МТС Банк: графовые нейросети выявили более 90% перемещений хакеров в пилоте

Современные кибератаки почти не оставляют следов: злоумышленники применяют подход living-off-the-land и копируют поведение настоящего администратора. Атакующий использует легальные учётные записи, подключается к стандартным протоколам в рабочее время, перемещается по знакомым маршрутам и пользуется забытыми ключами доступа. Поэтому такие вторжения могут оставаться незамеченными месяцами или годами. «МТС Банку» требовалось выявлять перемещение атакующих внутри собственной инфраструктуры — сценарии, которые классические системы защиты, по оценке банка, не видят.

Банк разработал решение на графовых нейросетях (GNN) — классе ИИ, который анализирует связи между событиями. Модели изучают отношения между учётными записями, серверами и сессиями: кто, куда, когда и каким путём перемещался. Атака проявляется в цепочке нетипичных переходов, которую и фиксирует система. Решение построено как ансамбль из пяти моделей, каждая из которых отвечает за свой признак: сбой ритма, переход между сегментами сети, необычный маршрут и другие. Банк подбирает модели под конкретные типы атак и взвешивает их сигналы. Решение дополняет межсетевые экраны, антивирусы и системы мониторинга и закрывает их «слепые» зоны.

Банк провёл пилот на данных за год. За этот период в банке прошли 22 теста на проникновение и одна проверка Red Team; по данным банка, все активности были обнаружены на этапе перемещения внутри инфраструктуры, а ансамбль выявил более 90% векторов перемещения «белых» хакеров. По словам вице-президента по информационной безопасности «МТС Банка» Ильи Зуева, до аналитика доходят единицы событий в сутки. О результатах банк сообщил CNews в августе 2026 года. «МТС Банк» планирует поэтапно масштабировать решение на всю инфраструктуру и развивать графовый подход совместно с участниками рынка информационной безопасности.