Всего в ходе исследования было выявлено 31,5 млн скомпрометированных учётных данных, хотя менее 3% из них были похищены непосредственно с заражённых устройств с помощью инфостилеров.
Credential Exposure Benchmark Report охватывает учётные данные, впервые обнаруженные за 12 месяцев, предшествовавших 1 сентября 2026 года. Кроме того, в отчёте рассматриваются пять отраслей: финансовые услуги, потребительские товары и услуги, государственный сектор, бизнес-услуги и здравоохранение.
Большинство скомпрометированных учётных данных не были украдены недавно. Около 30,7 млн, или 97% от общего числа, были взяты из дампов утечек и комболистов — подборок ранее слитых логинов и паролей, которые распространяются среди киберпреступников.
Оставшиеся 844 000 учётных данных — менее 3% от общего числа — были извлечены непосредственно с заражённых устройств с помощью инфостилеров.
Такие атаки способны раскрыть не только пароли. Инфостилеры также собирают сессионные cookie-файлы, позволяющие пользователям оставаться авторизованными в сервисах, — а это более явный признак недавней компрометации.
Несмотря на небольшую долю среди всех скомпрометированных учётных данных, заражения инфостилерами затронули значительную часть изученных компаний.
В 41% компаний как минимум одни украденные учётные данные были связаны с рабочим адресом электронной почты, что указывает на заражение устройства сотрудника. Ещё у 31% учётные данные, связанные с вредоносным ПО, относились исключительно к клиентским аккаунтам.
«Инфостилер не останавливается на одном пароле. Он может похитить сессионные cookie, сохранённые учётные данные и доступ к нескольким аккаунтам», — заявил Борха Родригес, руководитель отдела анализа угроз Outpost24.
Различия между отраслями оказались заметнее, чем между странами.
Больше всего скомпрометированных учётных данных оказалось у компаний сферы потребительских товаров и услуг: у типичной фирмы их было 498, и почти все принадлежали клиентам.
Компании сферы бизнес-услуг столкнулись с большим риском среди сотрудников: у 47% из них вредоносное ПО похитило как минимум один рабочий логин.
В финансовом секторе оказалась самая высокая в целом доля компаний с учётными данными, связанными с инфостилерами, — 77%.
У европейских компаний в среднем было 224 скомпрометированных логина — на 22% больше, чем 184 у типичной американской фирмы. В Европе самый высокий средний показатель зафиксирован у компаний из Северных стран — 358 на фирму, а самый низкий — в Испании, 133.
Наиболее уязвимой группой по сочетанию отрасли и страны стали потребительские компании из стран Бенилюкса — в среднем 1 285 утёкших учётных записей.
«Тысячи украденных клиентских логинов говорят о совсем иной ситуации, чем несколько скомпрометированных аккаунтов сотрудников», — сказал Родригес.
Outpost24 советует службам безопасности рассматривать обнаружение инфостилера как возможный признак более масштабной компрометации, а не просто сбрасывать затронутый пароль.
В случае сотрудников это означает проверку заражённого устройства на наличие других похищенных данных и завершение активных сессий. Для клиентских аккаунтов требуются сброс паролей, дополнительные проверки аутентификации и мониторинг мошеннической активности.
Это различие важно, поскольку количество скомпрометированных учётных данных не обязательно отражает серьёзность инцидента безопасности.
Ритейлер с тысячами скомпрометированных клиентских аккаунтов может казаться более уязвимым, чем банк с одним заражённым ноутбуком сотрудника. Но это единственное устройство может открыть злоумышленникам доступ к активной сессии внутри систем компании.
Этот риск иллюстрируют несколько недавних инцидентов — например, атаки 2024 года на клиентов Snowflake, в которых использовались учётные данные, украденные с помощью инфостилеров.
В октябре злоумышленники получили доступ к репозиториям Meta на GitHub, воспользовавшись украденным логином сотрудника. Binance также установила, что кража 6,3 млрд долларов стала возможной из-за вредоносного ПО, установленного на компьютерах инженеров.
Опубликовано 4 ноября 2026 - 04:52 Наверх
