تقرير الفدية لشركة Black Kite لعام 2026 يكشف عن اقتصاد تهديد أسرع وأكثر تجزئة

يصف تقرير الفدية لعام 2026 من شركة Black Kite سوق الفدية الذي لم يعد محددًا بجماعة واحدة مهيمنة أو إيقاف واحد مثير للرعب أو طريقة هجوم واحدة. بين 1 أبريل 2025 و 31 مارس 2026 ، حددت الشركة 7,551 ضحية تم الكشف عنها علنًا ، بزيادة عن 6,046 في الفترة السابقة. ومع ذلك ، فإن ما يهم أكثر من الزيادة الإجمالية هو كيف حدثت النمو. تسارع النشاط بشكل حاد خلال النصف الثاني من العام ، وappeared مجموعات الفدية الجديدة بسرعة ، وأصبحت منصات البرمجيات الموثوقة بشكل متزايد طرقًا للدخول إلى المنظمات التي قد أمنّت بيئاتها الداخلية.

تغير شكل نمو الفدية

لقد تتبعت شركة Black Kite الكشف عن الفدية منذ عام 2022 ، عندما سجلت فترتها الأولى حوالي 2,700 ضحية. ثم ارتفع هذا العدد إلى 4,893 ، ثم 6,046 ، والآن 7,551 ، ولكن الزيادة السنوية لا توفر صورة كاملة لمدى تسارع النشاط خلال الفترة الأخيرة.

أنتجت الأشهر الستة الأولى 2,904 ضحايا ، مقارنة بـ 4,647 من أكتوبر 2025 إلى مارس 2026. وانتهى شهر مارس بمجموع 861 ضحية تم الكشف عنها علنًا ، وهو أعلى رقم شهري سجلته شركة Black Kite في أربع سنوات. واستمر الزخم أيضًا بعد انتهاء الفترة المعلنة ، مع ملاحظة 2,230 ضحية إضافية من أبريل إلى يونيو 2026.

على عكس الدورات السابقة للفدية ، لم يكن الاندفاع مدفوعًا بجماعة واحدة مهيمنة أو حدث كبير. انعكس ذلك في توسع متعددي المشغلين في نفس الوقت ، وتوسيع الجماعات القائمة في شبكاتها التابعة ، واكتشاف المشاركين الجدد طرقًا أرخص للمشاركة.

سوق مزدحم لا يزال لديه قادة قويون

لم يعد الفدية تحت سيطرة عدد صغير من الجماعات المعروفة التي تعمل كمنظمات إجرامية منظمة بشكل صارم. بدلاً من ذلك ، أصبحت تعمل كمجال خدمة. يطور المشغلون الأساسيون البرمجيات الخبيثة ، ويحافظون على مواقع التسريب ، ويتولون المدفوعات ، ويوفرون البنية التحتية ، بينما يجد المشاركون طرقًا للدخول إلى شبكات الشركات وينفذون الهجمات. يسمح هذا النموذج للجماعات بالتوسع بسرعة دون الحاجة إلى كل مشارك لديه مهارات تقنية متقدمة.

حددت شركة Black Kite 127 مجموعة فدية نشطة خلال الفترة المعلنة ، بما في ذلك 61 مجموعة ظهرت لأول مرة. كانت بعضها عمليات جديدة تمامًا ، بينما قد تكون البعض الأخرى إعادة تسمية أو مجموعات انشقاقية تشكلت بعد اختفاء منظمات قائمة. النتيجة هي سوق أكثر سلاسة حيث يمكن للممثلين التحرك بين العلامات التجارية ، أو إعادة استخدام الأدوات ، أو إطلاق مواقع تسريب جديدة دون إعادة بناء عملياتهم من الصفر.

على الرغم من هذه التجزئة ، لا يزال عدد صغير من الجماعات يولّد جزءًا كبيرًا من النشاط. كانت Qilin هي المثال الأكثر بروزًا ، حيث ادعت 1,358 ضحية خلال العام ، وهو ما يقرب من ضعف عدد الضحايا التابعين لمنافسها الأقرب. تعمل المجموعة من خلال هيكل فدية كخدمة يمنح المشاركين الوصول إلى أدوات الهجوم بينما يركز الوظائف مثل المفاوضات والمدفوعات والكشف عن الضحايا.

