Специалисты компании «Информзащита» определили, что в 2026 году средства удаленного доступа стали причиной 62% киберинцидентов, не связанных с взломом корпоративной почты. В 2025 году этот показатель составлял 49%, демонстрируя увеличение на 13 процентных пунктов за год. К данной категории отнесены атаки, осуществляемые через протокол удаленного рабочего стола (RDP), виртуальные частные сети (VPN) и системы удаленного мониторинга и управления (RMM).
По мнению экспертов, подобная тенденция обусловлена тем, что удаленный доступ по своей сути предполагает возможность подключения к корпоративной сети извне. VPN-шлюзы, серверы RDP и платформы RMM используются администраторами, подрядчиками, службой технической поддержки и сотрудниками филиалов, поэтому их полное исключение из внешнего периметра безопасности во многих организациях представляется невозможным. Для злоумышленника такой сервис является удобной отправной точкой для атаки. Наличие действующей учетной записи или возможность обхода аутентификации позволяет избежать необходимости доставки сложного вредоносного программного обеспечения на рабочее место пользователя. Атака может начинаться с обычного подключения к легитимному сервису и выглядеть как действия авторизованного специалиста.
Данные учетные записи для VPN, RDP и административных систем становятся известны злоумышленникам в результате фишинговых атак, заражения вредоносным ПО, утечек из сторонних сервисов или компрометации подрядчиков. Риск возрастает при отсутствии многофакторной аутентификации (MFA), разрешении парольной аутентификации без дополнительных факторов, длительном сохранении учетных записей с избыточными правами доступа и открытии доступа для широкого круга внешних адресов. Отдельная проблема связана с сервисными и техническими учетными записями, которые реже используются в повседневной работе, что приводит к откладыванию смены паролей и пересмотра прав доступа. При этом именно такие записи могут предоставлять расширенный доступ к инфраструктуре.
Анализ основных векторов первоначального проникновения показывает, что удаленный доступ значительно превосходит эксплуатацию программных уязвимостей. На RDP, VPN, RMM и другие внешние средства удаленного подключения приходится 65% инцидентов, не связанных с BEC (Business Email Compromise). Еще 11% связаны с использованием известных уязвимостей, при этом для их устранения уже существовали обновления. В предыдущем году доля этого вектора составляла 29%. Еще 8% пришлось на ошибки конфигурации и злоупотребление доверенными связями, хотя ранее их совокупная доля не превышала 1%. Оставшиеся примерно 16% распределяются между другими сценариями первоначального доступа, включая загрузку вредоносного ПО, социальную инженерию и менее распространенные методы компрометации. Таким образом, злоумышленники все чаще выбирают способы использования существующей инфраструктуры доступа и доверия вместо разработки новых эксплойтов.
Увеличение распространенности удаленного доступа обусловлено особенностями построения корпоративных сетей. Устройства, расположенные на границе сети, нередко выполняют сразу несколько задач и обладают расширенными правами доступа. В случае компрометации VPN-шлюза, сервера управления доступом (RMM) или системы администрирования злоумышленник может получить возможность взаимодействия с различными сегментами сетевой инфраструктуры. После получения первоначального доступа начинается сбор информации о системе, поиск учетных записей в домене, повышение уровня привилегий и перемещение по сети. Этот процесс значительно ускоряется, если удаленный сервис интегрирован с Active Directory, имеет доверительные отношения с другими системами или позволяет выполнять команды на нескольких рабочих станциях. В ходе расследований зафиксированы ситуации, когда злоумышленники получали контроль над доменной инфраструктурой всего за несколько минут после первоначального проникновения.
Наибольшую опасность представляют отрасли, где удаленное администрирование широко применяется и охватывает большое количество систем. В сфере здравоохранения этот показатель достиг 33%, а в образовании – 25%. Следует отметить, что эти цифры нельзя напрямую сопоставить с долей атак через RDP, VPN или RMM на основе статистики расследований, поскольку использовалась другая методика анализа. Тем не менее, отраслевая разбивка позволяет выявить области, где проблемы безопасности удаленного доступа проявляются наиболее остро. Для технологических и сервисных компаний риск обусловлен большим количеством административных подключений и клиентских сред, для промышленности – сочетанием удаленного обслуживания и устаревшей инфраструктуры, а для здравоохранения и образования – большим числом разнородных систем и ограниченными возможностями оперативного изменения их конфигураций.
