Мониторинг Dark Web: узнаёт ли компания об утечке раньше клиентов

Мониторинг Dark Web — это регулярный автоматизированный поиск данных компании на теневых форумах и маркетплейсах, в Telegram-каналах, базах утечек и логах стилеров: корпоративных логинов и паролей, клиентских баз, документов, объявлений о продаже доступа к сети. Задача — узнать об утечке за часы, а не через полгода от клиента, банка или регулятора. Genius Systems ведёт такой мониторинг в рамках киберразведки для организаций Казахстана — в Усть-Каменогорске, Астане, Алматы, Караганде и Павлодаре. Ниже — что именно ищут, какими инструментами и что делать, когда находка есть.

Почему компании узнают об утечке последними

По отчёту IBM Cost of a Data Breach 2026, на обнаружение и локализацию утечки в среднем уходит 247 дней, и большая часть этого срока — только на то, чтобы её заметить. Всё это время данные уже продаются. Обычно компания узнаёт о проблеме одним из способов:

• клиент получает «письмо от вас» с реальным номером заказа и суммой;
• банк блокирует платёж или сообщает о компрометации счёта;
• журналист или исследователь присылает скриншот объявления;
• приходит запрос регулятора;
• атака уже идёт: шифровальщик запущен, база выложена.

Verizon DBIR 2026 даёт главный аргумент в пользу мониторинга: у 73 % жертв шифровальщиков за год до атаки были утёкшие учётные данные или записи в логах стилеров, а у половины из них — менее чем за 95 дней до атаки. Это окно, в которое можно успеть сменить пароли.

Казахстан не исключение. По данным F6, за первое полугодие 2026 года опубликовано 12 утечек казахстанских организаций — столько же, сколько за весь 2025 год, и 79 % записей пришлось на госсектор. В августе в даркнете выставили якобы базу eGov на 47 млн строк за 0,5 BTC. Министерство взлом не подтвердило, но такие объявления бьют по репутации даже без доказательств, и проверить их нужно быстро.

Что ищут в даркнете

Находка	Где всплывает	Чем опасна	Срок реакции
Корпоративные логины и пароли	Логи стилеров, комбо-листы, базы утечек	Вход в VPN, почту, 1С, Bitrix24	Часы
Cookie и токены сессий	Маркетплейсы логов стилеров	Вход в облачные сервисы в обход MFA	Часы
Объявление о продаже доступа к сети	Форумы брокеров доступа	Типичный предвестник шифровальщика	Немедленно
Клиентские базы, выгрузки из CRM	Форумы, Telegram-каналы	Уведомление регулятора, штрафы, мошенничество против клиентов	1 рабочий день
Договоры, сканы, внутренние документы	Файлообменники, сайты вымогателей	Конкурентам и мошенникам	1–3 дня
Упоминания компании, планы атак	Закрытые чаты и форумы	Целевой фишинг на руководство и бухгалтерию	1–2 дня

Самая частая находка — пароли из логов стилеров. Сотрудник заходит в корпоративную почту с домашнего ноутбука, где ребёнок установил «бесплатную» игру, и все сохранённые в браузере пароли вместе с cookie уходят на продажу. Корпоративный антивирус этого не видит: заражён не рабочий компьютер.

Инструменты: три уровня

1. Бесплатные проверки. Have I Been Pwned и аналогичные сервисы показывают, какие адреса домена попадали в известные публичные утечки. Ограничение — только то, что уже опубликовано, и с задержкой.
2. Коммерческие платформы. Kaspersky Digital Footprint Intelligence ищет скомпрометированные учётные данные, карты и упоминания компании на теневых площадках и отдаёт данные через портал и API. Check Point External Risk Management (бывший Cyberint) и Rapid7 Threat Command объединяют мониторинг даркнета, защиту бренда и внешнюю поверхность атаки. Palo Alto Networks закрывает внешний периметр через Cortex Xpanse и данные Unit 42.
3. Сервис с аналитиком. Платформа выдаёт сотни совпадений, большая часть из которых — пароли 2019 года или чужие адреса с похожим доменом. Аналитик отсеивает шум, проверяет актуальность и сразу запускает реагирование.

Для большинства компаний до 500 сотрудников экономически оправдан третий вариант: своя платформа нужна, когда есть SOC или SIEM с аналитиком, который будет с ней работать каждый день.

Что делать, когда находка есть

1. Проверить актуальность. Действует ли пароль, свежая ли сессия, с какого устройства утекли данные.
2. Сменить пароль, сбросить все сессии и токены, включить MFA, если её ещё нет.
3. Найти источник. Заражённое устройство проверяется EDR, например Kaspersky, и переустанавливается; домашние ПК, с которых заходят в рабочие системы, — тоже.
4. Проверить журналы входа за последние 90 дней: был ли вход с этими учётными данными и откуда.
5. Уведомить регулятора, если утекли персональные данные. По Закону РК № 94-V «О персональных данных и их защите» с 25 августа 2026 года на это даётся один рабочий день, нарушение фиксируется в реестре, а штрафы по ПДн доходят до 2000 МРП. Текст уведомления согласуйте с юристом.
6. Закрыть канал. Если база ушла изнутри, DLP покажет, кто и каким путём её вынес.

Кому это нужно в первую очередь

• Компаниям от 50 сотрудников с удалённым доступом: VPN, RDP, Microsoft 365, облачная 1С.
• Операторам баз персональных данных: клиникам, ритейлу, МФО, ОСИ, сервисным компаниям.
• Госорганам, квазигоссектору и владельцам КВОИКИ.
• Подрядчикам крупных заказчиков: через их учётные данные атакуют цепочку поставок.

С чего начать

Начните с пилота на 2 недели. За первую неделю определяем активы: домены, бренды, диапазоны адресов, ключевых сотрудников. Через 2 недели присылаем первый отчёт, и нередко уже в нём есть действующие пароли. Дальше критичные находки приходят в течение суток, остальное — в ежемесячном отчёте. Мониторинг хорошо сочетается с аудитом ИБ: аудит показывает, что открыто изнутри, мониторинг — что уже известно атакующим.

Оставьте заявку — проверим ваш домен и расскажем, что о вашей компании уже лежит в даркнете.