Подвержены уязвимости

Как показало исследование результатов пентестов, проведенное специалистами «МегаФона» в 2025 году, 60 процентов компаний имеют уязвимости высокого и критического уровня.

К первой категории относятся дефекты в системах аутентификации, позволяющие обходить защиту, слабые места в веб-приложениях с риском утечки данных, а также проблемы в конфигурации сетевых сервисов, создающие дополнительные точки для атак. Изъяны критического уровня могут привести к захвату контроллеров домена с получением максимальных прав к корпоративной инфраструктуре, несанкционированному доступу к конфиденциальным данным.

В 36 процентах случаев выявлены уязвимости среднего уровня, которые не дают полного контроля над системой, однако они могут стать важным звеном в цепочке атаки и скомпрометировать более защищенные компоненты инфраструктуры.

И только 4 процента компаний не имеют серьезных пробелов в защите.

Пентесты (безопасный способ оценки защищенности информационных систем организации путем имитации действий злоумышленников) проводились среди компаний разных отраслей и направленности—сферы электроэнергетики, ИТ и промышленности (60%), финансового сектора (20%), предприятий недвижимости, рекламы и медиа, розничной торговли (по 8%).

Из всех типов пентестов наиболее востребованным остается внешнее тестирование — с начала этого года спрос на него вырос на 48 процентов по сравнению с результатами за весь 2024 год. На втором месте — проекты по комплаенсу (анализ соответствия систем требованиям регуляторов, нормативным документам и отраслевым стандартам). Их количество увеличилось на 75 процентов за тот же период. Наибольший прирост (более 100%) показала услуга по расследованию уже произошедших инцидентов, однако такие работы занимают всего 4 процента от общего объема.

Спрос на пентесты растет ежегодно примерно на 30 процентов, однако сейчас рынок достиг рекордных показателей. По оценкам экспертов, к концу 2025года их количество увеличится в два раза по сравнению с прошлым годом, что объясняется ростом числа кибератак, в том числе с применением новых угроз и методов, а также усилением регуляторных требований (введение новых стандартов и ужесточение ответственности).