Zpráva o vydírání Black Kite z roku 2026 odhaluje rychlejší a fragmentovanější ekonomiku hrozeb

Zpráva o vydírání Black Kite z roku 2026 popisuje trh s vydíráním, který již není definován jednou dominantní gangem, jednou senzační akcí nebo jednou metodou útoku. Mezi 1. dubnem 2025 a 31. březnem 2026 společnost identifikovala 7 551 veřejně zveřejněných obětí, což je nárůst oproti 6 046 v předchozím období. Více než nárůst celkového počtu je však důležité, jak k tomuto růstu došlo. Činnost se prudce zrychlovala ve druhé polovině roku, objevily se nové skupiny vydírání a důvěryhodné softwarové platformy se staly součástí útočné plochy.

Růst vydírání změnil tvar

Black Kite sleduje zprávy o vydírání od roku 2022, kdy v prvním období bylo zaznamenáno přibližně 2 700 obětí. Tento počet se později zvýšil na 4 893, poté na 6 046 a nyní na 7 551, ale roční nárůst plně nezachycuje, jak prudce se činnost zrychlila v posledním období.

První šest měsíců vyprodukovalo 2 904 obětí, ve srovnání s 4 647 od října 2025 do března 2026. Březen sám skončil s 861 veřejně zveřejněnými oběťmi, což je nejvyšší měsíční celkem, který Black Kite zaznamenal za čtyři roky. Impuls pokračoval i po ukončení období, s dalšími 2 230 oběťmi pozorovanými od dubna do června 2026.

Na rozdíl od předchozích cyklů vydírání nebyl tento nárůst způsoben jednou dominantní skupinou nebo jednou významnou událostí. Odrážel se v tom, že několik operátorů se rozšiřovalo současně, etablované skupiny rozšiřovaly své sítě affiliate a nové účastníci nacházeli levnější způsoby, jak se zapojit.

Přeplněný trh stále má mocné vůdce

Vydírání již není ovládáno malým počtem rozpoznatelných gangů, které fungují jako těsně organizované zločinecké skupiny. Číní se jako ekonomika služeb. Jádrové operátoři vyvíjejí malware, udržují stránky úniků, zpracovávají platby a poskytují infrastrukturu, zatímco partneři nacházejí způsoby, jak vniknout do firemních sítí a spustit útoky. Tento model umožňuje skupinám rychle expandovat bez toho, aby každý účastník potřeboval pokročilé technické dovednosti.

Black Kite identifikoval 127 aktivních skupin vydírání během období, včetně 61, které se objevily poprvé. Některé byly zcela nové operace, zatímco jiné mohly být přejmenovány nebo odštěpené skupiny vytvořené po zmizení etablovaných organizací. Výsledkem je více tekutý trh, ve kterém aktéři mohou přecházet mezi značkami, opětovně využívat nástroje nebo spustit nové stránky úniků bez toho, aby museli budovat své operace od začátku.

Přes tuto fragmentaci stále několik skupin generovalo velkou část aktivity. Qilin byl nejvýraznějším příkladem, který si během roku nárokoval 1 358 obětí, téměř dvakrát tolik jako jeho nejbližší konkurent. Skupina funguje prostřednictvím modelu vydírání jako služby, který poskytuje partnerům přístup k nástrojům útoku, zatímco centralizuje funkce, jako jsou jednání, platby a zveřejňování obětí.

Jiné značky následovaly různé cesty. RansomHub, který byl jednou z vedoucích operací v předchozím období, přestal zveřejňovat oběti na počátku roku 2026. LockBit se vrátil po svém předchozím narušení, ale jeho 186 nárokovalých obětí představovalo omezené zotavení spíše než návrat k jeho předchozímu vlivu.

Tyto posuny ukazují, proč by skupiny vydírání neměly být považovány za konvenční společnosti. Skupina může zmizet, zatímco její partneři, techniky a infrastruktura pokračují pod jinými názvy. Operátoři mohou ukončit činnost po akcích donucovacích orgánů, interních sporech nebo klesající důvěře, pouze aby se známé taktiky objevily znovu prostřednictvím nové stránky úniků týdny později.

Trh se stal tak více přeplněným a současně více koncentrovaným. Noví účastníci se mohou objevit rychle, ale škálovat stále závisí na spolehlivých brokerech přístupu, zkušených partnerech, platební infrastruktuře a pověsti za poskytování funkčního malwaru.