اتبعت العلامات التجارية الأخرى مسارات مختلفة. توقفت RansomHub ، التي كانت واحدة من العمليات الرائدة في الفترة السابقة ، عن نشر ضحايا في بداية عام 2026. عادت LockBit بعد تعطيلها السابق ، لكن 186 ضحية مدعومة تمثل استعادة محدودة بدلاً من عودة إلى تأثيرها السابق.

تظهر هذه التحولات لماذا لا ينبغي النظر إلى علامات الفدية على أنها شركات تقليدية. يمكن لمجموعة أن تختفي بينما يستمر المشاركون وأساليبهم والبنية التحتية تحت أسماء أخرى. قد يغلق المشغلون بعد إجراءات فرض القانون ، أو خلافات داخلية ، أو انخفاض الثقة ، فقط ليظهر التكتيكات المألوفة مرة أخرى من خلال موقع تسريب جديد بعد أسابيع.

لذلك أصبح السوق أكثر ازدحامًا وأكثر تركيزًا. يمكن للمشاركين الجدد أن يظهروا بسرعة ، لكن التوسع لا يزال يعتمد على وصول موثوق به إلى وكلاء ، ومشاركين متمرسين ، وبنية تحتية للدفع ، وسمعة لتوفير برمجيات خبيثة تعمل كما وعدت.

يتغير ملف الهدف

تبدأ هجمات الفدية عادةً بالوصول بدلاً من التشفير. قد يستغل المهاجمون نظامًا مواجهًا للإنترنت غير محدث ، أو يسرقون بيانات اعتماد من أجهزة الموظفين ، أو يسيئون استخدام برامج الوصول عن بُعد ، أو يخدعون طاولة المساعدة لإعادة تعيين حساب. بمجرد الدخول ، يحاولون التحرك عبر المنظمة ، وتحديد الأنظمة القيمة ، ونسخ البيانات الحساسة ، وإنشاء ضغط تشغيلي أو سمعي كافٍ لطلب الدفع.

ظلت الولايات المتحدة هي الدولة الأكثر تكرارًا في قاعدة بيانات شركة Black Kite ، حيث مثلت ما يقرب من نصف الضحايا الملاحظين. ومع ذلك ، توسعت هجمات الفدية بسرعة أكبر في عدة أسواق أخرى. سجلت ألمانيا وفرنسا وإسبانيا وإيطاليا جميعًا زيادات كبيرة ، بينما شهدت العديد من الدول الآسيوية أيضًا نموًا حادًا من نقاط انطلاق أصغر.

يعكس هذا الانتشار الجغرافي الأوسع سوقًا حيث يلاحق المشاركون بشكل متزايد أي منظمة يمكن الوصول إليها بدلاً من تقييد أنفسهم بمجموعة ضيقة من البلدان. كانت الحواجز اللغوية والمعرفة الإقليمية تجعل التوسع الدولي أكثر صعوبة في الماضي. أدت الترجمة الآلية والأدوات التكتيكية المتاحة على نطاق واسع والبنية التحتية الإجرامية المشتركة إلى تقليل بعض هذا الاحتكاك.

ظلت الصناعة التحويلية هي الصناعة الأكثر استهدافًا ، مع 1,660 ضحية تم الكشف عنها. تكون الشركات المصنعة جذابة لأن أي انقطاع قصير يمكن أن يerrupt الإنتاج ، ويؤخر الطلبات ، ويؤثر على الموردين والعملاء. كما تعمل العديد من الشركات على مزيج من أنظمة الأعمال الحديثة وتكنولوجيا التشغيل القديمة ، مما يخلق بيئات يمكن أن تكون صعبة في تصحيحها أو إيقافها مؤقتًا.

احتلت الخدمات المهنية والعلمية والتقنية المرتبة الثانية. غالبًا ما تحتفظ هذه الشركات بمعلومات حساسة تعongsTo عملاء متعددين ، مما يعني أن التطفل الواحد يمكن أن يخلق ضغطًا يتجاوز الضحية الأصلي. قد تحتفظ شركات القانون والهندسة والاستشارات ومقدمي التكنولوجيا أيضًا ببيانات اعتماد أو وصول يمكن أن يؤدي إلى مهاجمين إلى منظمات أخرى.

