Число свежих утечек баз данных сократилось, но выросла активность их распространения

Аналитики сервиса Smart Business Alert (SBA) компании ЕСА ПРО (входит в ГК “Кросс технолоджис”) за январь–июнь 2026 года зафиксировали в открытом доступе 54 базы данных с актуальностью 2026 года, содержащие в совокупности 24,3 млн строк. За аналогичный период 2025 года было выявлено 212 баз с актуальностью 2025 года, общий объём которых составлял 552,4 млн строк.

Специалисты подчеркивают, что реальное число утекших баз данных больше, за счет приватных баз, которые не распространяются в открытом доступе и готовятся для продажи в одни руки. По оценкам SBA, за I полугодие злоумышленники могли продать не менее 20 таких баз. Чаще всего эти данные попадают в открытый доступ через некоторое время — когда первичная киберпреступников заканчивает работу с ними.

При этом аналитики указывают на рост активности вокруг утечек, несмотря на сокращение числа свежих данных. За I полугодие 2026 года количество сообщений и сработок, то есть событий, предложений о покупке, по теме распространения баз данных на специализированных форумах и в теневых Telegram-каналах выросло с 23 874 до 38 138.

Количество специализированных ресурсов для распространения утекших данных увеличилось с 284 до 369, что соответствует росту почти на 30%. Активность в RU-сегменте также выросла: с 446 до 692 публикаций, или на 55%. По оценке экспертов SBA, это указывает на изменение структуры рынка утечек. Новых массивов с актуальностью 2026 года стало меньше, однако ранее похищенные базы начали заметно активнее перепродаваться, переупаковываться и публиковаться повторно.

«Мы видим, что часть баз, которые ранее использовал ограниченный круг злоумышленников, сейчас выходит в более широкий оборот. Вероятно, киберпреступные сообщества уже отработали эти данные в своих сценариях и теперь готовы перепродавать их дальше либо выкладывать в свободный доступ. Для мошенников такие массивы по-прежнему представляют ценность: они используются для обогащения текущих баз, уточнения телефонов, адресов, электронных почт, истории заказов и подготовки более точных сценариев социальной инженерии».

Сергей Трухачев

руководитель сервиса SBA

По оценке SBA, в 2026 году в российском сегменте чаще всего фигурируют клиентские базы интернет-магазинов, сервисов доставки, образовательных платформ, программ лояльности, онлайн-сервисов и компаний, работающих с большим количеством пользовательских обращений.

Отдельным направлением становятся публикации, связанные не только с выгрузкой клиентских данных, но и с компрометацией ИТ-инфраструктуры компаний. В таких случаях злоумышленники заявляют уже не просто о продаже базы клиентов, а о полноценном проникновении во внутренний контур: скачивании рабочих документов, почтовых архивов, дампов баз данных, учётных записей, конфигураций, резервных копий и иной служебной информации. В ряде инцидентов дополнительно появляются заявления об уничтожении бэкапов, шифровании серверов, виртуальных машин и рабочих станций. Такие атаки фактически выходят за рамки классической утечки и становятся разрушительными инцидентами для бизнеса.

Аналитики выделяют три наиболее заметные категории утечек в 2026 году:

Массовые клиентские базы. Чаще всего, «утекают» в ритейле, доставке, e-commerce, образовательных сервисах и программах лояльности. Такие данные удобны для мошенников, поскольку позволяют быстро подбирать сценарии обмана под конкретный контекст: заказ, доставку, бонусы, обучение, возврат, оплату или подтверждение аккаунта.

Корпоративные выгрузки и внутренние документы. В таких публикациях фигурируют не только персональные данные клиентов или сотрудников, но и договоры, переписки, бухгалтерские документы, внутренние регламенты, заявки, технические файлы и учетные записи. Эти сведения могут использоваться не только для мошенничества, но и для последующих атак на подрядчиков, партнеров и сотрудников компании.

Утечки с компрометацией ИТ-инфраструктуры и повреждением или уничтожением резервных копий. Это наиболее опасный сценарий, поскольку он совмещает утечку данных, остановку бизнес-процессов и давление на компанию через угрозу публикации. В таких инцидентах злоумышленники могут заявлять о шифровании серверов и рабочих станций, удалении бэкапов, выгрузке больших объёмов данных и последующей продаже или публикации фрагментов.

При этом аналитики SBA подчеркивают, что к заявлениям о масштабах утечек необходимо относиться осторожно. На теневых площадках часто указывается завышенный объём данных, а под видом новой базы могут продаваться скомпилированные массивы из старых утечек, парсинга, дублей или откровенно фейковых записей. Иногда злоумышленники публикуют небольшой семпл, но он не позволяет подтвердить ни полный объем, ни актуальность всей базы.

«Само появление объявления еще не означает, что перед нами новая и достоверная утечка. Необходимо проверять структуру данных, наличие дублей, актуальность записей, происхождение полей и признаки компиляции. Но даже старые или частично скомпилированные базы остаются опасными, потому что мошенники используют их не отдельно, а в связке с другими источниками», — отмечает Сергей Трухачев.

По мнению специалистов SBA, ключевая угроза для пользователей и компаний в 2026 году связана не только с появлением новых утечек, но и с повторным оборотом ранее похищенных данных.

Для бизнеса, указывают аналитики, такие инциденты требуют не только реагирования на сам факт публикации базы, но и проверки всей цепочки: от возможного первичного доступа и выгрузки данных до состояния резервных копий, журналов событий, учётных записей, внешних сервисов и подрядчиков.