Black Kite’s 2026 Ransomware Rapport Vindt een Snellere, Meer Gefragmenteerde Bedreigings Economie

Black Kite’s 2026 Ransomware Rapport beschrijft een ransomware markt die niet langer wordt gedomineerd door één dominante bende, één opvallende afname of één aanvals methode. Tussen 1 april 2025 en 31 maart 2026 identificeerde het bedrijf 7.551 openbaar gemelde slachtoffers, een toename van 6.046 in de vorige rapportage periode. Belangrijker dan de totale toename is echter hoe de groei plaatsvond. De activiteit versnelde scherp in de tweede helft van het jaar, nieuwe ransomware groepen verschenen in een snel tempo en vertrouwde software platforms werden steeds vaker routes naar organisaties die mogelijk hun eigen interne omgevingen hadden beveiligd.

Ransomware Groei Heeft Vorm Veranderd

Black Kite heeft ransomware meldingen bijgehouden sinds 2022, toen de eerste rapportage periode ongeveer 2.700 slachtoffers registreerde. Dat totaal steeg later naar 4.893, toen 6.046 en nu 7.551, maar de jaarlijkse toename vangt niet volledig de scherpe versnelling van de activiteit tijdens de laatste periode.

De eerste zes maanden produceerden 2.904 slachtoffers, vergeleken met 4.647 van oktober 2025 tot en met maart 2026. Maart alleen eindigde met 861 openbaar gemelde slachtoffers, het hoogste maandelijkse totaal dat Black Kite in vier jaar had geregistreerd. Het momentum zette zich voort na de rapportage deadline, met nog eens 2.230 slachtoffers waargenomen van april tot en met juni 2026.

In tegenstelling tot eerdere ransomware cycli werd de toename niet aangedreven door één dominante groep of één groot evenement. Het weerspiegelde meerdere operators die tegelijkertijd uitbreiden, gevestigde groepen die hun affiliate netwerken opschalen en nieuwe deelnemers die goedkopere manieren vinden om deel te nemen.

Een Overvolle Markt Heeft Nog Steeds Krachtige Leiders

Ransomware wordt niet langer gecontroleerd door een klein aantal herkenbare bendes die opereren als strak georganiseerde criminele groepen. Het functioneert steeds meer als een diensteneconomie. Kernoperators ontwikkelen de malware, onderhouden lek sites, behandelen betalingen en bieden infrastructuur, terwijl affiliates manieren vinden om toegang te krijgen tot bedrijfsnetwerken en de aanvallen uitvoeren. Dit model maakt het mogelijk voor groepen om snel uit te breiden zonder dat elke deelnemer geavanceerde technische vaardigheden nodig heeft.

Black Kite identificeerde 127 actieve ransomware groepen tijdens de rapportage periode, waaronder 61 die voor het eerst verschenen. Sommige waren volledig nieuwe operaties, terwijl anderen mogelijk rebrandingen of splintergroepen waren die werden gevormd nadat gevestigde organisaties verdwenen. Het resultaat is een meer vloeibare markt waarin actoren tussen merken kunnen schakelen, tools kunnen hergebruiken of nieuwe lek sites kunnen lanceren zonder hun operaties van scratch opnieuw op te bouwen.

Ondanks deze fragmentatie genereerden een klein aantal groepen nog steeds een groot deel van de activiteit. Qilin was het meest opvallende voorbeeld, met 1.358 slachtoffers tijdens het jaar, bijna tweemaal zoveel als zijn naaste concurrent. De groep opereert via een ransomware-as-a-service structuur die affiliates toegang geeft tot aanvals tools terwijl centrale functies zoals onderhandelingen, betalingen en slachtoffer meldingen worden gecentraliseerd.

Andere merken volgden verschillende paden. RansomHub, dat een van de leidende operaties was in de vorige periode, stopte met het plaatsen van slachtoffers in het begin van 2026. LockBit keerde terug na zijn eerdere onderbreking, maar zijn 186 gemelde slachtoffers vertegenwoordigden een beperkte herstel in plaats van een terugkeer naar zijn voormalige invloed.