انتقل البناء إلى المركز الثالث ، مما يعكس اعتماد القطاع على فرق المشاريع الموزعة ، والمتعاقدين ، وتطبيقات السحابة ، وأنظمة الدفع. ظلت الرعاية الصحية مستهدفة بشكل كبير لأن انقطاع الخدمة يمكن أن يصبح قريبًا قضية تشغيلية وسلامة عامة.

كما يُظهر التقرير أن المهاجمين يضعون تركيزًا أكبر على المنظمات متوسطة الحجم. تمثل الشركات التي تدر أرباحًا بين 10 ملايين و 100 مليون دولار معظم النشاط الملاحظ. قد تحتفظ هذه الشركات ببيانات قيمة ولديها القدرة على الدفع ، لكنها غالبًا ما تفتقر إلى فرق الأمن المخصصة وطبقات الدفاع المتاحة لأكبر الشركات.

هذا لا يعني أن الشركات الكبيرة يتم تجاهلها. بدلاً من ذلك ، يبدو أن مشغلي الفدية يوازنون بين العوائد المحتملة وتكلفة الهجوم وضifficulty. قد تقدم شركة تصنيع صغيرة أو مقاول إقليمي أو شركة خدمات مهنية مسارًا أسرع إلى الانقطاع من شركة متعددة الجنسيات ذات موارد مراقبة واستجابة للحوادث الواسعة.

أصبحت المنصات الموثوقة جزءًا من سطح الهجوم

كانت بعض الحوادث الأكثر أهمية في العام لا تبدأ داخل شبكة الضحية الأساسية. انتقلت عبر تطبيقات Software-as-a-Service ، ورموز OAuth ، وتطبيقات تخطيط الموارد ، ومنصات الدعم ، وغيرها من الأنظمة المرتبطة بالبيانات التجارية الحساسة.

يبرز التقرير حملات متعلقة بـ Salesforce (CRM ) كمثال على كيف يمكن أن يصبح الوثوق الموفد طريقًا لهجوم. يُزعم أن رموز OAuth المخترقة المرتبطة بتطبيقات متصلة أعطت المهاجمين وصولًا إلى بيئات العملاء في Salesforce. خلقت التكاملات مع منصات خدمة العملاء ونجاح العملاء مسارات إضافية إلى البيانات.

في هذه الحالات ، يمكن لمنظمة أن تحتفظ بالسيطرة الداخلية القوية ولا تزال تكون معرضة للخطر من خلال علاقة مورد لا تفهمها أو تراقبها بالكامل. يمكن أن يعطي رمز صادر قبل أشهر ، أو تطبيق حصل على صلاحيات زائدة ، أو حساب دعم غير آمن للمهاجم وصولًا دون الحاجة إلى عدوى برمجية خبيثة تقليدية.

أوضحت حملة Oracle E-Business Suite الإصدار الكامل لهذه المشكلة. يصف تقرير شركة Black Kite حملة تتضمن ادعاءات بسرقة بيانات من بيئات Oracle EBS وربما استغلال CVE-2025-61882 قبل توفر التصحيح.

دعم النشاط بعد الفترة حملة PeopleSoft الدرس الأوسع. يمكن لمنصة معرضة واحدة أن تخلق مجموعة كبيرة من الضحايا ، مما يجعل تحكمات الهوية للمورد أو الأذونات أو الثغرة الأمنية جزءًا من تعرض الفدية لكل عميل.

كانت علامات التحذير مرئية في كثير من الأحيان

وجدت تحليلات ما قبل الكشف من شركة Black Kite أن العديد من الضحايا أظهروا نقاط ضعف يمكن ملاحظتها من الخارج قبل ظهورهم على مواقع تسريب الفدية. كانت هناك تكوينات أمنية غير صحيحة في أكثر من ثلثي السكان الذين تم تحليلهم ، بينما ظهرت خدمات الوصول عن بُعد المعرضة وثغرات البرامج و النطاقات المزيفة وبيانات الاعتماد المسروقة بشكل متكرر.

كان أكثر من 60٪ يحملون على الأقل واحدة من ثلاثة نتائج متعلقة بالفدية: ثغرة برمجية معروفة ، أو كشف بيانات الاعتماد ، أو سجلات سرقة. حمل ما يقرب من واحد من كل عشرة جميع الثلاثة.

