Вор, который дёргает все ручки

Представьте вора, который идёт по улице и по очереди дёргает ручки всех дверей подряд. Раньше такой вор был редкостью: работа долгая, скучная, и почти все двери заперты. Поэтому он выбирал дома побогаче, а скромный подъезд обходил стороной.

Теперь вместо вора по улице идёт робот. Он не устаёт, не скучает и проверяет тысячу дверей за то время, пока человек проверил бы одну. И ему всё равно, чья это дверь: крупного завода или маленькой мастерской.

Это не страшилка про будущее. Так уже происходит.

Один человек и сто компаний

В конце сентября один человек написал короткое задание, по сообщениям, меньше ста иероглифов, и отдал его ИИ-агентам. ИИ-агент — это программа на основе нейросети, которой дают цель и отпускают: дальше она сама решает, что делать. Несколько недель агенты без участия хозяина перебирали сайты, искали слабые места и пробовали войти. Они проверили больше 1 200 сайтов в США, Канаде, Австралии и Японии и, по данным Reuters, проникли на сайты больше чем ста компаний. Среди них оказались производитель сельхозтехники John Deere, производитель двигателей Cummins и бытовой техники SharkNinja.

Самое неприятное здесь — цена. По оценке исследователя, который нашёл эту кампанию, на работу агентов ушло около 5 000 долларов. Это примерно 50 долларов за каждый успешный взлом. Справедливости ради: в Deere заявили, что до важных данных взломщики не добрались, а в SharkNinja — что угрозу устранили. Но сама арифметика меняет правила игры.

Что ещё случилось за эти дни

Октябрь вообще выдался тяжёлым. Вот только то, о чём компании и исследователи рассказали открыто.

Microsoft. 21 октября Microsoft рассказала об атаке группы, которую связывают с Китаем. Взломщики зашли не в лоб, а через ConnectWise: это компания, чьими программами тысячи организаций делают резервные копии своей рабочей почты и документов в Microsoft 365. По данным Microsoft, нападавшие работали с помощью ИИ-агентов, пытались войти больше чем в 2 250 организаций со скоростью до 2 900 попыток в минуту и в части из них получили права администратора. Иногда меньше чем за три часа.

Railway. Название переводится как «железная дорога», но поезда здесь ни при чём. Railway — облачная платформа, на которой разработчики со всего мира держат сайты и приложения. 21 октября компания сообщила, что посторонние могли добраться до секретных ключей и паролей её клиентов, и попросила всех срочно их сменить. По словам самой Railway, это часть серии атак на такие платформы: охотятся за ключами к платным ИИ-сервисам, чтобы пользоваться ими за чужой счёт.

GitLab. Это хранилище программного кода, которым пользуются миллионы разработчиков и компаний. 21 октября в нём закрыли дыру с максимальной оценкой опасности, 10 из 10: через неё можно было выполнить на чужом сервере любые команды без всякого пароля. Дыра жила в программе с 2014 года. Здесь история со счастливым концом: заплатку выпустили раньше, чем нашлись следы, что дырой кто-то воспользовался. Но всем, у кого GitLab стоит на собственном сервере, пришлось срочно обновляться.

PHP. На этом языке программирования работает большинство сайтов в интернете, от интернет-магазинов до блогов. В октябре в нём нашли сразу две критические дыры: через них можно захватить сервер, не зная никакого пароля. Хостинг-провайдеры, у которых живут сайты, разослали клиентам срочные письма. В том, что пришло и нам, сказано прямо: «в ближайшие часы ожидаются массовые попытки взлома». Не через недели, а через часы.

Capcom. Японская компания, создатель известных видеоигр, сообщила о взломе, который может затронуть больше 11 миллионов учётных записей игроков. Связаны ли с этим ИИ-агенты, компания не говорит, и не за каждой утечкой стоят именно они. Но такие истории идут одна за другой, и масштаб у них соответствующий.

Почему это касается каждого

Раньше между «в замке нашли дефект» и «через него уже лезут» проходили недели. Такой дефект называют уязвимостью. Теперь, когда ручки дёргают роботы, на это уходят часы.

Раньше многих спасала мысль «да кому мы нужны». Взломать маленький сайт стоило дороже, чем на нём можно было взять. Теперь эта защита не работает. Робот не выбирает, он перебирает. Если у вас открыт старый замок, его найдут не потому, что охотились за вами, а потому, что проходили мимо.

Бояться не надо. Запирать — надо

Хорошая новость в том, что роботы ищут не хитрые лазейки, а открытые двери. Почти все такие взломы проходят через одни и те же простые вещи: старые программы, слабые пароли, забытые доступы, доверчивость. Значит, и защищаться можно простыми вещами. Вот минимум, на который хватит одного вечера.

1. Обновляйте всё, и без отсрочки. Телефон, компьютер, сайт и дополнения к нему. Каждое обновление — это смена замка, к которому у воров уже есть отмычка. Кнопка «напомнить позже» сегодня обходится дороже, чем год назад.
2. Включите вход с подтверждением. Это когда кроме пароля нужен ещё код из СМС или приложения. В первую очередь на почте: через неё сбрасывают пароли от всего остального, это ключ от всех дверей сразу. Потом там, где живёт ваш сайт, в банке, в соцсетях бизнеса.
3. Разные пароли для разных мест. Один пароль на всё — это один ключ от квартиры, машины и сейфа. Запоминать их не нужно: встроенный менеджер паролей в телефоне или браузере справится сам.
4. Проверьте, у кого есть ключи. Фрилансер, который делал сайт три года назад. Бывший сотрудник. Знакомый, который «один раз помог с почтой». Если человек больше с вами не работает, доступа у него быть не должно. Заодно закройте двери, которыми никто не пользуется: старый сайт, тестовую версию, забытую страницу входа.
5. Сделайте копию. Сайт, клиентская база, важные документы должны лежать ещё где-то отдельно, на случай если основное место пострадает. И один раз попробуйте из этой копии восстановиться: копия, из которой ничего нельзя достать, — не копия.
6. Не доверяйте срочности. ИИ теперь пишет письма без единой ошибки, подделывает голос начальника и ставит правильный логотип. «Срочно оплатите», «подтвердите вход», «ваш аккаунт заблокирован» — повод остановиться и проверить по другому каналу: перезвонить, зайти в личный кабинет самому, а не по ссылке из письма.
7. Если у вас есть ИИ-помощник, поставьте ему потолок. Бот на сайте или в мессенджере тоже может стать целью: его могут засыпать сообщениями, чтобы сжечь бюджет. Лимит расходов и доступ только к тому, что ему действительно нужно, решают эту задачу.

Что сделали мы

На этой неделе мы прошли этот список сами, по всему нашему хозяйству. Нашли несколько мест, которые стоило подтянуть, и подтянули. Ушёл на это вечер. Ничего героического, обычная гигиена, как мыть руки в сезон простуд.

Вместо вывода

Нейросети не сделали взломщиков гениальнее. Они сделали их быстрее и дешевле. Поэтому главная защита сегодня — не дорогая программа и не паранойя, а привычка: обновить, запереть, проверить, у кого ключи.

Источники: Reuters (кампания Cairn, 19.10.2026); Microsoft Threat Intelligence в изложении The Record и The Register (ConnectWise, 21–22.10.2026); Railway (раскрытие инцидента 21.10.2026); TechTarget и рекомендации GitLab (21–22.10.2026); разработчики PHP (исправления 8.2.35–8.5.12) и рассылка хостинг-провайдера от 21.10.2026; сводка Privacy Guides за 16–22.10.2026 (Capcom).