Отчёт по 150 компаниям: есть связь между оффбордингом и кибератаками

Не отключили доступ уволенному сотруднику? Считайте, вы отдали хакерам готовый ключ. Чем дольше старая учётка висит живой, тем чаще компанию атакуют — и уже после первых суток риск подскакивает вчетверо. Так подсчитали в облачном и ИБ-провайдере «Спикател», сравнив скорость оффбординга с частотой атак на данных более 150 российских компаний.

Цифры говорят сами за себя. Отключаешь доступ за сутки — вероятность атаки всего 1–2%. А если учётка висит активной больше месяца, она вырастает до 25%. Разрыв в разы, и зависит он не от хакеров, а от самой компании.

Проблема не выдуманная. По данным ГК «Солар», более 40% организаций оставляют доступ под учётками сотрудников после увольнения. А в половине успешных атак первого полугодия 2024 года злоумышленники заходили именно через скомпрометированные аккаунты сотрудников и подрядчиков.

От одного процента до четверти

Между этими краями — целая лестница. Возятся 2–5 дней — риск уже 5–8%. Тянут 1–3 недели — это 10–15%. А дальше, за месяцем простоя, те самые 25%. Разница между быстрым и ленивым расставанием — огромная.

Почему старая учётка так ценна для атакующего? Потому что это не взлом, а вход с ключом. Легитимный логин не вызывает тревоги у систем защиты, не требует вредоносного ПО и часто открывает доступ сразу к почте, внутренним сервисам и документам. Именно поэтому плохой оффбординг эксперты называют одной из главных угроз безопасности — тише и дешевле способа попасть внутрь просто не найти.

Масштаб брошенных дверей впечатляет. По оценке аналитиков, на одну крупную российскую компанию в открытых и теневых источниках приходится более 600 учёток — и у значительной части пароли уже лежат в открытом виде. Каждая такая запись — потенциальная точка входа.

Логин по наследству

Отдельная беда — у малого бизнеса. По данным «Спикател», 15% таких компаний просто отдают учётку уволенного новому сотруднику. Сэкономили пару кликов — а заодно похоронили возможность когда-либо разобраться в случившемся.

Ведь если что-то пойдёт не так, расследовать инцидент станет точкой входа для новых проблем, а не их решением: под одним логином успели поработать двое, и понять, кто именно действовал, уже невозможно. Та же картина и с автоматизацией — у трети компаний её отсутствие прямо мешает выяснить, какими правами обладал ушедший человек.

Вывод простой и неромантичный. Отключать доступ надо не завтра и не «когда дойдут руки», а в день ухода — желательно до того, как за сотрудником закрылась дверь.

Всё решает регламент

Неотключённый доступ — это не просто ИБ-недочёт, а зона ответственности работодателя. Если через старую учётку утекут персональные данные, отвечать перед регулятором и клиентами будет компания — она по закону обязана отвечать за сохранность данных, а не давно уволенный сотрудник. И цена вопроса выросла: с 2025 года за утечку персональных данных бизнесу грозят оборотными штрафами вплоть до сотен миллионов рублей.

Передача учётки новичку вдобавок убивает доказательную базу. Когда под одним логином успели поработать двое, юридически невозможно установить, кто именно нанёс вред, — а значит, и привлечь виновного к ответственности почти нереально. Для суда «действовал кто-то из двоих» равно «не доказано».

Защита же начинается не с дорогого софта, а с регламента. Если отзыв доступов прописан в процедуре увольнения и фиксируется актом, компания и дисциплину наведёт, и в спорной ситуации докажет, что действовала добросовестно. Бумажка, подписанная вовремя, порой стоит дороже любого антивируса.