Австралийският център за киберсигурност е реагирал на над 1500 инцидента през финансовата 2025-2026 г., което представлява увеличение с повече от 20%. Уведомленията за потенциална злонамерена активност са нараснали почти с 80%. Годишният доклад на австралийската служба за сигнали и разузнаване очертава ИИ като фактор, който ускорява както атаките, така и възможностите за защита, и поставя специален акцент върху устойчивостта на критичната инфраструктура.

Австралийската служба за сигнали и разузнаване (ASD) и нейният Австралийски център за киберсигурност (ACSC) са реагирали на повече от 1500 киберинцидента през финансовата 2025-2026 г. Това е увеличение с над 20% спрямо предходната година. Същевременно центърът е изпратил над 4400 уведомления до организации за потенциална злонамерена активност – почти 80% повече в сравнение с предходния отчетен период.

Данните са от годишния доклад за киберзаплахите на Австралия за 2025-2026 г. Той показва не само нарастващия обем на инцидентите, но и промяната в начина, по който се развиват заплахите. Изкуственият интелект (ИИ) позволява на злонамерените участници по-бързо да откриват уязвимости, да разработват средства за експлоатацията им и да разширяват мащаба на операциите си.

Докладът откроява и продължаващата активност на киберпрестъпни групи и спонсорирани от държави оператори, които атакуват правителствени структури, компании и граждани с цел кражба на информация и финансови средства, шпионаж или предварително установяване на достъп до системи за бъдещи операции.

Повече инциденти и по-голям натиск върху бизнеса

През отчетния период ACSC е обработил над 82 000 сигнала за киберпрестъпления чрез платформата ReportCyber – средно по един сигнал на всеки шест минути. Броят им остава приблизително на нивото от предходната година.

Центърът е отговорил и на над 37 500 обаждания до националната телефонна линия за киберсигурност, което представлява спад от 12%. Средно това са 102 обаждания дневно спрямо 116 през предходния период.

Финансовите последици обаче остават значителни. Средната самоотчетена цена на киберпрестъпление за отделен гражданин е около 33 000 австралийски долара и не се е променила спрямо предходната година. При бизнеса средната стойност е нараснала с 16% до 93 500 долара.

Разбивката по размер на компаниите показва различна динамика:

• Малки предприятия: средно 55 400 долара, без промяна.
• Средни предприятия: 141 300 долара, увеличение с 45%.
• Големи предприятия: 148 100 долара, спад с 27%.

Тези стойности са самоотчетени средни разходи, а не оценка на общите загуби за икономиката. Въпреки това увеличението при средните предприятия показва колко сериозно може да бъде финансовото отражение на един инцидент върху организации с ограничени ресурси за възстановяване.

Отделно от реакцията при вече настъпили инциденти, ACSC е изпратил над 4400 уведомления за потенциална злонамерена активност. В резултат на проактивните предупреждения са установени 362 инцидента. Центърът е реагирал и на 139 случая с рансъмуер, приблизително колкото през предходната година.

Критичната инфраструктура остава стратегическа цел

През финансовата 2025-2026 г. инцидентите, засягащи критичната инфраструктура, представляват 10% от всички случаи, по които ACSC е работил. Центърът е реагирал на 154 такива инцидента – спад от почти 7% спрямо предходната година.

Намалението не означава, че рискът е отслабнал. Докладът подчертава, че операторите на критична инфраструктура остават привлекателна цел както за финансово мотивирани престъпници, така и за държавно подкрепяни групи. Причината е съчетанието от ценни данни, оперативни възможности и потенциално широко обществено въздействие при прекъсване на услугите.

Най-засегнатите отрасли са:

• Финансови и застрахователни услуги – 30%.
• Публична администрация и обществена безопасност – 21%.
• Електроенергия, газ, вода и управление на отпадъците – 17%.

Най-често срещаните техники за първоначален достъп при инциденти в критичната инфраструктура са фишингът с 36%, използването на валидни акаунти с 16% и компрометиране чрез посещение на злонамерени или подменени уебсайтове с 10%.

Особено показателно е присъствието на валидните акаунти сред водещите техники. Използването на откраднати или компрометирани идентификационни данни позволява на атакуващите да се движат в мрежите с легитимен достъп, което затруднява разграничаването между нормална и злонамерена активност.

Докладът предупреждава и за стратегическия характер на някои операции. Държавно подкрепяни участници се стремят да установят предварителен достъп до мрежи, включително до системи за оперативни технологии (OT), за да могат да ги използват при бъдеща криза или конфликт. Така кибершпионажът, саботажът и престъпната дейност все по-често се преплитат.

ИИ ускорява атаките, но може да подобри и защитата

Според австралийската служба достъпността на ИИ инструментите намалява усилията, необходими за подготовка и изпълнение на атаки. Злонамерените участници могат да ги използват за откриване на уязвимости, разработване на експлойти и мащабиране на операциите си.

Появата на агентен ИИ и перспективата за по-висока автономност могат допълнително да ускорят този процес. Това поставя нови изисквания към управлението на риска, контрола върху автоматизираните системи и наблюдението на поведението им.

Докладът обаче не разглежда ИИ единствено като заплаха. Организациите могат да го използват за по-ранно откриване на уязвимости, подобряване на качеството на софтуера, наблюдение на необичайно поведение и ускоряване на реакцията при инциденти.