لا تثبت هذه الإشارات التي الضعف التي تسببت في التطفل المحدد. قد يتم اختراق منظمة ذات بيانات اعتماد معرضة في النهاية من خلال نقطة ضعف مختلفة. ومع ذلك ، تظهر النتائج أن العديد من الضحايا المستقبليين كانوا بالفعل مرئيين كأهداف جذابة قبل أن يصبح الهجوم علنيًا.

يحاول دليل شركة Black Kite لمؤشر قابلية الفدية قياس هذا التعرض بشكل أكثر مباشرة. وجدت الشركة أن الشركات في فئة الخطر الأعلى كانت أكثر احتمالًا للتجربة حادثة فدية تم الكشف عنها أكثر من المنظمات في الفئة الأقل خطرًا.

الدرس العملي هو أن مخاطر الفدية لا توزع بالتساوي. غالبًا ما يركز المهاجمون على المنظمات حيث تتداخل عدة نقاط ضعف ، خاصة عندما تخلق الأنظمة غير المحدثة وبيانات الاعتماد المعرضة وأذونات الهوية المسموح بها نقاط دخول متعددة.

تغيرت أساليب الابتزاز بسبب معدلات الدفع الأقل

توسعت سوق الفدية حتى مع أن سلوك الدفع أصبح أقل موثوقية. لا تقيس شركة Black Kite مدفوعات الفدية مباشرة ، ولكنها تقارن عدة مجموعات بيانات استجابة للحوادث تشير إلى أن عددًا أقل من الضحايا يختارون الدفع.

أفادت مجموعة بيانات واحدة بنسبة دفع 26٪ في الربع الثاني من عام 2025. وضعت مجموعة أخرى النسبة في الربع التالي عند 23٪ ، بينما أنتجت حوادث سرقة البيانات فقط نسبة 19٪. تأتي هذه الأرقام من مجموعات مختلفة ولا يجب قراءتها كقياس مستمر لأسواق الفدية.

يمكن أن تكون المبالغ المدفوعة من قبل المنظمات التي تتوافق مع ذلك لا تزال كبيرة. وجدت مجموعة بيانات واحدة مذكورة في التقرير أن متوسط الدفع كان 1 مليون دولار بين المنظمات التي دفعت لاستعادة البيانات.

لا تقلل معدلات الدفع الأقل بالضرورة من ربحية الفدية. قد تدفع بدلاً من ذلك المشغلين لملاحقة المزيد من الضحايا ، أو تقليل تكلفة كل هجوم ، أو تطبيق أشكال أخرى من الضغط. يتم الآن دمج التشفير بشكل متكرر مع سرقة البيانات والكشف العام والتواصل المباشر مع العملاء والتهديدات المتعلقة بالمنظمات أو الشركاء.

عندما يدفع عدد أقل من الضحايا لاستعادة الأنظمة المشفرة فقط ، يكون للمهاجمين حافز لإنشاء عواقب لا تزال موجودة حتى بعد استعادة النسخ الاحتياطية.

لا يعني الاستعادة أن التعرض قد исчез

تعتبر النتائج بعد الحادث من بين أكثر النتائج قلقًا في التقرير. قد تحسنت بعض التدابير الأمنية السطحية بعد أن أعلنت الضحايا عن الهجمات. زادت التصنيفات الأمنية المتوسطة ، بينما انخفض النشاط المتوسط لботنت.

انتقلت المؤشرات الخاصة بالفدية بشكل عام في الاتجاه المعاكس. كان كشف سجلات سرقة أعلى بكثير في المقارنة بعد الحادث ، بينما زادت قابلية الفدية وثغرات البرمجيات أيضًا بين العديد من الضحايا.

يقترح النمط أن المنظمات قد تحل المشاكل الأمنية الأكثر وضوحًا بينما تترك الظروف التي تجعلها جذابة للمهاجمين. قد تغلق الشركة الثغرة التي يُعتقد أنها تسببت في الهجوم الأولي ولكنها فشلت في إلغاء بيانات الاعتماد المسروقة ، أو مراجعة وصول المورد ، أو إزالة الحسابات غير نشطة ، أو التحقيق في الأنظمة المعرضة الأخرى.

دعم تحليل الحالة الحالية من شركة Black Kite هذا القلق. استمر العديد من الضحايا السابقين في إظهار سجلات أمان البريد الإلكتروني غير صحيحة ، وثغرات برمجية حرجة ، وثغرات مستغلة ، وبيانات اعتماد موظفيها تداولت في سجلات سرقة.

