Black Kites 2026 Ransomware-rapport finder en hurtigere, mere fragmenteret trusselsøkonomi

Black Kites 2026 Ransomware-rapport beskriver en ransomware-marked, der ikke længere er defineret af en enkelt dominerende bande, en overskriftsnyhed eller en enkelt angrebsmetode. Mellem den 1. april 2025 og den 31. marts 2026 identificerede virksomheden 7.551 offentligt kendte ofre, op fra 6.046 i den foregående rapporteringsperiode. Mere vigtigt end den samlede stigning er dog, hvordan væksten skete. Aktiviteten accelererede skarpt i den anden halvdel af året, nye ransomware-grupper dukkede op i hurtigt tempo, og troværdige software-platforme blev mere og mere en del af angrebsfladen for organisationer, der måske havde sikret deres egne interne miljøer.

Ransomware-væksten har ændret form

Black Kite har sporet ransomware-afsløringer siden 2022, da dens første rapporteringsperiode registrerede cirka 2.700 ofre. Denne samlede mængde steg senere til 4.893, derefter 6.046 og nu 7.551, men den årlige stigning fanger ikke fuldt ud, hvordan aktiviteten accelererede skarpt under den seneste periode.

De første seks måneder producerede 2.904 ofre, sammenlignet med 4.647 fra oktober 2025 til marts 2026. Marts alene sluttede med 861 offentligt kendte ofre, det højeste månedlige tal, Black Kite har registreret i fire år. Momentum fortsatte også efter rapporteringsafslutningen, med yderligere 2.230 ofre observeret fra april til juni 2026.

I modsætning til tidligere ransomware-cykler var opsvinget ikke drevet af en enkelt dominerende gruppe eller en enkelt større begivenhed. Det reflekterede multiple operatører, der udvidede samtidig, etablerede grupper, der skalerede deres affiliate-netværk, og nye deltagere fandt billigere måder at deltage på.

Et overfyldt marked har stadig kraftfulde ledere

Ransomware er ikke længere kontrolleret af et lille antal genkendelige bander, der opererer som tæt organiserede kriminelle grupper. Det fungerer mere og mere som en serviceøkonomi. Core-operatører udvikler malware, vedligeholder læk-sites, håndterer betalinger og tilbyder infrastruktur, mens affiliates finder måder ind i virksomhedens netværk og udfører angrebene. Denne model giver grupper mulighed for at udvide sig hurtigt uden, at hver deltager behøver avancerede tekniske færdigheder.

Black Kite identificerede 127 aktive ransomware-grupper under rapporteringsperioden, herunder 61, der dukkede op for første gang. Nogle var helt nye operationer, mens andre måske var rebranding eller splintergrupper dannet efter, at etablerede organisationer forsvandt. Resultatet er en mere flydende marked, hvor aktører kan bevæge sig mellem mærker, genbruge værktøjer eller lancere nye læk-sites uden at skulle bygge deres operationer op fra bunden.

Trods denne fragmentering skabte en lille gruppe grupper stadig en stor del af aktiviteten. Qilin var det mest fremtrædende eksempel, der havde 1.358 ofre under året, næsten dobbelt så mange som dens nærmeste konkurrent. Gruppen opererer gennem en ransomware-as-a-service-struktur, der giver affiliates adgang til angrebsværktøjer, mens centrale funktioner som forhandling, betaling og offentliggørelse af ofre centraliseres.

Andre mærker fulgte andre stier. RansomHub, der havde været en af de førende operationer i den foregående periode, stoppede med at offentliggøre ofre i begyndelsen af 2026. LockBit returnederede efter dens tidligere afbrydelse, men dens 186 påståede ofre repræsenterede en begrænset genopretning snarere end en tilbagevenden til dens tidligere indflydelse.

Disse skift viser, hvorfor ransomware-mærker ikke skal ses som konventionelle virksomheder. En gruppe kan forsvinde, mens dens affiliates, teknikker og infrastruktur fortsætter under andre navne. Operatører kan lukke efter lovenskræftig handling, interne uoverensstemmelser eller svigtende tillid, kun for at kendte taktikker dukker op igen gennem en ny læk-side uger senere.

Markedet er derfor blevet både mere overfyldt og mere koncentreret. Nye deltagere kan dukke op hurtigt, men skala afhænger stadig af pålidelige adgangsudbydere, erfarne affiliates, betalingsinfrastruktur og en ry for at levere malware, der fungerer som lovet.

