У НЛМК кибератак стало вдвое больше: металлурги снова оказались в горячей зоне промышленной ИБ

Группа НЛМК в 2025 году столкнулась с резким ростом кибератак. Число попыток атак на компанию увеличилось в два раза. Для крупного промышленного холдинга такая динамика выглядит особенно чувствительно. Ведь производство, логистика, техническое обслуживание, закупки, охрана труда, аналитика и документооборот завязаны на цифровые системы.

Промышленность интересна злоумышленникам сразу по нескольким причинам:

• У таких компаний большая площадь атаки: заводские площадки, офисы, удалённые подразделения, подрядчики, внешние сервисы, корпоративная почта, порталы закупок и промышленные сети.

• Простой производства стоит дорого. Даже короткий сбой может обернуться финансовыми потерями, срывом графиков и цепочкой проблем у клиентов.

• Сложность старой инфраструктуры. На заводах часто вместе работают новые цифровые сервисы и оборудование, рассчитанное на долгий жизненный цикл. У промышленных систем другие требования к обновлениям: нельзя просто поставить патч посреди смены, если это может повлиять на технологический процесс. Из-за этого часть уязвимостей остаются там дольше, чем в классической офисной среде.

НЛМК давно развивает цифровые сервисы. В публичных материалах компании описаны проекты в сфере ИТ, производственной аналитики, электронных процессов и автоматизации. Такая цифровизация повышает управляемость бизнеса, но одновременно расширяет поверхность атаки. Чем больше систем связано между собой, тем важнее сегментация, контроль доступов и мониторинг событий.

Рост числа атак не означает, что злоумышленники каждый раз добирались до критичных систем. В статистику обычно попадают разные события: фишинговые письма, вредоносные вложения, попытки подбора паролей, сканирование внешних ресурсов, эксплуатация уязвимостей, атаки на веб-сервисы, подозрительные подключения и попытки закрепиться в сети.

Отдельный риск — подрядчики. Промышленное предприятие редко работает в полной изоляции. В инфраструктуре появляются внешние интеграторы, сервисные компании, поставщики оборудования, разработчики и удалённая поддержка. Если доступы подрядчика плохо ограничены, атакующим не обязательно ломать саму компанию напрямую. Можно зайти через менее защищённое звено.

Двукратный рост атак на НЛМК укладывается в общий тренд. Российские компании в 2025 году столкнулись с большим числом целевых атак. Аналитики рынка отмечали, что массовый шум постепенно уступает место более подготовленным сценариям: злоумышленники выбирают конкретные отрасли, изучают инфраструктуру и пытаются нанести максимальный ущерб.

Промышленность находится среди самых заметных целей. В отраслевых сводках за 2025 год указывается, что на российскую промышленность пришлась значительная доля инцидентов, а вредоносное ПО остаётся одним из главных инструментов атак. Для заводов это особенно опасно: шифровальщик, троян-шпион или бэкдор в производственной сети может стать операционным инцидентом.

Есть ещё один важный фактор — сетевое и охранное оборудование. Маршрутизаторы, камеры, системы контроля доступа, видеонаблюдение и другие устройства часто оказываются недооценённой частью периметра. Через них можно собирать данные, искать внутренние маршруты, закрепляться в сети или использовать устройство как промежуточную точку атаки.

Ещё несколько лет назад в НЛМК тестировали промышленную защиту для АСУ ТП на одном из производственных участков. Тогда речь шла о защите инженерных станций, контроллеров и серверов визуализации процессов. Такой класс решений нужен для пассивного мониторинга технологической сети и обнаружения несанкционированных действий без вмешательства в процесс.