Cílový profil se mění

Útoky vydírání obvykle začínají přístupem spíše než šifrováním. Útočníci mohou využít nezabezpečený internetový systém, ukrást přihlašovací údaje z firemních zařízení, zneužít softwaru pro vzdálený přístup nebo oklamat help desk, aby resetoval účet. Jakmile jsou uvnitř, pokusí se projít organizací, identifikovat cenné systémy, zkopírovat citlivá data a vytvořit dostatečný provozní nebo reputační tlak, aby vyžadovali platbu.

Spojené státy zůstaly nejčastěji cílenou zemí v datech Black Kite, představující téměř polovinu pozorovaných obětí. Nicméně, aktivity vydírání se rozšířily rychleji v několika dalších trzích. Německo, Francie, Španělsko a Itálie všechny zaznamenaly podstatné nárůsty, zatímco řada asijských zemí také zažila prudký růst z menších počátečních hodnot.

Tento širší geografický rozsah odráží trh, ve kterém partneři stále častěji pronásledují jakoukoli dostupnou organizaci, místo omezení se na úzkou skupinu zemí. Jazykové bariéry a regionální znalosti dříve činily mezinárodní expanzi obtížnější. Automatizovaný překlad, široce dostupné nástroje pro průzkum a sdílená zločinecká infrastruktura snížily některé z tohoto tření.

Průmysl výroby zůstal nejčastěji cíleným odvětvím, s 1 660 zveřejněnými oběťmi. Výrobci jsou atraktivní, protože i krátkodobé přerušení může přerušit výrobu, zpoždit objednávky a ovlivnit dodavatele a zákazníky. Mnozí z nich také provozují směsici moderních obchodních systémů a starší technologie, vytvářející prostředí, která mohou být obtížná na opravu nebo dočasně odstavit.

Profesionální, vědecké a technické služby se umístily na druhém místě. Tyto společnosti často drží citlivé informace patřící多ným klientům, což znamená, že jeden únik může vytvořit tlak daleko za původní oběť. Právní firmy, inženýrské společnosti, poradenské společnosti a technologičtí poskytovatelé mohou také vlastnit přihlašovací údaje nebo přístup, který může útočníky vést do jiných organizací.

Stavebnictví se posunulo do třetí pozice, odrážející sektorovou závislost na distribuovaných projektových týmech, dodavatelích, cloudových aplikacích a platebních systémech. Zdravotnictví zůstalo silně cíleno, protože přerušení služeb může rychle stát se provozním a veřejným problémem.

Zpráva také ukazuje, že útočníci klade větší důraz na středně velké organizace. Společnosti generující mezi 10 miliony a 100 miliony dolarů představovaly velkou část pozorované aktivity. Tyto podniky mohou vlastnit cenná data a mít schopnost platit, ale často postrádají specializované bezpečnostní týmy a vrstvené obrany dostupné největším podnikům.

To však neznamená, že velké korporace jsou ignorovány. Místo toho se zdá, že operátoři vydírání vyvažují potenciální platby proti nákladům a obtížím útoku. Menší výrobce, regionální dodavatel nebo profesionální služba může nabízet rychlejší cestu k přerušení než nadnárodní organizace s rozsáhlými monitorovacími a reakčními zdroji.

Důvěryhodné platformy se staly součástí útočné plochy

Některé z nejvýznamnějších incidentů roku nezačaly uvnitř sítě oběti. Procházely softwarovými službami, tokeny OAuth, aplikacemi pro plánování podnikových zdrojů, podpůrnými platformami a jinými systémy spojenými s citlivými firemními daty.

Zpráva zdůrazňuje kampaně související se Salesforce (CRM ) jako příklady toho, jak může důvěra delegovaná stát se útočnou cestou. Ohrožené tokeny OAuth spojené s propojenými aplikacemi údajně poskytly útočníkům přístup k prostředí zákazníků Salesforce. Integrace se službami zákazníků a služeb zákaznického úspěchu vytvořily další cesty k datům.

V těchto případech mohla organizace udržovat silné vnitřní kontroly a přesto být vystavena prostřednictvím vztahu s dodavatelem, který nebyl plně pochopen nebo monitorován. Token vydaný měsíce dříve, aplikace s nadměrnými oprávněními nebo špatně zabezpečený účet podpory mohl útočníkovi poskytnout přístup bez nutnosti tradiční infekce malwaru.

