Киберугрозы в Италии заметно выбиваются из мировой статистики: в 57% случаев брокеры первичного доступа проникали в организации через уязвимости, а не через похищенные учётные данные. Для российских компаний это не экзотическая история про другую страну, а наглядная цена отложенных патчей, устаревшего веб-контура и массового использования одинаковых технологий.
Италия формирует около 7% всех предложений первоначального доступа, продаваемых на криминальных форумах, и уступает по этому показателю только США с их 30%, сообщает Dark Reading со ссылкой на исследование Intel471. При этом страна занимает четвёртое место среди наиболее атакуемых программами-вымогателями. Аналитики называют Италию выбросом: её положение в киберстатистике трудно объяснить размером экономики, численностью населения или очевидными геополитическими причинами.
Не учётные записи, а открытая поверхность атаки
Главное отличие — в способе проникновения. В итальянской выборке уязвимости стали исходной точкой для 57% компрометаций, а учётные данные — лишь для 23%. В 49% объявлений брокеры продавали доступ к веб-инфраструктуре пострадавшей компании; ещё 26% приходились на средства удалённого доступа и удалённые рабочие столы.
Для сравнения, в глобальных данных Intel471 за 2025 год картина почти обратная. Инструменты удалённого доступа и RDP встречались в 67% случаев. Учётные данные фигурировали в 49% объявлений, тогда как в итальянской выборке — в 23%. Эксплуатация уязвимостей глобально составляла только 6,5% случаев. Веб-инфраструктура, которая для Италии стала главным объектом риска, оказалась настолько незначительной категорией в общем массиве, что в глобальном отчёте её отдельно не выделяли.
Речь не о том, что фишинг и утечки паролей внезапно перестали работать. Напротив, они остаются привычным и дешёвым способом попасть в корпоративную сеть. Но киберугрозы в Италии показывают другой профиль: преступникам выгоднее сканировать доступные снаружи сервисы, находить известную дыру и повторять удачную технику на множестве компаний. Такая схема хорошо масштабируется и не требует дорогой подготовки для каждой новой жертвы.
Гипотеза Intel471 — более медленное обновление систем и средств защиты. Аналитик компании Джанлука Тьеполо отмечает, что технологии EDR стали массово внедряться в Италии лишь в 2020–2021 годах, а до этого большинство компаний ими не пользовалось. В качестве косвенного подтверждения он приводит данные PHP2Shell: в Италии оказалось больше всего в Европе экземпляров PHP 4, PHP 5 и PHP 7, давно снятых с поддержки. Это не доказывает причину всех инцидентов, но объясняет, почему автоматизированная эксплуатация известных проблем может давать злоумышленникам столь богатый урожай.
Массовый рынок доступа вместо точечных атак
Около 90% предложений первоначального доступа к итальянским организациям исследователи относят к оптовым. То есть продавец не обязательно охотился за конкретной компанией: он нашёл воспроизводимый способ взлома, собрал доступы в пакет и выставил их на продажу. Если в стране широко распространены одни и те же непропатченные продукты или конфигурации, экономика такой атаки становится особенно убедительной.
Эту логику частично подтверждают наблюдения миланской компании Cleafy. Её специалисты не берутся подтверждать выводы Intel471 целиком, но видят похожую механику в атаках на итальянский банковский сектор: злоумышленники повторно используют инструменты, инфраструктуру и приёмы на множестве целей. Один из примеров — набор веб-инъекций drIBAN, применявшийся против системы сертифицированной электронной почты PEC, широко используемой в Италии. Сам по себе такой кейс не доказывает аномально большой рынок первичного доступа, однако хорошо показывает, как локальная технологическая особенность превращается в конвейер атак.
Третье объяснение связано со структурой бизнеса. По данным, приведённым в исследовании, в 2023 году 99,9% итальянских компаний были малыми и средними, а 94,8% — микропредприятиями. У малого бизнеса обычно меньше людей, времени и бюджета на инвентаризацию активов, контроль внешнего периметра и регулярную проверку резервных копий. Вымогателям и брокерам доступа не нужно искать одну гигантскую цель, если можно дёшево получать десятки небольших, но уязвимых организаций.
Для разработчиков и ИТ-руководителей вывод неприятно прозаичен: EDR не компенсирует публичный сервер с неподдерживаемым стеком, а закупка очередного средства мониторинга не заменяет патч-менеджмент. Полезнее начать с карты внешних активов, определить владельцев каждой системы, снять с эксплуатации неподдерживаемые версии и проверить, какие административные панели, VPN, RDP и веб-приложения доступны из интернета. Отдельно стоит оценить, не повторяются ли у филиалов и подрядчиков одни и те же уязвимые шаблоны развёртывания.
Исследователи пока не назвали одну технологию или одну ошибку, которая сделала бы Италию особым случаем. Вероятнее, это сочетание поздней модернизации, высокой доли малого бизнеса и возможности тиражировать атаки на похожую инфраструктуру. Именно поэтому киберугрозы в Италии важны и за её пределами: любая страна или отрасль с накопленным техническим долгом может внезапно стать для преступников не целью, а удобным рынком массового доступа.
