Хакерский ИИ-инструмент делал 2 900 попыток входа в минуту: включена ли двухфакторная аутентификация в аккаунтах вашей компании?

ARTEX, хакерский инструмент, который проводит атаки с помощью ИИ-агентов, теперь доступен любому злоумышленнику: 5 ноября 2026 года Censys насчитала более 1 465 открытых в интернете серверов, на которых он работает, а связанная с Китаем группа уже использовала его в кампании по подбору паролей, которая на пике достигала 2 900 попыток входа в минуту. Самая дешёвая и быстрая защита — двухфакторная аутентификация: исследование Microsoft показало, что она снижает риск взлома аккаунта на 99,22%. Сделайте на этой неделе три вещи: сделайте двухфакторную аутентификацию обязательной для всех почтовых и административных аккаунтов, отключите устаревшие почтовые протоколы и запросите отчёт о тех, кто ещё не зарегистрировался. Если ваша компания подключает внешние приложения к Microsoft 365, прочитайте также нашу статью о взломе ConnectWise: эту брешь одна двухфакторная аутентификация не закрывает.

Что такое ARTEX и почему это касается вас?

ARTEX — это фреймворк с открытым исходным кодом для автоматизированного тестирования на проникновение, который его разработчик опубликовал на GitHub 26 июля 2026 года. Согласно отчёту Censys, опубликованному 5 ноября 2026 года, один ИИ-агент планирует атаку и разбивает её на задачи, другие агенты запускают инструменты сканирования и возвращают результаты, и цикл повторяется, пока цель не достигнута. Microsoft описывает его как инструмент, ведущий атаку от разведки до кражи данных при минимальном участии человека.

Когда стало известно о его применении в реальных атаках, разработчик объявил о закрытии кода и удалил репозиторий, но архивные копии и переименованные версии продолжают распространяться. После исключения одинаково настроенных серверов Censys насчитала около 815 независимых установок, в том числе 726 серверов в США, 387 в Гонконге и 177 в Китае. На практике то, для чего раньше требовалась команда злоумышленников, теперь делает один человек с бесплатным инструментом.

Что злоумышленники на самом деле сделали с его помощью?

В отчёте, опубликованном 21 октября 2026 года, Microsoft описала кампанию группы, которую она отслеживает как Storm-0940; группа использовала ARTEX для автоматического подбора паролей с 10 по 14 октября:

• 327 аккаунтов в 8 организациях подверглись распылению паролей, то есть перебору распространённых паролей по множеству аккаунтов.
• Более 151 000 неудачных входов, из них свыше 111 000 за один день, с пиком 2 900 попыток в минуту 11 октября.
• 48 аккаунтов получили каждый более 1 000 неудачных попыток.
• В других атаках той же группы от первой цели до привилегированного доступа к облачной инфраструктуре проходило менее 3 часов.

Microsoft сообщает, что не зафиксировала ни одного успешного входа в ходе именно этой кампании, поскольку блокировки аккаунтов поглотили большую её часть. Но TechCrunch 6 ноября подытожил, что многие такие атаки использовали простые слабости: слабые или известные пароли и отсутствие многофакторной аутентификации.

Почему одного пароля больше недостаточно

Недостаточно. Машина не устаёт и не спит, и любой аккаунт с повторно используемым или ранее утёкшим паролем рано или поздно будет проверен. Двухфакторная аутентификация добавляет второй фактор, которого у злоумышленника нет: код в приложении на телефоне сотрудника, ключ безопасности или ключ доступа. Исследователи Microsoft проанализировали реальные аккаунты с подозрительной активностью и в опубликованном исследовании установили, что двухфакторная аутентификация снижает риск взлома на 99,22%, и на 98,56% даже тогда, когда пароль уже утёк. Они также выяснили, что приложения-аутентификаторы эффективнее SMS-кодов, хотя и то и другое гораздо лучше, чем ничего.

Важное предупреждение из документации Microsoft: устаревшие почтовые протоколы, такие как IMAP, POP3 и SMTP, не поддерживают двухфакторную аутентификацию, поэтому злоумышленник может войти через них и обойти всю защиту. Включение не завершено, пока они не отключены.

Что говорят меры Национального управления по кибербезопасности?

Основные меры кибербезопасности ECC-2:2024, выпущенные Национальным управлением по кибербезопасности Саудовской Аравии (NCA), требуют многофакторную аутентификацию как минимум в трёх местах:

• Мера 2-2-3-2: для удалённого доступа и для привилегированных аккаунтов.
• Мера 2-4-3-2: для удалённого доступа к почте и доступа через веб-почту.
• Мера 2-15-3-5: для доступа пользователей к внешним веб-приложениям.

Меры обязательны для государственных органов, их аффилированных компаний и частных организаций, которые владеют критической национальной инфраструктурой, эксплуатируют или размещают её, а Управление настоятельно рекомендует всем остальным организациям Королевства использовать их. Если вы оказываете услуги государственному органу, ожидайте вопросов о них при оценке поставщиков.

Шаги, чтобы включить её на этой неделе

• Microsoft 365: в центре администрирования Microsoft Entra откройте Entra ID, затем Overview, затем Properties, затем Manage security defaults и включите их. Параметры безопасности по умолчанию бесплатны, не требуют дополнительной лицензии, обязывают администраторов проходить двухфакторную аутентификацию и блокируют устаревшие протоколы. Microsoft рекомендует две аварийные учётные записи администратора, не привязанные к конкретному сотруднику, чтобы вы никогда не заблокировали сами себя.
• Google Workspace: в разделе Menu, затем Security, затем Authentication, затем 2-step verification сначала разрешите сотрудникам регистрацию, затем сделайте её обязательной с заданной даты. Google допускает период регистрации для новых пользователей от 1 дня до 6 месяцев, а для руководства и финансов можно требовать ключи безопасности или ключи доступа.
• Приоритет: начните с аккаунтов администраторов, финансового отдела и почты, затем остальные сотрудники, затем другие системы, такие как бухгалтерия, интернет-магазин и панели хостинга.
• Контроль: запрашивайте еженедельный отчёт о тех, кто не зарегистрировался, и допускайте только временные исключения с письменным обоснованием.

Взгляд Origami

Изменился не тип атаки, ведь подбор паролей — старый приём, а её стоимость: теперь она автоматизирована, дешева и доступна любому. Компания, чья почта и бухгалтерия до сих пор открываются одним паролем, делает ставку на то, что злоумышленник до неё не доберётся, и со временем эта ставка проигрывает.

Поэтому каждая система, которую поставляет Origami, построена так, чтобы вход проходил минимум через два фактора и был связан с единым входом, если у компании уже есть аккаунт Microsoft или Google, как мы объясняли в нашей статье о безопасной аутентификации и SSO. Если вы хотите проверить, как ваша команда входит в ваши системы, или привязать их к одному защищённому аккаунту, свяжитесь с нами.

Вывод

Бесплатный ИИ-инструмент для атак теперь перебирает тысячи паролей в минуту без устали. Двухфакторная аутентификация вместе с отключением устаревших протоколов закрывает большую часть этой двери, и её можно включить в Microsoft 365 и Google за несколько дней без дополнительных затрат. Начните сегодня с руководства и финансов и не ждите, пока ваш аккаунт окажется в списке жертв следующего отчёта.

Источники

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 октября 2026
• Censys: отчёт об ARTEX и открытых серверах, 5 ноября 2026
• Национальное управление по кибербезопасности (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 ноября 2026