Příkladem masového využití stejného problému je Oracle (ORCL ) E-Business Suite. Black Kite popisuje kampaň, která zahrnovala tvrzení o krádeži dat z prostředí Oracle EBS a možném využití zranitelnosti CVE-2025-61882 předtím, než byla k dispozici oprava.

Aktivity po období, které zahrnovaly PeopleSoft, potvrdily širší ponaučení. Jedna vystavená platforma může vytvořit velký bazén obětí, měnící se na identifikační kontrolu dodavatele, oprávnění nebo zranitelnost na část exposice každého zákazníka.

Varovné signály byly často viditelné

Analýza Black Kite před zveřejněním ukázala, že mnoho obětí vykazovalo vnější slabosti předtím, než se objevily na stránkách úniků vydírání. Zabezpečovací chyby byly přítomny u více než dvou třetin analyzované populace, zatímco vystavené vzdálené služby, softwarové zranitelnosti, falešné domény a ukradené přihlašovací údaje se také objevily často.

Více než 60 % mělo alespoň jeden z tří relevantních zjištění pro vydírání: známou softwarovou zranitelnost, expozici přihlašovacích údajů nebo záznamy krádeže. Téměř jedna desetina měla všechny tři.

Tato signály neznamenají, která slabost způsobila konkrétní proniknutí. Organizace s vystavenými přihlašovacími údaji může být nakonec ohrožena jinou zranitelností. Nicméně, zjištění ukazují, že mnoho budoucích obětí bylo již viditelné jako atraktivní cíle předtím, než se útok stal veřejným.

Zpráva o indexu náchylnosti k vydírání se snaží měřit tuto exposici přímo. Black Kite zjistil, že společnosti v nejvyšším pásmu rizika byly mnohem více pravděpodobně zkušenými s veřejně zveřejněným incidentem vydírání než organizace v nejnižším pásmu.

Praktické ponaučení je, že riziko vydírání není rovnoměrně rozloženo. Útočníci často se zaměřují na organizace, kde se několik slabostí překrývá, zejména když nezabezpečené systémy, vystavené přihlašovací údaje a permissive identifikační kontroly vytvářejí několik možných vstupních bodů.

Nízké sazby plateb mění taktiku vydírání

Trh s vydíráním se rozšiřoval, i když se chování plateb stalo méně spolehlivým. Black Kite přímo nezjišťuje platby vydírání, ale srovnává několik externích dat o reakci na incidenty, která naznačují, že méně obětí se rozhodlo zaplatit.

Jedno dataset hlásilo sazbu plateb 26 % ve druhém čtvrtletí roku 2025. Další dataset umístil sazbu na 23 % v následujícím čtvrtletí, zatímco incidenty pouze s exfiltrace dat vyprodukovaly sazbu 19 %. Tyto údaje pocházejí z různých populací a neměly by být čteny jako jeden souvislý měření trhu, ale ukazují stejným směrem.

Částky zaplacené organizacemi, které se rozhodly zaplatit, mohou být stále podstatné. Jedno dataset uvedené ve zprávě nalezlo medián platby 1 milion dolarů mezi dotazovanými organizacemi, které zaplatily za obnovení dat.

Nízké sazby konverze nevyhnutelně nemusí činí vydírání méně ziskovým. Místo toho mohou tlačit operátory, aby pronásledovali více obětí, snížili náklady na každý útok nebo uplatnili více forem tlaku. Šifrování je nyní často kombinováno s krádeží dat, veřejným zveřejněním, napodobováním, přímým kontaktem se zákazníky a hrozbami týkajícími se regulátorů nebo obchodních partnerů.

Když méně obětí platí pouze za obnovení zašifrovaných systémů, útočníci mají pobídku k vytváření následků, které zůstávají i po obnovení záloh.

Zotavení neznamená, že exposice zmizela

Zjištění zprávy po incidentu jsou mezi nejvíce znepokojivými. Některé povrchové bezpečnostní opatření se zlepšily po zveřejnění útoků. Průměrné bezpečnostní hodnocení se zvýšilo, zatímco průměrná aktivita botnetů klesla.

