Октомври 2026 г. показа, че основният проблем пред организациите вече не е само защитата на собствените им информационни системи. Все по-голяма част от риска идва от външни доставчици, облачни платформи, софтуерни зависимости, отдалечен достъп и компрометирани идентификационни данни. Паралелно с това ИИ започва да променя както инструментариума на нападателите, така и начина, по който се оценяват и управляват киберрисковете.

Прегледът на публикациите в E-Security през месеца очертава три водещи направления: нарастващата уязвимост на взаимосвързаната дигитална инфраструктура, ускоряването на експлоатацията на технически пропуски и разширяването на атаките срещу организации, чиито услуги имат значение за икономиката и обществото.

Облачните платформи и доставчиците се превърнаха в критична точка на отказ

Няколко от най-показателните инциденти през октомври бяха свързани с облачни услуги и инфраструктура, използвана от множество организации.

На 20 октомври прекъсване в Google Cloud в Лондон засегна услугите на Revolut, включително картови плащания, тегления от банкомати и достъп до мобилното приложение. Случаят беше важен не защото имаше доказателства за кибератака, а защото показа колко бързо технически проблем при инфраструктурен доставчик може да се превърне в проблем за крайни потребители и финансови услуги.

Още по-сериозни последици имаше при инцидента с японския доставчик Onamae Desktop Cloud. Компрометирането на инфраструктурата му създаде риск за до 26 739 сървъра, като компанията започна поетапно спиране на засегнатите услуги. Това е пример за системен риск, при който един пробив може да засегне голям брой независими клиентски среди.

През същия период Railway предупреди за възможно изтичане на декриптирани пароли, API ключове и други конфигурационни тайни. Zeabur разкри втори сериозен пробив в рамките на няколко месеца, при който нападателите са получили достъп до над 3,2 милиона записа с променливи на средата и са проникнали в облачни сървъри с високи привилегии. Компанията впоследствие обяви поетапно прекратяване на услугите си до края на годината.

Общото между тези случаи е зависимостта от външна инфраструктура и управлението на достъпа. Компрометирането на един доставчик може да изложи множество клиенти, а недостатъчната ротация на идентификационни данни позволява последствията от първоначален пробив да продължат месеци.

Критичните уязвимости и скоростта на експлоатация

Октомври отново показа разминаването между скоростта, с която нападателите използват нови уязвимости, и времето, необходимо на организациите да ги отстранят.

Особено тревожен беше случаят с Ivanti Connect Secure. Според изследователите атаките са започнали най-късно на 3 октомври, като уязвимостта CVE-2026-104935 е била комбинирана с още два пропуска за постигане на изпълнение на команди с root привилегии. Нападателите са използвали техника, която не изисква инсталиране на традиционен зловреден софтуер, и са манипулирали журналите, за да прикриват действията си.

На 30 октомври Cisco потвърди активна експлоатация на CVE-2026-76418 в ASA и FTD. Уязвимостта позволява на неавтентикиран отдалечен нападател да предизвика рестартиране на засегнато устройство и отказ на услуга. Особено важно е, че проблемът засяга защитни устройства, които често са на самата граница между вътрешните мрежи и интернет.

Други значими предупреждения през месеца бяха свързани с Oracle E-Business Suite, Node.js, Tailscale и headscale. В случая с Node.js бяха отстранени десет уязвимости, засягащи различни механизми за обработка на данни и мрежови връзки. При Tailscale бяха открити единадесет проблема с потенциал за ескалация на привилегии, кражба на идентификационни данни и отказ на услуга.

По-важна от самия брой на уязвимостите е тенденцията към атакуване на широко използвани компоненти и гранични услуги. Когато подобен компонент е достъпен през интернет, прозорецът между публикуването на информацията и опитите за експлоатация може да бъде изключително кратък.

Това се потвърждава и от данните в доклада на Palo Alto Networks за критичната инфраструктура: 29% от разглежданите уязвимости през 2026 г. са били експлоатирани в рамките на 24 часа, докато средното време за прилагане на корекция е 55 дни.

Критичната инфраструктура остава особено уязвима

Една от най-съществените теми през октомври беше защитата на индустриалните системи и критичната инфраструктура.

Докладът на Palo Alto Networks, публикуван на 13 октомври, посочи, че 60% от анкетираните организации в сектора са преживели сериозен пробив, а 95% изразяват опасения от атаки, подпомагани от ИИ. Сред основните проблеми са недостатъчната видимост върху свързаните устройства, непълният инвентар на OT активите и затрудненото обновяване на наследени системи.

На 17 октомври E-Security разгледа и резултатите от одитите на FERC и NERC за електроенергийната инфраструктура в САЩ. Сред установените проблеми бяха забавени оценки на киберриска при нови енергийни мощности и недостатъчно отчитане на зависимостите от външни изпълнители.

Особено показателна беше и актуализацията на MITRE ATT&CK v20. Новата версия включи допълнителни техники за атаки срещу индустриални системи, кампании срещу водоснабдителни дружества и случаи на преминаване между корпоративни ИТ мрежи и оперативни технологии. Добавени бяха и техники за злоупотреба с ИИ системи.

