Много компании в България провеждат одити, подготвят доклади и препоръки от IT екипи, които влизат в действие след месеци или… никога. Има случаи, в които един проблем е известен, но противодействието се отлага. Има по-спешни задачи, има по-важни разходи, има тримесечие, което трябва да се приключи. Рискът изглежда абстрактен, докато не стане конкретен. А когато стане конкретен, прозорецът за превантивно действие вече е затворен.
Това не е хипотеза. Това е модел, който се повтаря и най-добре го илюстрира един от най-скъпоструващите пробиви на данни през последните години.
Знаели са. Не са действали
Пробивът в T-Mobile е от август 2021 г., но историята започва по-рано. Прокуратурата на щата Вашингтон твърди, че компанията е знаела за уязвимостите в системите си години наред и не е направила достатъчно. Губернаторът на щата е категоричен: „Пробивът е бил напълно предотвратим. T-Mobile е имала възможност да поправи ключови уязвимости в системите си за киберсигурност и е пропуснала.“
Така се стига до компрометирането на данните на 40 млн. души – имена, дати на раждане, ЕГН-та, продадени в тъмната мрежа. Дело, което продължава до 2027 г. Репутационна щета, която не се изчислява лесно. И въпрос, който прокуратурата задава публично: как е възможно толкова голяма компания да е наясно, че проблемите съществуват, и да не е действала?
Отговорът е неудобен, защото е познат. Не само за T-Mobile
От идентифицирането на уязвимостта до изолирането ѝ
Според ENISA Threat Landscape 2025 над 60% от успешните пробиви експлоатират уязвимости, за които организацията вече е знаела, но не е действала. Средното време между идентифицирането на уязвимост и нейното отстраняване е 215 дни. Почти седем месеца, през които тази слабост остава в системата. Киберпрестъпниците чакат точно този отворен прозорец.
Много компании, включително и в България, имат планове за реакция, насоки, някой одит отпреди години. Препоръки от IT екипа, изпратени по имейл и архивирани. Доклад, който точно сега не е на дневен ред. Всеки такъв документ е потенциална входна точка за атака и файл, който може да бъде използван срещу самата компания в съда.
Регламентът NIS2, валиден и в България , не оставя много пространство за тълкуване. Изисква активно управление на рисковете – не само тяхното идентифициране. Разликата между двете е съществена и вече има правна тежест. Да знаеш за проблема и да не действаш вече не е управленско решение, а е избор с регулаторни последствия. А при пробив документацията върви заедно с разследването.
Най-опасната слабост
Не е тази в софтуера. Не е неправилно конфигурираният облак. Не е остарелият firewall. Най-опасната уязвимост е тази, която си регистрирал, сложил си в доклад и си отложил за по-спокойни времена, които така и не идват.
Отлагането има своята логика – ресурси, приоритети. Но киберсигурността не работи по логиката на удобния момент, а на на най-слабото звено. И атакуващият го търси системно, търпеливо и без краен срок.
Ето защо на помощ на бизнеса трябва да бъдат не само политиките за сигурност, но и обучения за киберсигурност на хората в екипа. Услуги като A1 Security Awareness Training са създадени, за да могат компаниите да помогнат на служителите си да изградят реални навици за разпознаване на фишинг имейли, фалшиви логин страници и подвеждащи съобщения, приканващи получателя да свали файл. Тренингът се доближава максимално до дигиталната среда, в която служителите работят.
Зад казуса с T-Mobile стои и по-голям въпрос, който 2026 г. поставя пред всяка организация: в свят, в който инструментите за откриване на уязвимости стават все по-достъпни и за защитниците, и за атакуващите - колко дълго може една компания да си позволи да знае за проблема и да не действа?