Deze verschuivingen laten zien waarom ransomware merken niet moeten worden bekeken als conventionele bedrijven. Een groep kan verdwijnen terwijl zijn affiliates, technieken en infrastructuur onder andere namen voortbestaan. Operators kunnen stoppen na acties van de wetshandhaving, interne geschillen of dalende vertrouwen, alleen om vertrouwde tactieken weer te zien verschijnen via een nieuwe lek site weken later.

De markt is dus zowel overvol als geconcentreerd geworden. Nieuwe deelnemers kunnen snel verschijnen, maar schaal hangt nog steeds af van betrouwbare toegangsbemiddelaars, ervaren affiliates, betalingsinfrastructuur en een reputatie voor het bieden van malware die werkt zoals beloofd.

Het Doelprofiel Verandert

Ransomware aanvallen beginnen meestal met toegang in plaats van encryptie. Aanvallers kunnen een ongepatcht internetgericht systeem exploiteren, inloggegevens stelen van medewerkers apparaten, misbruik maken van remote-toegang software of een helpdesk misleiden om een account te resetten. Zodra ze binnen zijn, proberen ze door de organisatie te bewegen, waardevolle systemen te identificeren, gevoelige gegevens te kopiëren en voldoende operationele of reputatie druk te creëren om betaling te eisen.

De Verenigde Staten bleven het meest frequent doelwit land in Black Kite’s dataset, goed voor bijna de helft van de waargenomen slachtoffers. Ransomware activiteit breidde zich echter sneller uit in verschillende andere markten. Duitsland, Frankrijk, Spanje en Italië registreerden alle aanzienlijke toenames, terwijl een aantal Aziatische landen ook scherpe groei ervoeren vanuit kleinere startpunten.

Deze bredere geografische spreiding weerspiegelt een markt waarin affiliates steeds vaker elke toegankelijke organisatie nastreven in plaats van zich te beperken tot een smalle set landen. Taalbarrières en regionale kennis maakten internationale expansie eerder moeilijker. Geautomatiseerde vertaling, breed beschikbare verkenningstools en gedeelde criminele infrastructuur hebben enkele van die wrijving verminderd.

Productie bleef de meest doelgerichte industrie, met 1.660 gemelde slachtoffers. Fabrikanten zijn aantrekkelijk omdat zelfs een korte onderbreking de productie kan onderbreken, bestellingen kan vertragen en leveranciers en klanten kan beïnvloeden. Velen opereren ook een mengsel van moderne bedrijfs systemen en oudere operationele technologie, waardoor omgevingen ontstaan die moeilijk te patchen of tijdelijk uit te schakelen zijn.

Professionele, wetenschappelijke en technische diensten stonden op de tweede plaats. Deze bedrijven houden vaak gevoelige informatie van meerdere klanten, waardoor één intrusie druk kan creëren die verder gaat dan het oorspronkelijke slachtoffer. Juridische firma’s, ingenieursbedrijven, adviesbureaus, technologie leveranciers en andere kunnen ook inloggegevens of toegang hebben die aanvallers naar andere organisaties kunnen leiden.

Bouw verhuisde naar de derde plaats, wat de afhankelijkheid van de sector van gedistribueerde project teams, aannemers, cloud toepassingen en betalingssystemen weerspiegelt. Gezondheidszorg bleef zwaar doelwit omdat service onderbreking snel kan worden een operationeel en openbaar veiligheids issue.

Het rapport toont ook aan dat aanvallers meer nadruk leggen op middelgrote organisaties. Bedrijven met een omzet tussen $10 miljoen en $100 miljoen vertegenwoordigden een groot deel van de waargenomen activiteit. Deze bedrijven kunnen waardevolle gegevens hebben en de mogelijkheid hebben om te betalen, maar ontbreken vaak de toegewijde beveiligingsteams en gelaagde verdedigingen die beschikbaar zijn voor de grootste ondernemingen.

Dit betekent niet dat grote bedrijven worden genegeerd. In plaats daarvan lijken ransomware operators het potentieel uit te balanceren tegen de kosten en moeilijkheid van een aanval. Een kleinere fabrikant, regionale aannemer of professioneel dienstverlener kan een snellere route naar onderbreking bieden dan een multinationale onderneming met uitgebreide monitoring en incident respons middelen.

