Вартість витоку даних досягла рекорду: $4,99 млн, а атаки зі штучним інтелектом подорожчали ще на $1 млн

Глобальна середня вартість витоку даних у 2026 році досягла рекордних $4,99 млн, згідно з 21-м щорічним звітом IBM Cost of a Data Breach Report, опублікованим 29 липня 2026 року компанією IBM та Інститутом Ponemon. Це на 12% більше, ніж торік, що перекрило тимчасове зниження показника у 2025 році . Головна причина такого зростання — сплеск AI-атак на 56% .

Рекордна вартість та AI-премія

Американські компанії зазнають у середньому $11,5 млн збитків на один витік — це більш ніж удвічі перевищує глобальний показник і на 11% більше, ніж у 2025 році . Кожна година, протягом якої витік залишається невирішеним, коштує приблизно $1 100 .

AI-атаки стали головним чинником подорожчання. Кожен четвертий зловмисний витік тепер пов'язаний зі штучним інтелектом — це на 56% більше, ніж торік. Такі витоки коштують у середньому $6 млн, що приблизно на $1 млн більше за глобальне середнє значення . Серед конкретних типів AI-атак — дипфейкове імітування, AI-зловмисне програмне забезпечення, інверсія моделі (середня вартість $6,07 млн) та ін'єкція запитів ($5,89 млн) .

Час виявлення та реагування вперше за п'ять років погіршився

Після п'яти років поступового покращення середній час виявлення та локалізації витоку збільшився до 247 днів (183 дні на виявлення, 64 дні на локалізацію) . Це свідчить про те, що зловмисники діють швидше, ніж захисники, скорочуючи час на реагування . Витоки, які тривали довше за 200 днів, коштували в середньому $5,65 млн, тоді як локалізовані до 200 днів — $4,32 млн .

Тіньовий AI та прогалини в управлінні досягли критичного рівня

Найбільш тривожний висновок: кількість інцидентів із shadow AI більш ніж подвоїлася — з 20% до 43% організацій, що зазнали витоку . Несанкціоновані AI-інструменти, які використовуються без перевірки безпеки, тепер стоять за майже половиною всіх інцидентів .

Серед організацій, які постраждали від інциденту, пов'язаного зі штучним інтелектом, 92% не мали належного контролю доступу до AI на момент витоку . 68% зламаних організацій взагалі не мали політики управління AI . Частка інцидентів, пов'язаних з AI-моделями та застосунками, зросла з 13% до 21% . У звіті задокументовано атаки на інфраструктуру AI через ін'єкцію запитів, інверсію моделі та отруєння даних . Організації, які зазнали AI-витоку, але не мали контролю доступу, витрачали в середньому $5,33 млн проти $4,70 млн для тих, хто не постраждав від AI .

Реакція ринку: 85% планують збільшити інвестиції в безпеку

У додатковому дослідженні 85% зламаних організацій заявили, що планують збільшити витрати на інструменти безпеки та управління саме через загрози з боку передових AI-систем . В основному опитуванні 64% зазначили, що сам витік спонукає їх до збільшення витрат . Цей сплеск витрат узгоджується з ширшими галузевими тенденціями — наприклад, Cisco повідомила про 14% зростання доходу від безпеки протягом того ж періоду, що відображає прискорене корпоративне інвестування в AI-орієнтований захист .

Інші критичні висновки

• Компрометація ланцюга постачання стала найбільшим чинником подорожчання, додаючи в середньому $227 250 до вартості кожного витоку. Це другий за поширеністю вектор атаки, який потребує 258 днів для виявлення та локалізації .
• Охорона здоров'я залишається найдорожчою галуззю: середня вартість витоку становить $6,64 млн, хоча це менше, ніж у попередні роки .
• Індія зафіксувала найвищу середню вартість витоку — ₹25,5 крор ($3,05 млн), що на 15,9% більше, ніж торік .
• Організації, які активно використовують AI та автоматизацію для безпеки, заощаджують у середньому $1,93 млн порівняно з тими, хто цього не робить .
• Лише 42% організацій повідомили про повне відновлення після витоку, хоча це більше, ніж 35% торік. Більшість усе ще перебувають на етапі відновлення через місяці або роки після інциденту .

Звіт 2026 року базується на дослідженні 602 зламаних організацій у 17 країнах та 17 галузях, дані збиралися з березня 2025 року по лютий 2026 року .