Hlubší ukazatele specifické pro vydírání se často pohybovaly v opačném směru. Exposice záznamů krádeže byla podstatně vyšší ve srovnání po incidentu, zatímco náchylnost k vydírání a exposice softwarových zranitelností se také zvýšily u mnoha obětí.

Tento vzorec naznačuje, že organizace mohou opravit nejviditelnější hygienické problémy, zatímco ponechávají podmínky, které je činí atraktivními pro útočníky. Společnost může uzavřít zranitelnost, která způsobila počáteční proniknutí, ale selhat při odvolání ukradených přihlašovacích údajů, přezkumu přístupu dodavatele, odstranění nečinných účtů nebo prošetření dalších vystavených systémů.

Analýza současného stavu Black Kite potvrzuje tuto obavu. Mnohé minulé oběti pokračovaly ve vykazování nesprávně nakonfigurovaných záznamů e-mailové bezpečnosti, kritických nezabezpečených zranitelností, známých zneužitých zranitelností a přihlašovacích údajů zaměstnanců, které cirkulují v záznamech krádeží.

Reakce na incidenty je často organizována kolem obnovení operací a omezení potvrzeného proniknutí. Zpráva argumentuje, že to nestačí. Zotavení by mělo zahrnovat nové hodnocení celé vnější útočné plochy organizace, nejen systému spojeného s původním incidentem.

Umělé inteligence snižuje náklady na účast

Zpráva neargumentuje, že umělá inteligence způsobila nárůst vydírání. Místo toho popisuje umělou inteligenci jako sílu, která násobí stávající práci, činí ji rychlejší a levnější.

Průzkum může být shrnut rychleji, skripty phishingu a voice-phishingu mohou být lokalizovány, ukradené záznamy mohou být organizovány do více přesvědčivých narativů a zprávy o vyjednávání mohou být produkovány menším týmem. Nižší útočníci mohou také používat nástroje asistované umělou inteligencí k odstraňování problémů se skripty, úpravě malwaru a automatizaci opakujících se úkolů.

Nejdůležitější dopad je目前 v lidské vrstvě. Klonování hlasu, vícejazyčné lákadla, deepfake audio, manipulace s help deskem a reálná adaptace osobnosti mohou učinit sociální inženýrství snadněji škálovatelným. Umělá inteligence může pomoci útočníkovi, aby zněl věrohodněji v jazyce, který neovládá, nebo produkovat přizpůsobené zprávy pro stovky zaměstnanců bez ručního psaní každé z nich.

Black Kite poukazuje na rané známky umělé inteligence vstupující do technické realizace a taktiky vydírání. Nejbližší riziko není nutně plně autonomní vydírání. Je to semi-automatizované zločinecké operace, ve kterých menší týmy mohou provádět práci, která dříve vyžadovala více času, odbornosti a koordinace.

Umělá inteligence neodstraňuje potřebu přístupu nebo zkušených operátorů. Snižuje tření mezi fázemi útoku a poskytuje více účastníkům schopnost chovat se jako organizované podniky vydírání.

Budoucí implikace

Centrální zpráva je, že vydírání se vyvíjí z trhu vedeného několika rozpoznatelnými značkami do širší a více operacionalizované ekonomiky. Obránci musí stále opravovat zranitelnosti a zabezpečovat koncové body, ale data ukazují na širší odpovědnost, která zahrnuje nepřetržité přezkoumání přístupu dodavatele, integrací SaaS, identifikačních kontrol, infrastruktury e-mailu, vystavených přihlašovacích údajů a podmínek po incidentu.

Organizace by také měly přehodnotit, jak měří zotavení. Obnovení systémů může uzavřít okamžitý incident, ale neznamená to, že ukradené přihlašovací údaje byly zrušeny, nadměrná oprávnění dodavatele byla odstraněna nebo jiná vystavená aktiva byla řešena.

Zpráva o vydírání z roku 2026 ukazuje, proč počty obětí samotné již nejsou dostatečné. Hrozba roste kombinací udržitelného objemu, vysoko-produkčních operátorů vydírání jako služby, rozšiřujícího se středního trhu, využití dodavatelského řetězce a nižších provozních nákladů. Ukončení incidentu může obnovit normální operace, ale snížení šance na další incident vyžaduje zacházení s exposicí jako s pokračujícím stavem, spíše než případem, který končí, když je dokončen proces zotavení.