غالبًا ما يتم تنظيم استجابة الحوادث حول استعادة العمليات و احتواء التطفل المحدد. يجادل التقرير بأن هذا ليس كافياً. يجب أن تشمل الاستعادة تقييمًا جديدًا لجميع سطح الهجوم المرئي للorganisation ، وليس فقط النظام المرتبط بالحادث الأصلي.

تقلل الذكاء الاصطناعي من تكلفة المشاركة

لا يجادل التقرير بأن الذكاء الاصطناعي تسبب في زيادة هجمات الفدية. بدلاً من ذلك ، يصفه كعامل مضاعف يجعّل العمل الحالي أسرع وأرخص.

يمكن تلخيص الاستطلاع بسرعة أكبر ، ويمكن تحويل نصوص البريد المزور والبريد الصوتي المزور إلى لغات محلية ، ويمكن تنظيم السجلات المسروقة في روايات أكثر اقناعًا ، ويمكن إنتاج رسائل التفاوض بواسطة فرق أصغر. يمكن للمهاجمين منخفضي المستوى استخدام أدوات مدعومة بالذكاء الاصطناعي لتصحيح البرامج الخبيثة ، و تعديل البرمجيات الخبيثة ، و توفير المهام المتكررة.

أكثر التأثير وضوحًا حاليًا في الطبقة البشرية. يمكن أن يجعل التكنولوجيا الصوتية المزيفة ، والغش المتعدد اللغات ، والصوت المزيف ، و操ulation الدعم ، والتكيف الشخصي في الوقت الفعلي من السهل على المهاجمين أن يبدوا أكثر مصداقية في لغة لا يتحدثونها أو ينتجون رسائل مخصصة لمئات من الموظفين دون كتابة كل منها يدوياً.

تشير شركة Black Kite إلى علامات أولى على دخول الذكاء الاصطناعي إلى التنفيذ الفني و علامات الابتزاز. المخاطر قصيرة الأجل ليست بالضرورة عمليات فدية ذاتية الحكم بالكامل. إنها عمليات إجرامية شبه آليّة حيث يمكن لأفرقة أصغر أن تقوم بعمل كان ي đòiي في السابق أكثر وقتًا ، وخبرة ، وتنسيقًا.

لا يزيل الذكاء الاصطناعي الحاجة إلى الوصول أو المشغلين المهرة. إنه يقلل من الاحتكاك بين مراحل الهجوم ويعطي المزيد من المشاركين القدرة على التصرف مثل منظمات الفدية المنظمة.

الآثار المستقبلية

الرسالة المركزية هي أن الفدية تتطور من سوق بقيادة عدد قليل من العلامات التجارية إلى نظام بيئي أوسع وأكثر تشغيلًا. لا يزال المدافعون بحاجة إلى تصحيح الثغرات و تأمين النقاط النهائية ، ولكن البيانات تشير إلى مسؤولية أوسع تشمل مراجعة وصول المورد ، وتكاملات Software-as-a-Service ، وأذونات الهوية ، و بنية البريد الإلكتروني ، وبيانات الاعتماد المعرضة ، و الظروف بعد الحادث.

يجب على المنظمات أن تعيد التفكير في كيفية قياس الاستعادة. قد يغلق استعادة الأنظمة الحادث الفوري ، ولكنها لا تثبت أن بيانات الاعتماد المسروقة قد تم إلغاؤها ، أو أن أذونات المورد الزائدة قد تم إزالتها ، أو أن الأصول المعرضة الأخرى قد تم معالجتها.

يُظهر تقرير الفدية لعام 2026 في النهاية لماذا لا تكفي أعداد الضحايا وحدها. التهديد ينمو من خلال مزيج من الحجم المستدام ، و مشغلي فدية كخدمة ذوي الإنتاجية العالية ، و الاستهداف المتوسع للأسواق المتوسطة ، و الركيزة الإمدادية ، و التكاليف التشغيلية المنخفضة. قد يغلق إغلاق الحادث العمليات العادية ، ولكن تقليل فرصة حدوث حادث آخر يتطلب معاملة التعرض على أنه حالة مستمرة وليس حالة تنتهي عندما يتم إكمال عملية الاستعادة.