Эксперты компании «Информзащита» выявили, что в 2026 году средства удаленного доступа использовались в 62% киберинцидентов, не связанных с компрометацией деловой электронной почты. В 2025 году их доля составляла 49%, за год показатель вырос на 13 п. п. В эту категорию входят атаки через RDP, VPN и системы удаленного мониторинга и управления RMM.

Причина такой динамики связана прежде всего с тем, что удаленный доступ изначально предполагает возможность подключения к корпоративной инфраструктуре извне. VPN-шлюзы, серверы RDP и RMM-платформы используются администраторами, подрядчиками, технической поддержкой и сотрудниками филиалов, поэтому полностью убрать их из внешнего контура во многих компаниях невозможно. Для атакующего такой сервис представляет удобную точку входа. При наличии действующей учетной записи или возможности обойти механизм аутентификации ему не требуется доставлять сложное вредоносное ПО на рабочую станцию пользователя. Активность может начинаться с обычного подключения к легитимному сервису и внешне выглядеть как действия штатного специалиста.

Пароли от VPN, RDP и административных систем попадают в руки злоумышленников после фишинговых кампаний, заражений инфостилерами, утечек из сторонних сервисов и компрометации подрядчиков. Риск возрастает там, где для удаленного подключения не используется MFA, разрешена парольная аутентификация без дополнительных факторов, учетные записи годами сохраняют избыточные права, а доступ открыт для широкого диапазона внешних адресов. Отдельная проблема связана с сервисными и техническими учетными записями. Они реже используются людьми в повседневной работе, поэтому смена паролей и пересмотр привилегий для них нередко откладываются. При этом именно такие записи могут давать расширенный доступ к инфраструктуре.

Разбивка по основным векторам первоначального проникновения показывает, что удаленный доступ заметно опережает эксплуатацию программных уязвимостей. На RDP, VPN, RMM и другие внешние средства удаленного подключения приходится 65% инцидентов вне BEC. Еще 11% связаны с эксплуатацией известных уязвимостей, причем в рассмотренных случаях исправления для них уже существовали. Годом ранее доля этого вектора достигала 29%. Еще 8% пришлось на ошибки конфигурации и злоупотребление доверенными связями, хотя ранее их совокупная доля не превышала 1%. Оставшиеся около 16% распределяются между другими сценариями первоначального доступа, включая загрузку вредоносного ПО, социальную инженерию и менее распространенные способы компрометации. Получается, что злоумышленники все чаще выбирают сценарии, в которых можно использовать уже существующую инфраструктуру доступа и доверия, вместо разработки отдельного эксплойта.

Рост доли удаленного доступа объясняется и архитектурой корпоративных сетей. Пограничные устройства часто совмещают несколько функций и обладают высокими привилегиями. Компрометация VPN-шлюза, RMM-сервера или системы администрирования может сразу дать атакующему возможность работать с несколькими сегментами сети. После входа начинается сбор информации об инфраструктуре, поиск доменных учетных записей, повышение привилегий и горизонтальное перемещение. Скорость такого сценария заметно выше, когда удаленный сервис уже интегрирован с Active Directory, имеет доверительные отношения с другими системами или позволяет запускать команды на множестве рабочих станций. В расследованиях фиксировались случаи, когда после первоначального доступа злоумышленники переходили к контролю доменной инфраструктуры за считанные минуты.

Наиболее заметные риски формируются в отраслях, где удаленное администрирование используется постоянно и охватывает большое число систем. В здравоохранении показатель составил 33%, в образовании — 25%. Эти значения нельзя напрямую приравнивать к доле атак через RDP, VPN или RMM из статистики расследований, поскольку использовалась другая методика, однако отраслевой разрез показывает, где проблемы с безопасностью удаленного доступа проявляются особенно часто. Для технологических и сервисных компаний риск связан с большим числом административных подключений и клиентских сред, для промышленности — с сочетанием удаленного обслуживания и устаревающей инфраструктуры, а для здравоохранения и образования — с большим числом разнородных систем и ограниченными возможностями быстро менять их конфигурацию.

Отдельное внимание требуется RMM-платформам. Такие системы создавались именно для централизованного управления парком устройств, поэтому их функции совпадают с тем, что нужно атакующему после проникновения. Через легитимный агент можно запускать команды, устанавливать программное обеспечение, передавать файлы и управлять удаленной машиной. Это осложняет детектирование, поскольку сам факт запуска RMM-клиента не является признаком атаки. Аналогичная проблема возникает с VPN. Успешная аутентификация с корректными учетными данными может не вызвать срабатывания средств защиты, хотя подключение выполняется злоумышленником. Поэтому контроль только вредоносных файлов и сигнатур сетевых атак не закрывает этот сценарий.

Снижать риск необходимо одновременно на уровне идентификации пользователя, сетевой архитектуры и мониторинга. Для всех внешних административных подключений необходимо использовать MFA и по возможности отказаться от факторов, которые можно повторно применить после кражи учетных данных. Прямой RDP-доступ из интернета следует исключить, а VPN и RMM-сервисы ограничить по источникам подключения и доступным сегментам. Административные и сервисные учетные записи необходимо отделять от пользовательских, сокращать их привилегии и регулярно менять учетные данные, особенно после устранения уязвимостей на пограничных устройствах. Логи VPN, RDP, RMM, служб каталогов и средств защиты конечных точек должны анализироваться совместно, поскольку аномалия часто заметна не в самом факте подключения, а в последовательности действий после него. Дополнительный эффект дают сегментация сети, контроль новых RMM-инструментов, ограничение административных интерфейсов и регулярная инвентаризация всех внешних сервисов. При доле удаленного доступа в 65% инцидентов защита этого контура должна рассматриваться как отдельная задача управления доступом, а не только как часть стандартной настройки сетевого периметра.