Аналитики сервиса защиты веб-приложений Solar WAF ГК "Солар" выяснили, что за январь-сентябрь 2026 г. злоумышленники провели 24,7 млн высококритичных атак на веб-ресурсы российских компаний, что на 108% больше, чем за аналогичный период 2025 г. (12,1 млн инцидентов). Всплеск последовал за массовым сканированием веб-сервисов злоумышленниками при помощи искусственного интеллекта (ИИ).

Сложившаяся тенденция стала следствием применения злоумышленниками ИИ-сканеров для поиска веб-уязвимостей. В июле 2026 г. Solar WAF зафиксировал рекордные 389,4 млн событий информационной безопасности, связанных со сканированием. Рост год к году составил 53% - в июле 2025 г. насчитывалось 254 млн событий.

"Злоумышленники продолжат наращивать использование ИИ в атаках, поскольку это позволяет им масштабировать деятельность и поддерживать высокую интенсивность атак. В 2026 г. департамент киберразведки F6 зафиксировал девять прогосударственных APT-групп, которые использовали ИИ-инструменты на разных этапах атак на российские компании. Для сравнения, в 2025 г. подобные атаки в России были единичными. Однако нам пока не встречались случаи реализации полностью автономных ИИ-атак в реальных условиях, поскольку они ресурсозатратны и сложны в реализации. Но в целом гибридные атаки уже активно используются APT-группами, в том числе в кампаниях на российский бизнес, поэтому нужно их учитывать при построении ландшафтов угроз", - отметила руководитель отдела исследования кибератак департамента киберразведки АО "Ф6" (F6) Алена Шандер.

Однако руководитель отдела технического пресейла ООО "Айти Таск" (IT Task) Михаил Тимаев считает, что неправильно связывать рост количества атак исключительно с ИИ: "Нейросети действительно ускоряют поиск уязвимостей и автоматизируют подготовку атак, но есть и другие причины. Например, увеличивается количество доступных из интернета веб-сервисов и приложений, при этом компании не всегда успевают своевременно устранять уязвимости. Злоумышленникам зачастую достаточно найти систему с известной, но еще не закрытой проблемой безопасности, при этом рост количества атак не означает увеличения количества успешных взломов".

Как утверждают аналитики ГК "Солар", всплеск большинства типов веб-атак высокой критичности пришелся на III квартал 2026 г., когда хакеры начали эксплуатировать уязвимости, обнаруженные ими в июле. Под веб-атаками высокой критичности подразумеваются атаки, успешное проведение которых способно нанести существенный ущерб организации, эксплуатирующей уязвимое веб-приложение.

Среди типов веб-атак высокой критичности, количество которых заметно выросло, аналитики Solar WAF в первую очередь выделили SQL-инъекции. При таких атаках злоумышленник пытается внедрить посторонние команды в запрос к базе данных, что может привести, например, к утечке информации. За январь-сентябрь 2026 г. количество таких событий увеличилось на 79% - с 2,1 млн до 3,8 млн. Пик пришелся на июль: было зафиксировано 1,18 млн событий против 217 тыс. в июле 2025 г. (рост составил 444%).

"SQL-инъекции существуют больше 25 лет, и, казалось бы, все уже должны научиться защищаться от них. Но как показывает практика - это не так. Когда мы проводим анализ защищенности веб-приложений различных организаций-клиентов, то регулярно находим SQL-инъекции. Часто они встречаются во внутренних системах, которые компании разрабатывают своими силами. Такая система может быть открыта для доступа из интернета всего через одну форму, о которой, судя по всему, давно забыли. Последствия вполне конкретные и прозаичные: кража клиентской базы, несанкционированный доступ к системе, изменение данных", - отметил эксперт по информационной безопасности АО "Инфозащита" (ITProtect) Алексей Беспояско.

Также на 37% выросло и количество событий типа DNS Rebinding - с 4,1 млн за девять месяцев 2025 г. до 5,7 млн за аналогичный период 2026 г. Эта техника позволяет злоумышленникам получать доступ к ресурсам корпоративной сети в обход ограничений браузера на домены. Максимальный всплеск пришелся на июль: количество таких событий достигло 1,83 млн против 120 тыс. годом ранее (рост более чем в 15 раз).

Количество событий, связанных с удаленным выполнением кода (Remote Code Execution, RCE), за девять месяцев выросло на 31% - со 144 тыс. до 189 тыс. При успешной эксплуатации уязвимости такая атака позволяет злоумышленнику выполнять команды на сервере. Наибольшее количество событий зафиксировано в сентябре - 40,8 тыс., то есть в четыре раза больше, чем годом ранее (9,9 тыс.).

"Удаленное выполнение кода (RCE) представляет особую опасность: при успешной эксплуатации уязвимости злоумышленник может выполнять команды на сервере, устанавливать вредоносное ПО и пытаться получить доступ к внутренней инфраструктуре компании. При этом четырехкратный рост количества RCE-событий зафиксирован в сентябре 2026 г. относительно сентября 2025 г. За девять месяцев 2026 г. их количество увеличилось на 31%. Важно учитывать, что речь идет о зарегистрированных попытках атак, а не о подтвержденных взломах", - уточнил руководитель BI.Zone WAF ООО "Бизон" Алексей Романов.

"В 2026 г. мы отчетливо увидели, как ИИ обостряет угрозу веб-атак. Новый инструмент масштабирует их проведение сразу по нескольким направлениям. Во-первых, он повышает эффективность сканеров. Во-вторых, делает сам процесс сканирования проще, понижая порог вхождения в киберпреступность и вовлекая в нее много низкоквалифицированных злоумышленников. К сожалению, такая тенденция имеет тревожные последствия: на фоне применения ИИ неумолимо растет и количество атак высокой критичности. Даже один такой успешный инцидент способен нанести серьезный ущерб целевой компании. Сложившаяся ситуация не дает нам возможности думать, что критичность угроз снизится. Наоборот - мы не исключаем ее роста", - подытожил руководитель направления WAF ГК "Солар" Алексей Пашков.