Тези развития показват, че защитата на критичната инфраструктура не може да се ограничава до традиционната мрежова сигурност. Необходими са актуален инвентар на активите, сегментация между ИТ и OT, контрол върху отдалечения достъп и възможност за откриване на необичайни действия в индустриалните среди.

ИИ – ускорител на атаките и нов обект на защита

През октомври ИИ присъстваше в различни аспекти на киберсигурността. От една страна, технологиите се използват за автоматизация на задачи и подпомагане на нападателите. От друга, самите ИИ системи създават нови рискове, когато получат достъп до чувствителна информация и корпоративни ресурси.

Разширяването на MITRE ATT&CK v20 с техники за манипулиране на инструкции, извличане на данни и въздействие върху автономни агенти показва, че тези сценарии вече са достатъчно значими, за да бъдат включени в професионалните модели за анализ на заплахите.

В българския контекст особено показателно беше разследването на ГДБОП срещу 19-годишен мъж, задържан във връзка с атаки срещу БНТ, БНР, държавни и общински институции и около дузина компании. Според официалната информация на МВР и прокуратурата са извличани лични данни и кореспонденция, които впоследствие са били предлагани за продажба. В разследването е посочено и използване на ИИ, но институциите не са уточнили конкретните модели или техническите задачи, за които е била използвана технологията.

Това разграничение е важно. Не всяка атака, при която е използван ИИ, представлява автономна кибероперация. В много случаи технологията може да подпомага отделни дейности – обработка на информация, автоматизация или подготовка на съдържание.

Основният риск за организациите е свързан с неконтролираното предоставяне на достъп на ИИ инструменти и агенти до вътрешни системи, документи, бази данни и външни услуги. Защитата трябва да обхваща не само самите модели, но и разрешенията, контекста и действията, които могат да извършват.

България: от твърденията за пробиви до реални разследвания

Българските събития през октомври очертаха два различни аспекта на проблема.

Първият е свързан с твърденията на рансъмуер групи за компрометирани местни организации. Появата на имена на български компании в сайтове за изнудване изисква внимателна проверка. Публикуването на информация от престъпна група не е равнозначно на независимо потвърден инцидент, нито доказва автоматично обема на предполагаемо откраднатите данни.

Вторият аспект беше реалното разследване на ГДБОП. Случаят с 19-годишния обвиняем е значим заради обхвата на засегнатите организации и твърденията за търговия с лична информация. Тук вече има официално съобщени действия на правоохранителните органи и конкретно повдигнати обвинения, макар окончателната вина да подлежи на установяване от съда.

На 20 октомври България беше засегната и от прекъсването на услугите на Revolut. Това не беше установена кибератака, но показа зависимостта на потребителите и бизнеса от инфраструктурата на големите технологични доставчици.

В институционален план октомври постави и въпроси за развитието на националната киберзащита, прилагането на европейските изисквания и готовността на организациите да изпълняват новите си задължения. Международните примери от Япония, САЩ и Европа показват, че все по-голямо значение се отдава на споделянето на информация, превантивните проверки и сигурността по веригата на доставки.

Устойчивостта става толкова важна, колкото и предотвратяването на атаките

Още една важна тенденция през октомври беше необходимостта от преосмисляне на възстановяването след инцидент. Самото наличие на резервни копия не гарантира, че организацията ще може да възстанови дейността си в приемлив срок.

При компрометиране на облачна платформа, кражба на идентификационни данни или атака срещу корпоративни приложения трябва да има предварително планиран процес за възстановяване, включващ проверка на целостта на резервните копия, изолирана среда за възстановяване, подмяна на компрометираните тайни и проверка на системите преди повторното им включване.

Това е особено важно при атаки, при които нападателите запазват достъп дълго след първоначалното проникване. Възстановяването без отстраняване на причината за компрометирането може да доведе до повторен инцидент.

Изводът от октомври: сигурността вече е въпрос на взаимозависимост

Октомври 2026 г. не се характеризираше с една доминираща заплаха, а с натрупване на инциденти, които разкриват общ структурен проблем. Организациите използват все повече външни услуги, облачни платформи, софтуерни компоненти и автоматизирани инструменти, но невинаги разполагат с достатъчна видимост и контрол върху тях.

Кражбата на идентификационни данни може да компрометира облачна среда. Пробивът при доставчик може да засегне десетки или стотици клиенти. Уязвимост в мрежово устройство може да наруши достъпа до цяла организация. А компрометирането на индустриална система може да има последствия далеч извън дигиталното пространство.

За българския бизнес това означава, че инвестициите в защита трябва да се насочат не само към антивирусни решения и мрежови защитни стени, а към цялостно управление на риска. Особено важни са многофакторната автентикация, контролът на привилегированите акаунти, мониторингът на облачните среди, управлението на уязвимостите, сегментацията на мрежите и редовното тестване на плановете за възстановяване.

Най-важният урок от октомври е, че организациите трябва да защитават не просто собствената си инфраструктура, а цялата екосистема от услуги, доставчици и идентичности, от които зависи работата им. Именно там все по-често се намира най-слабата точка в съвременната дигитална защита.