Забутий піддомен і пароль за замовчуванням: як бізнес виглядає очима зловмисника

Забутий піддомен, який так і не вимкнули. Облікові дані співробітника, що три роки лежать у чиємусь витоку. Партнерський портал, про який усі забули, хоч він досі підключений. Саме з цього починає зловмисник — не з парадних дверей.

За даними Hiscox Cyber Readiness Report 2025, 59% малих і середніх компаній зазнали кібератаки за останні 12 місяців. Опитування охопило 5750 компаній у США, Великій Британії, Франції, Німеччині, Іспанії, Ірландії та Португалії й проводилося в липні-серпні 2025 року. Показник не покращується, попри зростання витрат на безпеку.

Ціна питання не обмежується рахунком за реагування на інцидент. За Consumer Risk Report від Vercara, побудованим на опитуванні 1000 дорослих американців у листопаді 2024 року, 70% споживачів перестали б купувати в бренду після інциденту з безпекою. Клієнти рідко кажуть уголос, що пішли до конкурента через злом, — вони просто зникають, і зв'язок з інцидентом усередині компанії здебільшого залишається невимірюваним.

Оцінка зовнішніх кіберризиків дивиться на організацію так, як це робить атакуючий: лише публічно видиме, без привілейованого доступу. Це принципово інша задача, ніж внутрішній аудит, який перевіряє контролі, про існування яких компанія вже знає. Внутрішня перевірка підтвердить, що правило файрвола налаштоване правильно, — але не скаже, що маркетинг півтора року тому підняв тестове середовище, забув його вимкнути, і воно досі відповідає на публічну адресу з паролем адміністратора за замовчуванням.

Зазвичай зовнішня оцінка охоплює чотири категорії експозиції: публічну поверхню атаки (домени, піддомени, відкриті сервіси), витік даних (облікові дані, документи, конфігурації з витоків чи незахищених сховищ), цифровий слід і ризик імітації (домени-двійники, підроблені профілі) та ризик третіх сторін (сигнали, що підключений постачальник несе загрозу, здатну дістатися й вашого середовища). Кожна з них невидима для інструменту, який перевіряє лише вже відомі конфігурації.

Автоматичне сканування — законна й потрібна частина оцінки, але його результат і готова оцінка не одне й те саме. Сканер побачить, що піддомен відповідає, сертифікат прострочений, порт відкритий. Він не скаже, чи актив досі належить компанії, чи його передали партнеру два роки тому, чи адреса з витоку належить людині, яка досі працює в штаті. Саме тому підтвердження власності й реальної значущості кожної знахідки потребує людської перевірки — а не ще одного автоматичного проходу.

В Україні ця проблема особливо помітна. Державний центр кіберзахисту Держспецзв'язку за перше півріччя 2026 року просканував 85 організацій — близько 581 мережевої адреси та понад 1600 доменних імен — і виявив 1700 вразливостей. 44% з них припали на застарілі або вразливі компоненти, ще 20% — на помилки конфігурації безпеки. Тобто йдеться не про гіпотетичний ризик десь у світі, а про реальний результат сканування українських організацій за одне півріччя.