Основното предизвикателство е да се постигне баланс между внедряването на новите технологии и контрола върху рисковете, които те създават. Според ACSC въпросът вече не е дали една организация ще се сблъска с киберинцидент, а доколко е подготвена да продължи работа и да се възстанови след него.

Компрометираните идентичности и веригите за доставки

Компрометираните акаунти и идентификационни данни са сред най-често докладваните категории инциденти в държавния сектор, бизнеса и критичната инфраструктура. Това потвърждава значението на легитимния достъп като средство за проникване и придвижване в корпоративните мрежи.

Отделно внимание е отделено на атаките срещу онлайн хранилища за програмен код. От септември 2025 г. ACSC наблюдава операции, при които злонамерени участници получават достъп чрез социално инженерство, компрометирани пароли и токени за удостоверяване.

След проникването те злоупотребяват с легитимни инструменти и функции, за да променят публични софтуерни пакети, да извличат удостоверения и да прехвърлят частни хранилища към публични. Използват се и инструменти с отворен код за сканиране на хранилища за криптографски тайни, пароли и чувствителни ключове.

Това превръща веригата за доставки на софтуер в съществена част от корпоративния риск. Компрометираният доставчик или външна услуга може да осигури достъп до системи, които иначе са добре защитени. Затова ACSC препоръчва управлението на риска от доставчици и трети страни да бъде постоянен елемент от стратегията за киберсигурност – от проектирането и производството до поддръжката и извеждането от употреба на продуктите и услугите.

Три месеца автономна работа при изолация на критични системи

Една от най-съществените препоръки в доклада е операторите на критична инфраструктура да могат да изолират жизненоважните си OT системи от интернет и останалите мрежи за период от три месеца, като същевременно поддържат критичните услуги.

Това изисква организациите да идентифицират основните OT активи, системите, от които зависят, и точките, през които могат да бъдат изолирани. Необходимо е също да имат способност за бързо и цялостно възстановяване на тези системи.

Препоръката е свързана с т.нар. подход „приемане на възможността за компрометиране“ (assumed breach). Вместо да се разчита, че проникване може да бъде предотвратено във всички случаи, операторите трябва да планират как ще продължат да предоставят основните услуги при компрометирана корпоративна мрежа или продължителна киберкриза.

ACSC посочва и необходимостта от подмяна на остарели технологии, когато това е възможно, или от компенсиращи мерки, когато подмяната не е практична. Сред останалите приоритети са качественото регистриране на събитията, видимостта върху критичните активи и управлението на риска от доставчици.

Подготовка за постквантова криптография до 2030 г.

Докладът разглежда и дългосрочния риск от появата на квантови компютри, способни да разбиват широко използвани алгоритми с публичен ключ. ACSC призовава организациите да започнат подготовка за преход към постквантова криптография (PQC), като препоръчва отказът от традиционната асиметрична криптография и преминаването към устойчиви на квантови атаки алгоритми да бъдат осъществени до края на 2030 г. или по-рано.

Преходът няма да бъде еднакъв за всички. Той зависи от мащаба на ИТ средата, наличните ресурси, заплахите и необходимостта от съвместимост със системите на партньори и клиенти.

За планирането ACSC предлага използването на рамката LATICE: локализиране на криптографските зависимости, оценка на риска, приоритизиране, внедряване, комуникация и обучение.

Какво показват данните за защитата

Докладът отчита и значителен обем дейности за подобряване на защитата. Австралийската защитена DNS услуга е обработила над 220 милиарда заявки и е блокирала достъпа до повече от 564 милиона злонамерени домейна. Партньорската мрежа за споделяне на киберразузнавателна информация е нараснала с 22% до над 550 участници, а чрез платформата са разпространени повече от един милион индикатора за компрометиране.

ACSC е провел 15 киберучения с участието на над 335 организации и е организирал обучения и оценки за държавни структури и оператори на критична инфраструктура.

Сред практическите препоръки към организациите са ускоряване на процесите по инсталиране на корекции, използване на многофакторна автентикация или ключове за достъп (passkeys), преглед на настройките за поверителност и своевременно докладване на подозрителна активност.

През октомври 2026 г. ACSC представя и серията Essentials, която развива досегашната рамка Essential Eight в по-гъвкав, базиран на принципи модел с насоки, съобразени с различните технологични среди.

Изводът: устойчивостта трябва да се доказва, а не само да се декларира

Австралийският доклад очертава среда, в която атакуващите използват все по-често легитимни идентичности, доверени отношения, софтуерни вериги за доставки и предварително установен достъп. ИИ допълнително ускорява този процес, но същевременно предоставя инструменти за по-добро откриване и реакция.

За бизнеса и операторите на критична инфраструктура най-важният практически извод е, че наличието на защитни технологии не е достатъчно. Организациите трябва да могат да установят кои системи са критични, да ограничат достъпа до тях, да откриват компрометиране и да продължат работа дори когато част от инфраструктурата е изолирана или недостъпна.

Особено показателна е препоръката за тримесечна автономна работа на жизненоважните OT системи. Тя поставя устойчивостта в измерими оперативни параметри: време за изолация, наличност на критични услуги и способност за възстановяване.

Защитата вече не може да се оценява само по това дали атаката е била предотвратена. Тя трябва да се измерва и по способността на организацията да ограничи последствията, да запази критичните функции и да възстанови безопасно дейността си.