За январь—сентябрь 2026 года в открытом доступе обнаружили 119 публикаций утечек данных российских компаний — на 40% меньше, чем годом ранее. Однако по числу строк спад оказался куда скромнее: 538 млн против 611 млн. Для бизнеса это не повод объявлять победу над утечками, а сигнал, что меньшее число инцидентов по-прежнему способно затронуть сотни миллионов записей.
По данным CNews, статистику подготовили аналитики департамента киберразведки F6. Они учитывали базы российских компаний и организаций, которые злоумышленники впервые разместили в публичном доступе. За аналогичный период 2025 года исследователи зафиксировали 198 таких публикаций, а суммарный объем опубликованных записей достигал 611 млн.
Разрыв между количеством баз и количеством строк — главный нюанс этой статистики. Число опубликованных массивов сократилось почти в полтора раза, но общий объем данных уменьшился только на 12%. Иными словами, на каждый обнаруженный публичный слив в среднем приходится более крупный массив, чем год назад. Сама по себе эта арифметика не доказывает рост масштаба отдельных атак: в публичный доступ могут попадать объединенные, старые или многократно перепакованные наборы. Но для команд ИБ и владельцев сервисов она означает простую вещь: считать только число упоминаний компании в теневых каналах недостаточно.
В третьем квартале ситуация выглядела еще контрастнее. С июля по сентябрь специалисты F6 нашли 29 новых публикаций баз данных российских организаций. Год назад за тот же квартал их было 35, то есть снижение составило 17%. Объем новых публикаций упал заметнее — более чем до 170 млн строк против 409 млн строк в третьем квартале 2025 года, или на 58%.
В опубликованных наборах чаще всего встречались ФИО, адреса проживания, номера телефонов, адреса электронной почты, даты рождения, пароли и паспортные данные. Это не абстрактная «информация о пользователях», а набор, из которого удобно собирать убедительные сценарии социальной инженерии. Совпадение телефона, адреса и даты рождения помогает злоумышленнику правдоподобно представиться банком, службой доставки или работодателем; пароль становится особенно опасным, если пользователь повторял его в других сервисах.
Среди отраслей, лидировавших по числу новых публикаций в июле—сентябре, F6 называет ИТ, ретейл, интернет-коммерцию и государственные организации. Годом ранее в первой тройке также были ретейл и интернет-магазины, госсектор, а еще образовательные платформы и учреждения. Для продуктовых и инженерных команд это напоминание о привычной, но часто недооцененной зоне риска: чем больше у сервиса регистраций, доставок, платежных интеграций и поддержки, тем шире след пользовательских данных в логах, CRM, подрядных системах и резервных копиях.
Сокращение числа публикаций утечек данных F6 связывает не с внезапным исчезновением интереса преступников к чужим базам. Аналитики указывают на снижение активности подпольных Telegram-каналов, нестабильную работу ряда теневых форумов, закрытие части площадок и ограничения на публикации данных, связанных с Россией и странами СНГ, на некоторых ресурсах. Публичный мониторинг в такой среде отражает не только число компрометаций, но и состояние каналов распространения: если форум закрылся или поменял правила, это не отменяет уже украденные данные и не исключает их продажу в закрытых чатах.
Отдельный тренд третьего квартала — заметное число баз, которые раньше считались приватными. По наблюдениям F6, такие массивы долго циркулировали среди продавцов, но не выкладывались открыто. Публикуя их, злоумышленники объясняли действия конфликтом с перекупщиками, перепродававшими чужие наборы без согласия первоначальных продавцов. Для пострадавшей компании мотивы участников этого рынка вторичны: переход базы из закрытого оборота в публичный резко упрощает ее копирование, индексацию и повторное использование в мошеннических кампаниях.
Практический вывод для компаний не меняется вместе с квартальной статистикой. Нужны инвентаризация хранимых персональных данных, минимизация сроков хранения, контроль доступа к выгрузкам, защита резервных копий и отдельная проверка подрядчиков, которым передаются клиентские сведения. После появления базы в публичном поле важны быстрая оценка состава данных, принудительный сброс скомпрометированных паролей, уведомление затронутых пользователей в рамках применимых требований и усиление защиты от фишинга. Одна публикация с паролями и контактами может создать больше операционной работы, чем десятки безобидных на вид упоминаний бренда.
Снижение числа открытых публикаций — полезный индикатор, но не мерило реального числа компрометаций. В 2026 году внимание стоит смещать с вопроса «сколько баз появилось» к более неприятному: какие данные в них есть, как давно они циркулируют в закрытых сообществах и насколько быстро компания заметит их переход в публичный доступ.