Laporan Ransomware Black Kite 2026 Menemukan Ekonomi Ancaman yang Lebih Cepat dan Lebih Fragmented

Laporan Ransomware 2026 Black Kite menggambarkan pasar ransomware yang tidak lagi didefinisikan oleh satu geng dominan, satu penangkapan yang menarik perhatian, atau satu metode serangan. Antara 1 April 2025 dan 31 Maret 2026, perusahaan mengidentifikasi 7.551 korban yang dilaporkan secara terbuka, naik dari 6.046 pada periode pelaporan sebelumnya. Lebih penting daripada peningkatan keseluruhan, bagaimanapun, adalah bagaimana pertumbuhan itu terjadi. Aktivitas dipercepat secara tajam selama paruh kedua tahun, kelompok ransomware baru muncul dengan kecepatan yang cepat, dan platform perangkat lunak tepercaya semakin menjadi bagian dari permukaan serangan.

Pertumbuhan Ransomware Telah Berubah Bentuk

Black Kite telah melacak pengungkapan ransomware sejak 2022, ketika periode pelaporan pertamanya mencatat sekitar 2.700 korban. Jumlah itu kemudian meningkat menjadi 4.893, lalu 6.046, dan sekarang 7.551, tetapi peningkatan tahunan tidak sepenuhnya menangkap seberapa tajam aktivitas dipercepat selama periode terakhir.

Enam bulan pertama menghasilkan 2.904 korban, dibandingkan dengan 4.647 dari Oktober 2025 hingga Maret 2026. Maret saja berakhir dengan 861 korban yang dilaporkan secara terbuka, jumlah bulanan tertinggi yang pernah direkam Black Kite dalam empat tahun. Momentum juga berlanjut di luar batas waktu pelaporan, dengan 2.230 korban tambahan yang diamati dari April hingga Juni 2026.

Tidak seperti siklus ransomware sebelumnya, lonjakan itu tidak didorong oleh satu geng dominan atau satu acara besar. Ini mencerminkan beberapa operator yang berkembang secara bersamaan, geng yang sudah mapan memperluas jaringan afiliasi mereka, dan pendatang baru menemukan cara yang lebih murah untuk berpartisipasi.

Pasar yang Ramai Masih Memiliki Pemimpin Kuat

Ransomware tidak lagi dikendalikan oleh sejumlah kecil geng yang dapat dikenali yang beroperasi sebagai kelompok kriminal yang terorganisir dengan baik. Ini semakin berfungsi sebagai ekonomi layanan. Operator inti mengembangkan malware, memelihara situs bocor, menangani pembayaran, dan menyediakan infrastruktur, sementara afiliasi menemukan cara untuk masuk ke jaringan perusahaan dan menggelar serangan. Model ini memungkinkan kelompok untuk berkembang dengan cepat tanpa setiap peserta memerlukan keterampilan teknis yang maju.

Black Kite mengidentifikasi 127 kelompok ransomware aktif selama periode pelaporan, termasuk 61 yang muncul untuk pertama kalinya. Beberapa di antaranya adalah operasi yang benar-benar baru, sementara yang lain mungkin merupakan merek ulang atau kelompok pecahan yang dibentuk setelah organisasi yang sudah mapan menghilang. Hasilnya adalah pasar yang lebih cair di mana aktor dapat berpindah antara merek, menggunakan kembali alat, atau meluncurkan situs bocor baru tanpa membangun kembali operasi mereka dari awal.

Meskipun fragmentasi ini, sejumlah kecil kelompok masih menghasilkan sebagian besar aktivitas. Qilin adalah contoh paling menonjol, dengan 1.358 korban selama setahun, hampir dua kali lipat dari pesaing terdekatnya. Kelompok ini beroperasi melalui struktur ransomware-as-a-service yang memberikan afiliasi akses ke alat serangan sementara memusatkan fungsi seperti negosiasi, pembayaran, dan pengungkapan korban.

Profil Target Sedang Bergeser

Serangan ransomware biasanya dimulai dengan akses daripada enkripsi. Penyerang mungkin mengeksploitasi sistem yang menghadap internet yang tidak dipatch, mencuri kredensial dari perangkat karyawan, menyalahgunakan perangkat lunak akses jarak jauh, atau menipu meja bantuan untuk mereset akun. Setelah masuk, mereka mencoba untuk bergerak melalui organisasi, mengidentifikasi sistem yang berharga, menyalin data sensitif, dan menciptakan tekanan operasional atau reputasional yang cukup untuk menuntut pembayaran.