Målprofilerne ændrer sig

Ransomware-angreb begynder typisk med adgang snarere end kryptering. Angribere kan udnytte et upatchet internet-tilgængeligt system, stjæle legitimationsoplysninger fra medarbejderenheder, misbruge fjernadgangssoftware eller bedrage en hjælpedesk til at nulstille en konto. Når de først er inde, forsøger de at bevæge sig gennem organisationen, identificere værdifulde systemer, kopiere følsomme data og skabe nok operationel eller reputationsmæssig pres til at kræve betaling.

USA forblev det mest hyppigt målrettede land i Black Kites dataset, og stod for næsten halvdelen af de observerede ofre. Ransomware-aktiviteten udvidede sig dog hurtigere i flere andre markeder. Tyskland, Frankrig, Spanien og Italien registrerede alle betydelige stigninger, mens en række asiatiske lande også oplevede skarpe vækst fra små startpunkter.

Dette bredere geografiske spredning afspejler en marked, hvor affiliates mere og mere forfølger enhver tilgængelig organisation snarere end at begrænse sig til et snævert udvalg af lande. Sprogbarrierer og regional viden gjorde tidligere international udvidelse mere vanskeligt. Automatisk oversættelse, bredt tilgængelige rekognosceringsværktøjer og fælles kriminel infrastruktur har reduceret noget af denne friktion.

Produktion forblev den mest målrettede industri, med 1.660 offentligt kendte ofre. Producenter er attraktive, fordi selv en kort afbrydelse kan afbryde produktion, forsinke ordrer og påvirke leverandører og kunder. Mange opererer også en blanding af moderne forretningsystemer og ældre operationsteknologi, hvilket skaber miljøer, der kan være svære at patche eller midlertidigt lukke.

Professionelle, videnskabelige og tekniske services rangerede som nummer to. Disse virksomheder holder ofte følsomme oplysninger tilhørende multiple kunder, hvilket betyder, at et indbrud kan skabe pres langt ud over den oprindelige offer. Advokatfirmaer, ingeniørvirksomheder, konsulentfirmaer og teknologileverandører kan også besidde legitimationsoplysninger eller adgang, der kan føre angribere ind i andre organisationer.

Konstruktion rykkede op på tredjepladsen, hvilket afspejler sektorens afhængighed af distribuerede projektteam, underentreprenører, cloud-applikationer og betalingssystemer. Sundhedssektoren forblev kraftigt målrettet, fordi tjenesteforsinkelser kan hurtigt blive en operationel og offentlig sikkerhedsproblematik.

Rapporten viser også, at angribere lægger større vægt på mellemstore organisationer. Virksomheder, der genererer mellem 10 millioner og 100 millioner dollars, stod for en stor del af den observerede aktivitet. Disse virksomheder kan have værdifulde data og have mulighed for at betale, men mangler ofte dedikerede sikkerhedshold og lagdelte forsvar, som de største virksomheder har.

Dette betyder ikke, at store korporationer bliver ignoreret. I stedet synes ransomware-operatører at balancere potentielle udbytte mod angrebets omkostninger og sværhedsgrad. En mindre producent, regional entreprenør eller professionel services-virksomhed kan tilbyde en hurtigere vej til afbrydelse end en multinationale virksomhed med omfattende overvågning og krisehåndtering.

Troværdige platforme blev en del af angrebsfladen

Nogle af årets mest konsekvensfulde incidenter begyndte ikke inde i offerets kerne-netværk. De bevægede sig gennem Software-as-a-Service-integrationer, OAuth-token, enterprise resource planning-applikationer, support-platforme og andre systemer forbundet med følsomme forretningsdata.

Rapporten fremhæver Salesforce (CRM )-relaterede kampagner som eksempler på, hvordan delegueret tillid kan blive en angrebsvej. Kompromitterede OAuth-token forbundet med tilknyttede applikationer gav angribere adgang til kundernes Salesforce-miljøer. Integrationer med kundeservice- og kundesucces-platforme skabte yderligere ruter til data.

