

Инфляция ускорилась, облигации подорожали, а руки ФРС связывает кредитный рынок

Инфляция цен производителей в США 15 октября выросла до 6,3%, а доходность 10-летних бумаг в тот же день снизилась на 10 б. п. Напряжение в долге ИИ-компаний связывает решение ФРС по ставке сильнее, чем инфляция.

Отдел макроэкономики и долговых рынков · 16 октября 2026 г. · 12 мин