CrowdStrike OverWatch analizuoja apie 7 trilijonus įvykių kasdien, gaunamų iš galinių įrenginių, tapatybės sistemų, debesijos ir Next-Gen SIEM sprendimų. Iš šio duomenų masto išryškėja apie 14 milijonų kasdienių aptikimų lyderių, kurie vėliau yra išsamiau analizuojami.
Per pastaruosius 12 mėnesių, grėsmių medžioklės komandų veikla perėjo į daugiau nei 1 milijoną naujų aptikimų ir prevencinių galimybių, kurios vėliau buvo perduotos Falcon platformai.
CrowdStrike šiuo metu seka daugiau nei 290 pavadintų priešininkų ir daugiau nei 150 aktyvių kenkėjiškų veiklų klasterių ir besivystančių grėsmių grupių. 2026 metais pavadinta daugiau nei 10 naujų priešininkų.
Įsilaužimų skaičius vis dar auga
Ataskaita nurodo apie 4 procentų įsilaužimo tipo incidentų padidėjimą metai iš metų. Nors tai aiškiai mažiau nei 27% fiksuotų ankstesniu laikotarpiu, CrowdStrike pabrėžia, kad tai nereiškia kibernetinių nusikaltėlių veiklos sumažėjimo.
Mažesnė augimo dinamika labiau atspindi pokytį atakuotojų veikimo būde. Jie vis dažniau susitelkia į labiau brandžias ir sudėtingas kampanijas, jungiančias daug atakų vektorių, technologijų ir aplinkų. Tai reiškia, kad grėsmės mastas neturėtų būti vertinamas tik per incidentų kiekio prizmę, bet ir jų didėjantį sudėtingumą.
Analizuotu laikotarpiu 56% aptiktų įsilaužimų buvo susiję su eCrime veikla, o 44% priskirti valstybiniams veikėjams.
Technologijų sektorius išlieka dažniausiai atakuojama pramonės sritimi
Technologijų sektorius dar metus išlaikė dažniausiai priešininkų atakuojamos pramonės poziciją, registruodamas 5 procentų įsilaužimo veiklos augimą.
CrowdStrike atkreipia dėmesį, kad technologijų įmonės yra patrauklus tikslas ne tik dėl savo duomenų ir infrastruktūros. Jos taip pat yra dalis išplėstinių skaitmeninių ekosistemų, apimančių, be kita ko, klientus, debesijos paslaugų teikėjus, kūrėjų bendruomenes ir prieigos sistemas prie kitų organizacijų.
Ataskaitoje taip pat pabrėžtas aktyvumo didėjimas kitų sektorių atžvilgiu. Finansinės paslaugos užfiksavo 11% augimą metai iš metų, tuo tarpu akademinis sektorius – 17%.
Pav.1 Aptiktų įsilaužimo tipo incidentų struktūra laikotarpiu nuo 2025 m. liepos 1 d. iki 2026 m. birželio 30 d.
AI nėra naudojama tik gynėjų
Viena iš pagrindinių tendencijų, aprašytų ataskaitoje, yra didėjančios dirbtinio intelekto svarba, vykdoma priešininkų. CrowdStrike stebėjo generatyvinės DI naudojimą, įskaitant skriptų, svetainių, infrastruktūros, el. laiškų ir kitų veiksmus palaikančių elementų kūrimą. Tai liečia tiek eCrime grupes, tiek su valstybėmis susijusius veikėjus.
Ataskaita taip pat aprašo veiksmus, nukreiptus tiesiai prieš DI aplinkas ir infrastruktūrą. Atakuotojai bando prieiti prie modelių, įrankių ir su dirbtiniu intelektu susijusių kūrimo aplinkų, o vėliau naudoti juos tolesniuose kampanijų etapuose.
Tuo pačiu metu CrowdStrike pabrėžia, kad DI naudojimas leidžia atakotojams sumažinti laiko ir išteklių, reikalingų dalies veiksmų parengimui. Tai praktiškai gali virsti kampanijų vykdymu didesniu mastu bei greitesniu jų pritaikymu konkretiems tikslams ir aplinkoms.