I disse tilfælde kunne en organisation have stærke interne kontroller og alligevel være udsat gennem en leverandørrelation, den ikke fuldt ud forstod eller overvågede. En token udstedt måneder tidligere, en applikation tildelt for megen adgang eller en dårligt sikret supportkonto kunne give en angriber adgang uden at kræve en traditionel malware-infektion.

Oracle E-Business Suite illustrerede masse-udnyttelsesversionen af samme problem. Black Kite beskriver en kampagne, der involverer påstande om datastjæling fra Oracle EBS-miljøer og mulig udnyttelse af CVE-2025-61882, før en patch var tilgængelig.

Efter-periodens aktivitet med PeopleSoft forstærkede den bredere lære. En enkelt eksponeret platform kan skabe en stor downstream-pool af ofre, hvilket kan omdanne en leverandørs identitetskontrol, tilladelser eller sårbarhed til en del af hver kundes ransomware-eksponering.

Advarselstegnene var ofte synlige

Black Kites præ-disclosure-analyse fandt, at mange ofre viste eksternt observerbare svagheder, før de dukkede op på ransomware-læk-sites. Sikkerhedsfejlkonfigurationer var til stede i mere end to tredjedele af den analyserede befolkning, mens eksponerede fjernadgangstjenester, software-sårbarheder, bedrageriske domæner og stjålne legitimationsoplysninger også dukkede ofte op.

Over 60% havde mindst en af tre ransomware-relevante fund: en kendt software-sårbarhed, eksponeret adgangskode eller stjæler-logs. Næsten en tiendedel havde alle tre.

Disse signaler beviser ikke, hvilken svaghed, der forårsagede et bestemt indbrud. En organisation med eksponerede legitimationsoplysninger kan alligevel blive kompromitteret gennem en anden sårbarhed. Alligevel viser fundene, at mange fremtidige ofre allerede var synlige som attraktive mål, før et angreb blev offentligt.

Rapportens Ransomware Susceptibility Index forsøger at måle denne eksponering mere direkte. Black Kite fandt, at virksomheder i den højeste risikokategori var langt mere sandsynlige for at opleve et offentligt kendt ransomware-incident end organisationer i den laveste kategori.

Den praktiske lære er, at ransomware-risiko ikke er jævnt fordelt. Angribere fokuserer ofte på organisationer, hvor flere svagheder overlapper, især når upatchede systemer, eksponerede legitimationsoplysninger og permissive identitetskontroller skaber multiple mulige indgangspunkter.

Lavere betalingsrater ændrer afpresningstaktikker

Ransomware-markedet udvidede sig, selv om betalingsadfærd blev mindre pålidelig. Black Kite måler ikke direkte ransomware-betalinger, men sammenligner flere eksterne incident-svar-datasets, der antyder, at færre ofre vælger at betale.

Et dataset rapporterede en betalingsrate på 26% i andet kvartal 2025. Et andet placerede raten på 23% i det følgende kvartal, mens data-exfiltration-kun-incidenter producerede en rate på 19%. Disse tal kommer fra forskellige populationer og bør ikke læses som en sammenhængende markedsoversigt, men de peger i samme retning.

Beløbene betalt af organisationer, der overholder, kan stadig være betydelige. Et dataset citeret i rapporten fandt en medianbetaling på 1 million dollars blandt undersøgte organisationer, der betalte for at genskabe data.

Lavere omvandlingsrater betyder ikke nødvendigvis, at ransomware er mindre profitabelt. De kan i stedet presse operatører til at forfølge flere ofre, reducere omkostningerne ved hvert angreb eller anvende mere pres. Kryptering kombineres nu ofte med datastjæling, offentlig afsløring, impersonation, direkte kontakt med kunder og trusler omkring myndigheder eller forretningspartnere.

Når færre ofre betaler kun for at genskabe krypterede systemer, har angribere en incitament til at skabe konsekvenser, der forbliver, selv efter at backups er genskabt.

Gendannelse betyder ikke, at eksponering er forsvundet

Rapportens post-incident-fund er blandt de mest bekymrende. Nogle overfladiske sikkerhedsforanstaltninger forbedredes efter, at ofre offentliggjorde angreb. Gennemsnitlige cyberratings øgedes, mens gennemsnitlig botnet-aktivitet faldt.

Dybere ransomware-specifikke indikatorer bevægede sig ofte i modsat retning. Stealer-log-eksponering var betydeligt højere i sammenligningen efter incidenten, mens ransomware-sårbarhed og software-sårbarheds-eksponering også øgedes hos mange ofre.

