Сучасний кіберфронт України довів одну болючу істину: найпотужніші системи захисту периметра стають безсилими, якщо ворог заходить через «парадні двері». Концепція непробивної фортеці зруйнована — російські спецслужби (ФСБ, ГРУ, СВР) дедалі частіше обходять складні технічні злами й атакують через людей. 
Згідно з CERT-UA, у 2025 році кількість кіберінцидентів в Україні зросла на 37,4 % (5927 випадків). Щонайменше 425 атак почалися з компрометації облікових записів. 
Не через вразливість. Не через 0-day. А через людину з легітимним доступом. І головна проблема — більшість компаній просто не бачать, що відбувається після авторизації.
Атакувальникам достатньо менше години, щоб закріпитися в системі, підвищити привілеї й почати крадіжку даних. Для бізнесу це вже не гіпотетичний ризик: за оцінками Ponemon Institute, один такий інцидент коштує в середньому 779 тисяч доларів. 

Три обличчя інсайдера в українських реаліях

Аналіз найгучніших кібератак та звітів СБУ дозволяє виділити три основні категорії внутрішніх загроз, з якими стикаються український державний та приватний сектори. 

Фахівці, які мають легітимний доступ до критичної інфраструктури та свідомо використовують його на користь ворога. Технічна експертність робить їх ідеальними коригувальниками. 
Кейс «Укренерго»: Восени СБУ затримала одного з керівників департаменту безпеки НЕК «Укренерго». Маючи доступ до секретної інформації, він систематично передавав дані про реальні наслідки ракетно-дронових ударів по енергооб’єктах, що дозволяло ворогу оцінювати ефективність атак. 
Кейс IT-фахівця з Куп’янська: Системний адміністратор добровільно допомагав розгортати мережі окупаційної адміністрації, а згодом, завербований ГРУ, використовував свої навички для збору та передачі точних координат позицій ЗСУ. 

Найбільш масова загроза. Користувач не має злого наміру, але його цифрова ідентичність викрадається і використовується ворожими APT-групами.  
Атака на «Київстар»: Катастрофічний збій телеком-оператора у грудні 2023 року став результатом тривалої операції угруповання Sandworm (ГРУ). Хакери отримали первинний доступ через скомпрометований акаунт співробітника. Завдяки цьому вони місяцями перебували в мережі, підвищили привілеї і зрештою знищили ядро інфраструктури. 
Шпигунство через месенджери: Угруповання Gamaredon (UAC-0010), що складається зі зрадників кримського управління СБУ, масово атакує військовослужбовців через Signal, WhatsApp та Telegram. За допомогою фішингу та фейкових QR-кодів вони прив’язують пристрої військових до ворожих серверів. Після отримання доступу викрадення критичних документів займає у них всього 30–50 хвилин. 

3. Примусовий інсайдер (фактор окупації)

Унікальний тип загрози, спричинений фізичним захопленням територій. 
Кейс «Укртелекому»: У березні 2022 року інтернет-зв'язок провайдера впав до 13 % від довоєнного рівня. Хакери не шукали вразливостей периметра, а використали легітимні облікові дані співробітника, який перебував на тимчасово окупованій території. Система розпізнала цей вхід як авторизований, що дозволило ворогу завдати швидкого та масштабного удару. 

User Activity Monitoring закриває вразливості

Тож як це контролювати? Щоб ефективно протидіяти інсайдерам та APT-групам в умовах війни, архітектура Zero Trust повинна містити безперервну верифікацію дій користувача протягом усієї сесії. Саме це завдання виконують системи класу User Activity Monitoring (UAM) та Privileged Access Management (PAM). 
Яскравим прикладом сучасної еволюції таких рішень є платформа Syteca. Вона здатна не лише фіксувати всі дії користувача у вигляді журналів та відеозапису сесії, а й автоматично реагувати на ризикову активність — розривати сесію, блокувати процес або повідомляти службу безпеки ще до моменту масштабного поширення атаки. 
У кейсах шпигунства через месенджери, які активно використовує угруповання Gamaredon, після викрадення акаунта військового або держслужбовця зловмисники намагаються швидко скопіювати документи, архівувати файли або передати їх на зовнішні ресурси. У такому випадку система моніторингу активності дозволяє виявити нетипові сценарії роботи: масове копіювання даних, підключення сторонніх носіїв, запуск невластивих програм чи доступ до критичних документів у незвичний час. 
У кейсі «Укртелекому» проблема полягала в тому, що система сприйняла вхід із окупованої території як легітимний. Це типовий приклад, коли класична перевірка логіна і пароля вже не працює. Тут додатковий рівень контролю забезпечують механізми аналізу поведінки користувача: система може враховувати географію входу, час активності, характер дій у сесії та автоматично обмежувати доступ у разі підозрілих відхилень. 
Окремо критичним стає захист привілейованих облікових записів адміністраторів. Якщо пароль адміністратора викрадається через фішинг або шкідливе ПЗ, наслідки можуть бути катастрофічними. 
Syteca вирішує цю проблему через централізоване сховище паролів: адміністратори не бачать реальних облікових даних, а система автоматично підставляє їх під час підключення до серверів. Це суттєво знижує ризик компрометації критичної інфраструктури навіть у разі викрадення акаунта співробітника.