Laikas tarp pažeidžiamumo atskleidimo ir jo panaudojimo greitai trumpėja
Ataskaita nurodo 42 procentų zero-day pažeidžiamumų panaudojimo padidėjimą metai iš metų laikotarpiu 2024–2025 m.. Ypatingai svarbus yra kibernetinių nusikaltėlių reakcijos greitis. Laikotarpiu nuo sausio iki birželio 2026 m. 88% atvejų, stebėtų CrowdStrike, pažeidžiamumai, dėl kurių buvo paskelbtas viešai prieinamas Proof of Concept (PoC), buvo panaudoti per vos 48 valandas nuo jo paskelbimo.
Tai labai svarbi įžvalga iš pažeidžiamumų valdymo perspektyvos. Tradicinis modelis, kai viskas remiasi tik pažeidžiamumų nustatymu ir vėlesniu atnaujinimų diegimu, gali būti nepakankamas, kai priešas pradeda veikti praktiškai iš karto.
Ataskaitoje aprašytas pavyzdys yra susijęs su pažeidžiamumu React2Shell (CVE-2025-55182). CrowdStrike nurodo, kad per pirmąsias keturias dienas po viešo pažeidžiamumo atskleidimo komanda OverWatch atsakė į daugiau nei 800 medžioklės lyderių, susijusių su įtarimu dėl React2Shell naudojimo daugiau nei 80 skirtingų organizacijų.
Programinės įrangos tiekimo grandinė tampa vienu iš svarbiausių kovos laukų
CrowdStrike skiria nemažą dalį ataskaitos atakoms prieš programinės įrangos tiekimo grandinę. Skirtingai nuo klasikinio modelio, kai atakuotojas bandė perimti konkretų tiekėją, dabar vis dažniau naudojami vieši paketų saugyklos ir kūr ėjų ekosistemos.
Ataskaitoje ekspertai CrowdStrike nurodo keletą pagrindinių tendencijų, susijusių su atakomis prieš programinės įrangos tiekimo grandinę:
- Kūrėjų ekosistemos tampa vis svarbesniu atakų taikiniu. Priešininkai atkreipia dėmesį į kodo saugyklas, atvirojo kodo paketus, betikrių priklausomybių registrus ir programavimo įrankius. Perimtas vienas iš šių elementų gali leisti pasiekti daug didesnį potencialių aukų skaičių.
- Atakos tampa vis labiau automatizuotos ir mastą išplėstos. CrowdStrike aprašo ALTERED SPIDER veiksmus, parodydami, kaip kenkėjiškos programos gali būti platinamos dideliu mastu kūrėjų ekosistemose.
- Tapatybė išlieka vienu iš pagrindinių patekimo taškų. Perėmus programotojo prisijungimo duomenis arba paskyrą su teise viešinti paketus gali suteikti priešininkams pasiekti daugiau tiekimo grandinės elementų ir suteikti pagrindą tolimesniam atakos vystymuisi.
- CI/CD pipelines tampa patraukliu taikiniu. Dėl turimų teisių jie gali suteikti prieigą prie artefaktų publikavimo, programinės įrangos diegimo ar gamybinės infrastruktūros procesų. Jų perėmimas gali reikšti didžiulį nusikaltėlių veiksmų potencialo padidėjimą.
- Ataka gali pereiti iš tiekimo grandinės į debesijos aplinką. CrowdStrike pastebi, kad priešininkai naudojasi perimtais autentifikavimo duomenimis ir prieiga, gauta per programinės įrangos tiekimo grandinę, kad išplėstų savo veiklą debesijos išteklių atžvilgiu.
Vishing tampa vienu iš svarbiausių metodų prieigos gavimui
Viena iš labiausiai pastebimų ataskaitos aprašytų tendencijų yra didėjantis vishingo, arba balso phishingo, populiarumas, kaip kibernetinių nusikaltėlių naudojama metodika. Tarp 2024 ir 2025 metų CrowdStrike OverWatch aptiko 134 procentų padidėjimą intruzių, kuriose vishing buvo pradinė prieigos vektoriaus, skaičiuje.
