Dark Web мониторингі: компания деректердің жылыстауы туралы клиенттерден бұрын біле ме

Dark Web мониторингі — бұл компания деректерін көлеңкелі форумдар мен маркетплейстерде, Telegram-арналарда, жылыстау базаларында және стилер логтарында тұрақты автоматтандырылған іздеу: корпоративтік логиндер мен парольдер, клиенттік базалар, құжаттар, желіге қолжетімділікті сату туралы хабарландырулар. Міндеті — деректердің жылыстауы туралы жарты жылдан кейін клиенттен, банктен немесе реттеушіден емес, бірнеше сағат ішінде білу. Genius Systems мұндай мониторингті Қазақстан ұйымдары үшін — Өскеменде, Астанада, Алматыда, Қарағандыда және Павлодарда — кибербарлау аясында жүргізеді. Төменде — нақты не ізделетіні, қандай құралдармен және табылған кезде не істеу керектігі.

Неліктен компаниялар деректердің жылыстауы туралы ең соңғы болып біледі

IBM Cost of a Data Breach 2026 есебі бойынша деректердің жылыстауын анықтау мен оқшаулауға орта есеппен 247 күн кетеді, оның басым бөлігі — тек оны байқауға. Осы уақыт бойы деректер сатылып жатады. Әдетте компания мәселе туралы мына тәсілдердің бірімен біледі:

• клиент нақты тапсырыс нөмірі мен сомасы көрсетілген «сізден келген хат» алады;
• банк төлемді бұғаттайды немесе шоттың бұзылғаны туралы хабарлайды;
• журналист немесе зерттеуші хабарландырудың скриншотын жібереді;
• реттеушіден сұрау келеді;
• шабуыл басталып кеткен: бопсалаушы шифрлағыш іске қосылған, база жарияланған.

Verizon DBIR 2026 мониторингтің пайдасына басты дәлел келтіреді: бопсалаушы шифрлағыш бағдарламалар құрбандарының 73 %-ында шабуылдан бір жыл бұрын жылыстаған есептік деректер немесе стилер логтарында жазбалар болған, ал олардың жартысында — шабуылға дейін 95 күннен аз уақыт бұрын. Бұл — парольдерді ауыстырып үлгеруге болатын терезе.

Қазақстан да ерекшелік емес. F6 деректері бойынша 2026 жылдың бірінші жартыжылдығында қазақстандық ұйымдардың 12 жылыстауы жарияланды — бүкіл 2025 жылғы қанша болса, сонша, ал жазбалардың 79 %-ы мемлекеттік секторға тиесілі. Тамызда даркнетте 47 млн жолдық eGov базасы делінген деректер 0,5 BTC-ге сатылымға шығарылды. Министрлік бұзуды растамады, бірақ мұндай хабарландырулар дәлелсіз де беделге соққы береді, сондықтан оларды тез тексеру керек.

Даркнетте не ізделеді

Табылған дерек	Қайда шығады	Қаупі неде	Ден қою мерзімі
Корпоративтік логиндер мен парольдер	Стилер логтары, комбо-тізімдер, жылыстау базалары	VPN-ге, поштаға, 1С-ке, Bitrix24-ке кіру	Сағаттар
Cookie және сессия токендері	Стилер логтарының маркетплейстері	MFA-ны айналып өтіп, бұлттық сервистерге кіру	Сағаттар
Желіге қолжетімділікті сату туралы хабарландыру	Қолжетімділік брокерлерінің форумдары	Бопсалаушы шифрлағыштың типтік алдын ала белгісі	Дереу
Клиенттік базалар, CRM-нен экспорттар	Форумдар, Telegram-арналар	Реттеушіні хабардар ету, айыппұлдар, клиенттерге қарсы алаяқтық	1 жұмыс күні
Шарттар, сканерленген көшірмелер, ішкі құжаттар	Файл алмасу сервистері, бопсалаушылардың сайттары	Бәсекелестер мен алаяқтардың қолына түседі	1–3 күн
Компания туралы айтылымдар, шабуыл жоспарлары	Жабық чаттар мен форумдар	Басшылық пен бухгалтерияға мақсатты фишинг	1–2 күн

Ең жиі табылатыны — стилер логтарынан алынған парольдер. Қызметкер корпоративтік поштаға үйдегі ноутбуктен кіреді, онда баласы «тегін» ойын орнатқан, және браузерде сақталған барлық парольдер cookie-мен бірге сатылымға кетеді. Корпоративтік антивирус мұны көрмейді: жұқтырылған құрылғы — жұмыс компьютері емес.

