Настоящий отчет подготовлен на основе агрегированных данных компаний WMX и Servicepipe, собранных в первом полугодии 2026 года. В исследовании проанализированы основные этапы современных атак, изменение тактик злоумышленников, отраслевые особенности угроз и ключевые тенденции, которые будут определять развитие ландшафта киберугроз в ближайшей перспективе.
Ключевые выводы и цифры:
• Переход к многосоставным атакам
Главная тенденция первого полугодия 2026 года – это стирание границы между инфраструктурными DDoS-атаками и классическими веб-атаками. Все чаще фиксируются комбинированные кампании, где L3/L4-флуд используется как отвлекающий маневр, а основной ущерб наносится через эксплуатацию уязвимостей API, бизнес-логики и веб-приложений.
• Рост автоматизации атак
Количество веб-атак продолжает расти, а сами атаки становятся более автоматизированными и нацеленными на уязвимости в популярных фреймворках. Массовое применение ИИ, готовых эксплойтов и ransomware-as-a-service делает проведение сложных атак доступным даже для низкоквалифицированных злоумышленников.
• Киберразведка становится обязательным этапом атак
Практически любому крупному инциденту предшествует этап разведки. К классическому «прощупыванию» периметра в 2026 году добавились активные попытки определить пороги срабатывания СЗИ.
• Основная цель – бизнес-логика
Веб-атаки смещаются с поиска технических уязвимостей на эксплуатацию бизнес-логики. То есть хакеры пытаются использовать функционал приложения против него самого. Основной канал эксплуатации бизнес-логики – это API.
Цифры:
• 44% крупных инцидентов представляли собой многоэтапные атаки, сочетающие DDoS и атаки на веб-приложения.
• 849,7 млн веб-атак было отражено за 1 полугодие 2026 года (+27%);
• Количество автоматизированных сканирований периметра выросло более чем в 2 раза, что подтверждает роль киберразведки в современных атаках.
• Доля DDoS-атак мощностью свыше 100 Гбит/с увеличилась в пять раз, а максимальная мощность превысила 2 Тбит/с.
• Число попыток удаленного выполнения кода (RCE) выросло на 40%, а злоумышленники все чаще атакуют API и бизнес-логику приложений.
Как мы считали?
Данные, представленные WMX, отражают ключевые веб-угрозы, которые были зафиксированы решением ПроWAF (межсетевой экран уровня веб-приложений).
Данные, представленные Servicepipe, фиксировались с помощью продуктов DosGate, Cybert, а также выявлялись в рамках Лаборатории кибербезопасности Servicepipe.
Скачать отчет