Amerika Serikat tetap menjadi negara yang paling sering diserang dalam dataset Black Kite, yang menyumbang hampir setengah dari korban yang teramati. Namun, aktivitas ransomware berkembang lebih cepat di beberapa pasar lain. Jerman, Prancis, Spanyol, dan Italia semua mencatat peningkatan yang substansial, sementara sejumlah negara Asia juga mengalami pertumbuhan yang tajam dari titik awal yang lebih kecil.

Penyebaran geografis yang lebih luas ini mencerminkan pasar di mana afiliasi semakin mengejar organisasi yang dapat diakses daripada membatasi diri pada sejumlah negara yang sempit. Hambatan bahasa dan pengetahuan regional pernah membuat ekspansi internasional lebih sulit. Terjemahan otomatis, alat pengintaian yang tersedia secara luas, dan infrastruktur kriminal yang dibagikan telah mengurangi sebagian dari gesekan tersebut.

Platform Tepercaya Menjadi Bagian dari Permukaan Serangan

Beberapa insiden paling penting tahun ini tidak dimulai di dalam jaringan inti korban. Mereka bergerak melalui integrasi Software-as-a-Service, token OAuth, aplikasi perencanaan sumber daya perusahaan, platform dukungan, dan sistem lain yang terhubung ke data bisnis yang sensitif.

Laporan tersebut menyoroti kampanye terkait Salesforce (CRM ) sebagai contoh bagaimana kepercayaan yang didelegasikan dapat menjadi jalur serangan. Token OAuth yang dikompromikan yang terkait dengan aplikasi terhubung dilaporkan memberikan penyerang akses ke lingkungan Salesforce pelanggan. Integrasi dengan platform layanan pelanggan dan keberhasilan pelanggan menciptakan rute tambahan ke data.

Dalam kasus ini, sebuah organisasi dapat mempertahankan kontrol internal yang kuat dan masih terpapar melalui hubungan vendor yang tidak sepenuhnya dipahami atau dipantau. Token yang diterbitkan beberapa bulan sebelumnya, aplikasi yang diberikan izin berlebihan, atau akun dukungan yang tidak diamankan dengan baik dapat memberikan penyerang akses tanpa memerlukan infeksi malware tradisional.

Tanda Peringatan Seringkali Terlihat

Analisis pra-pengungkapan Black Kite menemukan bahwa banyak korban menunjukkan kelemahan yang dapat diamati dari luar sebelum muncul di situs bocor ransomware. Konfigurasi keamanan yang salah ada pada lebih dari dua pertiga dari populasi yang dianalisis, sementara layanan akses jarak jauh yang terbuka, kerentanan perangkat lunak, domain palsu, dan kredensial yang dicuri juga muncul secara teratur.

Lebih dari 60% membawa setidaknya satu dari tiga temuan yang relevan dengan ransomware: kerentanan perangkat lunak yang diketahui, paparan kredensial, atau log stealer. Hampir satu dari sepuluh membawa ketiganya.

Sinyal ini tidak membuktikan kelemahan mana yang menyebabkan pelanggaran tertentu. Sebuah organisasi dengan kredensial yang terbuka mungkin pada akhirnya dikompromikan melalui kerentanan yang berbeda. Namun, temuan tersebut menunjukkan bahwa banyak korban masa depan sudah terlihat sebagai target yang menarik sebelum serangan menjadi publik.

Tingkat Pembayaran yang Lebih Rendah Mengubah Taktik Pemerasan

Pasar ransomware berkembang bahkan ketika perilaku pembayaran menjadi kurang dapat diandalkan. Black Kite tidak secara langsung mengukur pembayaran tebusan, tetapi membandingkan beberapa dataset tanggapan insiden eksternal yang menunjukkan bahwa lebih sedikit korban yang memilih untuk membayar.

Satu dataset melaporkan tingkat pembayaran 26% pada kuartal kedua 2025. Dataset lainnya menempatkan tingkat pada 23% pada kuartal berikutnya, sementara insiden pengungkapan data saja menghasilkan tingkat 19%. Angka-angka ini berasal dari populasi yang berbeda dan tidak boleh dibaca sebagai satu pengukuran pasar yang berkelanjutan, tetapi mereka menunjuk ke arah yang sama.

Jumlah yang dibayarkan oleh organisasi yang mematuhi masih dapat substansial. Satu dataset yang dikutip dalam laporan menemukan median pembayaran sebesar $1 juta di antara organisasi yang disurvei yang membayar untuk memulihkan data.