Құралдар: үш деңгей

1. Тегін тексерулер. Have I Been Pwned және ұқсас сервистер домендегі қандай мекенжайлар белгілі жария жылыстауларға түскенін көрсетеді. Шектеуі — тек жарияланып қойғаны ғана және кешігіп.
2. Коммерциялық платформалар. Kaspersky Digital Footprint Intelligence көлеңкелі алаңдардан бұзылған есептік деректерді, карталарды және компания туралы айтылымдарды іздейді, деректерді портал мен API арқылы береді. Check Point External Risk Management (бұрынғы Cyberint) және Rapid7 Threat Command даркнет мониторингін, брендті қорғауды және сыртқы шабуыл бетін біріктіреді. Palo Alto Networks сыртқы периметрді Cortex Xpanse және Unit 42 деректері арқылы жабады.
3. Талдаушысы бар қызмет. Платформа жүздеген сәйкестік береді, олардың басым бөлігі — 2019 жылғы парольдер немесе ұқсас домені бар бөтен мекенжайлар. Талдаушы шуды сүзеді, өзектілігін тексереді және бірден ден қоюды іске қосады.

500-ге дейін қызметкері бар компаниялардың көпшілігі үшін үшінші нұсқа экономикалық тұрғыдан негізделген: өз платформасы SOC немесе онымен күн сайын жұмыс істейтін талдаушысы бар SIEM болған кезде қажет.

Табылған дерек болса, не істеу керек

1. Өзектілігін тексеру. Пароль жарамды ма, сессия жаңа ма, деректер қай құрылғыдан жылыстады.
2. Парольді ауыстыру, барлық сессиялар мен токендерді тастау, MFA әлі жоқ болса, оны қосу.
3. Дереккөзді табу. Жұқтырылған құрылғы EDR-мен, мысалы Kaspersky-мен тексеріледі және қайта орнатылады; жұмыс жүйелеріне кіретін үй компьютерлері де.
4. Кіру журналдарын тексеру соңғы 90 күн бойынша: осы есептік деректермен кіру болды ма және қайдан.
5. Дербес деректер жылыстаса, реттеушіні хабардар ету. «Дербес деректер және оларды қорғау туралы» № 94-V ҚР Заңы бойынша 2026 жылғы 25 тамыздан бастап бұған бір жұмыс күні беріледі, бұзушылық тізілімде тіркеледі, ал дербес деректер бойынша айыппұлдар 2000 АЕК-ке дейін жетеді. Хабарлама мәтінін заңгермен келісіңіз.
6. Арнаны жабу. Егер база іштен шықса, DLP оны кім және қандай жолмен шығарғанын көрсетеді.

Бұл кімге бірінші кезекте қажет

• Қашықтан қолжетімділігі бар, 50 және одан көп қызметкері бар компанияларға: VPN, RDP, Microsoft 365, бұлттық 1С.
• Дербес деректер базаларының операторларына: клиникаларға, ритейлге, микроқаржы ұйымдарына, МИБ (ОСИ), сервистік компанияларға.
• Мемлекеттік органдарға, квазимемлекеттік секторға және ақпараттық-коммуникациялық инфрақұрылымның аса маңызды объектілерінің (АКИАМО, КВОИКИ) иелеріне.
• Ірі тапсырыс берушілердің мердігерлеріне: олардың есептік деректері арқылы жеткізу тізбегіне шабуыл жасайды.

Неден бастау керек

2 аптаға арналған пилоттық жобадан бастаңыз. Бірінші аптада активтерді анықтаймыз: домендер, брендтер, мекенжай ауқымдары, негізгі қызметкерлер. 2 аптадан кейін алғашқы есепті жібереміз, және көбіне онда жарамды парольдер бар болып шығады. Әрі қарай сыни табылған деректер бір тәулік ішінде келеді, қалғаны — ай сайынғы есепте. Мониторинг ақпараттық қауіпсіздік аудитімен жақсы үйлеседі: аудит іште не ашық екенін, мониторинг — шабуылдаушыларға не белгілі болып қойғанын көрсетеді.

Өтінім қалдырыңыз — доменіңізді тексеріп, компанияңыз туралы даркнетте не жатқанын айтып береміз.