Mønsteret antyder, at organisationer kan løse de mest synlige hygiejne-problemer, mens de efterlader de betingelser, der gør dem attraktive for angribere. En virksomhed kan lukke den sårbarhed, der menes at have forårsaget det oprindelige indbrud, men ikke ophæve stjålne legitimationsoplysninger, gennemgå leverandør-adgang, fjerne inaktive konti eller undersøge andre eksponerede systemer.

Black Kites aktuelle tilstands-analyse forstærker denne bekymring. Mange tidligere ofre fortsatte med at vise forkert konfigurerede e-mail-sikkerhedsrekorder, kritiske upatchede sårbarheder, kendte udnyttede sårbarheder og medarbejder-legitimationsoplysninger, der cirkulerer i stjæler-logs.

Krisesvarets organisering er ofte centreret omkring genskabelse af operationer og indhold af den bekræftede intrusion. Rapporten argumenterer for, at dette ikke er nok. Gendannelse bør omfatte en ny vurdering af organisationens hele eksternt synlige angrebsflade, ikke kun systemet forbundet med den oprindelige incident.

AI sænker omkostningerne ved deltagelse

Rapporten argumenterer ikke for, at kunstig intelligens forårsagede ransomware-svigningen. I stedet beskriver den AI som en multiplikator, der gør eksisterende arbejde hurtigere og billigere.

Rekognoscering kan sammenfattes hurtigere, phishing- og voice-phishing-manuskripter kan lokaliseres, stjålne optegnelser kan organiseres i mere overbevisende fortællinger, og forhandlingsbeskeder kan produceres af mindre hold. Lavere niveau-angribere kan også bruge AI-assisterede værktøjer til at fejlfinde manuskripter, modificere malware og automatisere gentagne opgaver.

Det mest tydelige indflydelse er i øjeblikket i den menneskelige lag. Voice-kloning, multilinguale lurer, deepfake-lyd, hjælpdesk-manipulation og real-time persona-tilpasning kan gøre social engineering lettere at skalaere. AI kan hjælpe en angriber med at lyde mere troværdig på et sprog, han ikke taler, eller producere tilpassede beskeder til hundredvis af medarbejdere uden at skulle skrive hver enkelt selv.

Black Kite peger på tidlige tegn på, at AI indgår både i den tekniske udførelse og afpresnings-branding. Den nærmeste risiko er ikke nødvendigvis fuldt automatiseret ransomware, men semi-automatiserede kriminelle operationer, hvor mindre hold kan udføre arbejde, der tidligere krævede mere tid, ekspertise og koordination.

AI fjerner ikke behovet for adgang eller dygtige operatører. Det reducerer friktion mellem angrebets faser og giver flere deltagere mulighed for at opføre sig som organiserede ransomware-virksomheder.

Fremtidige implikationer

Den centrale besked er, at ransomware udvikler sig fra et marked, der er ledet af få genkendelige mærker, til en bredere og mere operationaliseret økonomi. Forsvarere skal stadig patche sårbarheder og sikre endpunkter, men datapunkterne peger mod en bredere ansvar, der omfatter kontinuerlig gennemgang af leverandør-adgang, Software-as-a-Service-integrationer, identitetskontroller, e-mail-infrastruktur, eksponerede legitimationsoplysninger og post-incident-betingelser.

Organisationer bør også overveje, hvordan de måler gendannelse. Genskabelse af systemer kan lukke den øjeblikkelige incident, men det beviser ikke, at stjålne legitimationsoplysninger er blevet annulleret, eller at leverandør-adgang er blevet fjernet, eller at andre eksponerede aktiver er blevet behandlet.

2026 Ransomware-rapporten viser ultimativt, hvorfor offerantal alene ikke længere er nok. Truslen vokser gennem en kombination af vedvarende volumen, høj-udbytte ransomware-as-a-service-operatører, udvidende mellemmarkedsmålretning, leverandør-løsninger og lavere driftsomkostninger. Lukning af en incident kan genskabe normale operationer, men reducerer ikke nødvendigvis chancen for en ny. Det kræver at behandle eksponering som en vedvarende tilstand snarere end en sag, der afsluttes, når gendannelsesprocessen er fuldført.