Tingkat konversi yang lebih rendah tidak secara langsung membuat ransomware kurang menguntungkan. Mereka mungkin malah mendorong operator untuk mengejar lebih banyak korban, mengurangi biaya setiap serangan, atau menerapkan lebih banyak bentuk tekanan. Enkripsi sekarang sering digabungkan dengan pencurian data, pengungkapan publik, peniruan, kontak langsung dengan pelanggan, dan ancaman yang melibatkan regulator atau mitra bisnis.

Ketika fewer korban membayar hanya untuk memulihkan sistem yang dienkripsi, penyerang memiliki insentif untuk menciptakan konsekuensi yang tetap bahkan setelah cadangan dipulihkan.

Pemulihan Tidak Berarti Paparan Telah Menghilang

Temuan pasca-insiden laporan adalah yang paling mengkhawatirkan. Beberapa tindakan keamanan tingkat permukaan membaik setelah korban mengungkapkan serangan. Peringkat keamanan siber rata-rata meningkat, sementara aktivitas botnet rata-rata menurun.

Indikator ransomware khusus yang lebih dalam sering bergerak ke arah yang berlawanan. Paparan log stealer secara substansial lebih tinggi dalam perbandingan pasca-insiden, sementara kerentanan perangkat lunak dan paparan kerentanan ransomware juga meningkat di antara banyak korban.

Polanya menunjukkan bahwa organisasi mungkin memperbaiki masalah kebersihan yang paling terlihat sementara meninggalkan kondisi yang membuat mereka menarik bagi penyerang. Sebuah perusahaan mungkin menutup kerentanan yang diyakini menyebabkan pelanggaran awal tetapi gagal membatalkan kredensial yang dicuri, meninjau akses vendor, menghapus akun yang tidak aktif, atau menyelidiki sistem yang terbuka lainnya.

AI Mengurangi Biaya Partisipasi

Laporan tersebut tidak berargumen bahwa kecerdasan buatan menyebabkan lonjakan ransomware. Sebaliknya, ini menggambarkan AI sebagai pengganda kekuatan yang membuat pekerjaan yang ada lebih cepat dan lebih murah.

Rekonsiliasi dapat diringkas lebih cepat, skrip phishing dan voice-phishing dapat dilokalisasi, catatan yang dicuri dapat diatur menjadi narasi yang lebih persuasif, dan pesan negosiasi dapat diproduksi oleh tim yang lebih kecil. Penyerang tingkat yang lebih rendah juga dapat menggunakan alat yang dibantu AI untuk mendebug skrip, memodifikasi malware, dan mengotomatisasi tugas berulang.

Dampak yang paling jelas saat ini berada di lapisan manusia. Kloning suara, umpan multibahasa, audio deepfake, manipulasi meja bantuan, dan adaptasi persona waktu nyata dapat membuat teknik sosial lebih mudah untuk diskalakan. AI dapat membantu penyerang terdengar lebih kredibel dalam bahasa yang tidak mereka ucapkan atau menghasilkan pesan yang disesuaikan untuk ratusan karyawan tanpa menulisnya secara manual.

Implikasi Masa Depan

Pesan utama adalah bahwa ransomware berkembang dari pasar yang dipimpin oleh beberapa merek yang dapat dikenali menjadi ekosistem yang lebih luas dan lebih teroperasikan. Pembela masih harus menambal kerentanan dan mengamankan titik akhir, tetapi data menunjuk ke arah tanggung jawab yang lebih luas yang mencakup tinjauan terus-menerus akses vendor, integrasi Software-as-a-Service, kontrol identitas, infrastruktur email, kredensial yang terbuka, dan kondisi pasca-insiden.

Organisasi juga harus mempertimbangkan kembali bagaimana mereka mengukur pemulihan. Memulihkan sistem mungkin menutup insiden segera, tetapi itu tidak membuktikan bahwa kredensial yang dicuri telah dibatalkan, izin vendor yang berlebihan telah dihapus, atau aset yang terbuka lainnya telah ditangani.

Laporan Ransomware 2026 Black Kite pada akhirnya menunjukkan mengapa jumlah korban saja tidak cukup lagi. Ancaman tumbuh melalui kombinasi volume yang berkelanjutan, operator ransomware-as-a-service dengan output tinggi, penargetan mid-market yang berkembang, pengaruh rantai pasokan, dan biaya operasional yang lebih rendah. Menutup insiden mungkin memulihkan operasi normal, tetapi mengurangi kemungkinan insiden lainnya memerlukan perlakuan paparan sebagai kondisi yang berkelanjutan daripada kasus yang berakhir ketika proses pemulihan selesai.