Vertrouwde Platforms Waren Onderdeel van het Aanvalsoppervlak

Enkele van de meest significante incidenten van het jaar begonnen niet binnen het kernnetwerk van het slachtoffer. Ze verplaatsten zich via Software-as-a-Service integraties, OAuth tokens, enterprise resource planning toepassingen, ondersteuningsplatforms en andere systemen die zijn verbonden met gevoelige bedrijfsgegevens.

Het rapport benadrukt Salesforce (CRM ) gerelateerde campagnes als voorbeelden van hoe gedelegeerd vertrouwen een aanvalsroute kan worden. Gecompromitteerde OAuth tokens die zijn gekoppeld aan verbonden toepassingen, zouden aanvallers toegang hebben gegeven tot klant Salesforce omgevingen. Integraties met klantenservice en klantensucces platforms creëerden extra routes naar gegevens.

In deze gevallen kon een organisatie sterke interne controles hebben en toch worden blootgesteld via een leverancier relatie die ze niet volledig begreep of bewaakte. Een token dat maanden eerder was uitgegeven, een toepassing die te veel machtigingen had gekregen of een slecht beveiligde ondersteuningsaccount kon een aanvaller toegang geven zonder een traditionele malware infectie te vereisen.

Oracle E-Business Suite illustreerde de massale exploitatie versie van hetzelfde probleem. Black Kite beschrijft een campagne die gegevensdiefstal van Oracle EBS omgevingen en mogelijke exploitatie van CVE-2025-61882 betreft voordat een patch beschikbaar was.

Na de rapportage periode bevestigde activiteit met betrekking tot PeopleSoft de bredere les. Één blootgesteld platform kan een grote downstream groep slachtoffers creëren, waardoor een leveranciers identiteitscontroles, machtigingen of kwetsbaarheden onderdeel worden van elke klant ransomware blootstelling.

De Waarschuwingssignalen Waren Vaak Zichtbaar

Black Kite’s pre-meldingsanalyse toonde aan dat veel slachtoffers extern waarneembare zwakheden vertoonden voordat ze op ransomware lek sites verschenen. Beveiligingsmisconfiguraties waren aanwezig in meer dan twee derde van de geanalyseerde populatie, terwijl blootgestelde remote-toegangsdiensten, software kwetsbaarheden, frauduleuze domeinen en gestolen inloggegevens ook vaak verschenen.

Meer dan 60% had minstens één van drie ransomware-relevante bevindingen: een bekende software kwetsbaarheid, inloggegevens blootstelling of stealer logs. Bijna één op de tien had alle drie.

Deze signalen bewijzen niet welke zwakte een specifieke intrusie veroorzaakte. Een organisatie met blootgestelde inloggegevens kan uiteindelijk worden gecompromitteerd via een andere kwetsbaarheid. Toch laten de bevindingen zien dat veel toekomstige slachtoffers al zichtbaar waren als aantrekkelijke doelwitten voordat een aanval openbaar werd.

Het rapport van de Ransomware Susceptibility Index probeert die blootstelling meer direct te meten. Black Kite vond dat bedrijven in de hoogste risicogroep veel waarschijnlijker een gemelde ransomware incident zouden meemaken dan organisaties in de laagste groep.

De praktische les is dat ransomware risico niet gelijkmatig wordt verdeeld. Aanvallers richten zich vaak op organisaties waar meerdere zwakheden overlappen, vooral wanneer ongepatchte systemen, blootgestelde inloggegevens en permissieve identiteitscontroles meerdere mogelijke toegangspunten creëren.

Lagere Betalingspercentages Veranderen Afpersingstactieken

De ransomware markt breidde zich uit, zelfs toen het betalingsgedrag minder betrouwbaar werd. Black Kite meet ransom betalingen niet rechtstreeks, maar vergelijkt verschillende externe incident respons datasets die suggereren dat minder slachtoffers kiezen voor betaling.

Een dataset rapporteerde een betalingspercentage van 26% in het tweede kwartaal van 2025. Een andere plaatste het percentage op 23% in het volgende kwartaal, terwijl data-exfiltratie-only incidenten een percentage van 19% produceerden. Deze cijfers komen uit verschillende populaties en moeten niet worden gelezen als één continue markt breed meting, maar ze wijzen in dezelfde richting.