Ataskaita rodo, kad per pirmąją 2026 metų pusę šių incidentų skaičius jau buvo dvigubai didesnis nei pirmoje 2025 metų pusėje.
Vishing yra veiksmingas pakilusios dalies dėl to, kad leidžia apeiti kai kurias tradicines technines apsaugas. Užpuolikai naudoja tiesioginę sąveiką su naudotoju, apsimeta IT skyriumi ar kitais patikimais žmonėmis ir įtikinėja aukas atlikti veiksmus, leidžiančius perimti paskyrą.
CrowdStrike aprašo tokių grupių kaip CORDIAL SPIDER ir SNARKY SPIDER veiksmus, kurie naudoja vishingą, be kitų dalykų, prisijungimo duomenų, MFA kodų ir SaaS aplikacijų prieigos gavimui.
Pav. 2 Aptikti CrowdStrike OverWatch incidentai, kuriose vishing buvo tikėtinas pradinės prieigos vektorius – incidentų skaičius per mėnesį laikotarpiu nuo 2024 m. sausio iki 2026 m. birželio
Tapatybė ir SaaS yra šiuolaikinės atakos centriniai elementai
Ataskaitos autoriai ne kartą pabrėžia, kad tapatybė tapo vienu svarbiausių atakos srities. Pasiekus teisingus autentifikavimo duomenis priešininkas neprivalo nedelsiant įdiegti kenkėjiškos programos galinėje įrangoje. Jis gali naudotis teisėtais prisijungimo mechanizmais, SaaS paslaugomis ir debesijos prieiga.
Ataskaita taip pat rodo, kad dalis kibernetinių nusikaltėlių naudoja OAuth 2.0 įgaliojimus. CrowdStrike aprašo, be kita ko, įrenginio kodo phishingo, kur naudotojas yra įtikinėjamas autorizuoti sesiją, kontroliuojamą užpuoliko. Dėl to organizacijos turi analizuoti ne tik klasikinius signalus, susijusius su galiniais įrenginiais, bet ir netipišką sąskaitos aktyvumą, prisijungimo anomalijas, MFA įrenginių registracijas ar duomenų prieigą SaaS paslaugose.
Debesijos veikla tampa vis labiau sąmoninga verslo požiūriu
Analizuotu laikotarpiu CrowdStrike fiksavo 171 procentų padidėjusį cloud-conscious eCrime aktyvumą.
Priešininkai nebegalvoja apie debesiją tik kaip dar vieną vietą, kurioje galima paleisti kenkėjišką programą. Jie vis dažniau supranta debesijos aplinkų architektūrą, prieigos mechanizmus, vaidmenis ir leidimus bei jų laikomų duomenų vertę.
Ataskaita aprašo, be kitų dalykų, prisijungimo duomenų vagystę, skaičiavimo išteklių užgrobimą, aplinkų naudojimą kriptovaliutų kasimui ir tiksliai nukreiptas atakas į finansinius aktyvus. CrowdStrike taip pat pastebi, kad tradiciniai saugumo mechanizmai, orientuoti į infrastruktūrą, gali būti nepakankami. Norint aptikti dalį kampanijų, reikia stebėti naudotojų ir sąskaitų elgesį net po sėkmingo autentifikavimo.
Atakos apjungia vis daugiau skirtingų saugumo sričių
Vienas iš pagrindinių visos ataskaitos pranešimų yra ribų nykimas tarp atskirų atakos sričių. Viena kampanija gali pradėti nuo phishingo arba pažeidžiamumo išnaudojimo, pereiti prie tapatybės vagystės, SaaS, kūrimo aplinkos, galinio įrangos ir debesijos.
CrowdStrike apibūdina matomumo trūkumą tarp tokių sričių kaip reikšmingą riziką. Ataskaitos autoriai nurodo, kad šiuolaikinės destruktyviausios intruzijos dažnai pasinaudoja būtent spragomis tarp įrankių ir komandų, atsakingų už skirtingas saugumo sritis.