De bedragen die door organisaties worden betaald die wel voldoen, kunnen nog steeds aanzienlijk zijn. Een dataset die in het rapport wordt genoemd, vond een mediaan betaling van $1 miljoen onder de ondervraagde organisaties die betaalden om gegevens te herstellen.

Lagere conversiepercentages maken ransomware niet noodzakelijkerwijs minder winstgevend. Ze kunnen operators ertoe aanzetten om meer slachtoffers na te streven, de kosten van elke aanval te verlagen of meer vormen van druk uit te oefenen. Encryptie wordt nu vaak gecombineerd met gegevensdiefstal, openbaarmaking, impersonatie, direct contact met klanten en bedreigingen met betrekking tot toezichthouders of zakenpartners.

Wanneer minder slachtoffers betalen om alleen maar hun versleutelde systemen te herstellen, hebben aanvallers een stimulans om gevolgen te creëren die blijven bestaan, zelfs nadat back-ups zijn hersteld.

Herstel Betekent Niet Dat Blootstelling Is Verdwenen

De post-incident bevindingen van het rapport zijn onder de meest verontrustende. Sommige oppervlakkige beveiligingsmaatregelen verbeterden na het melden van aanvallen. Gemiddelde cyberbeoordelingen namen toe, terwijl gemiddelde botnetactiviteit daalde.

Diepere ransomware-specifieke indicatoren bewogen vaak in de tegenovergestelde richting. Stealer-log blootstelling was aanzienlijk hoger in de post-incident vergelijking, terwijl ransomware blootstelling en software kwetsbaarheid ook toenamen onder veel slachtoffers.

Het patroon suggereert dat organisaties mogelijk de meest zichtbare hygiëne problemen oplossen, maar de voorwaarden die hen aantrekkelijk maken voor aanvallers achterlaten. Een bedrijf kan de kwetsbaarheid die de initiële inbraak veroorzaakte sluiten, maar falen om gestolen inloggegevens in te trekken, leveranciers toegang te controleren, inactieve accounts te verwijderen of andere blootgestelde systemen te onderzoeken.

Black Kite’s huidige staat analyse versterkt die zorg. Veel voormalige slachtoffers bleven onjuist geconfigureerde e-mailbeveiligingsrecords, kritieke ongepatchte kwetsbaarheden, bekende geëxploiteerde kwetsbaarheden en medewerkersinloggegevens circuleren in stealer logs.

Incident respons is vaak georganiseerd rond het herstellen van operaties en het beperken van de bevestigde intrusie. Het rapport stelt dat dit niet genoeg is. Herstel moet een nieuwe beoordeling van het hele extern zichtbare aanvalsoppervlak van de organisatie omvatten, niet alleen het systeem dat is geassocieerd met het oorspronkelijke incident.

AI Verlaagt De Kosten Van Deelname

Het rapport stelt niet dat kunstmatige intelligentie de toename van ransomware veroorzaakte. In plaats daarvan beschrijft het AI als een vermenigvuldigingsfactor die bestaand werk sneller en goedkoper maakt.

Verkenning kan worden samengevat, phishing- en voice-phishing scripts kunnen worden gelokaliseerd, gestolen records kunnen worden georganiseerd in meer overtuigende verhalen en onderhandelingsberichten kunnen worden geproduceerd door kleinere teams. Lagere aanvallers kunnen ook AI-geassisteerde tools gebruiken om scripts te troubleshooten, malware te modificeren en herhaalde taken te automatiseren.

De meest duidelijke impact is momenteel in de mensgerichte laag. Stemkloning, multilinguale lures, diepe nep audio, helpdesk manipulatie en real-time persona aanpassing kunnen sociale engineering gemakkelijker schaalbaar maken. AI kan een aanvaller helpen om geloofwaardiger te klinken in een taal die hij niet spreekt of aangepaste berichten te produceren voor honderden medewerkers zonder elk bericht handmatig te schrijven.

Black Kite wijst op vroege tekenen van AI die de technische uitvoering en afpersing branding binnendringt. Het korte termijn risico is niet noodzakelijkerwijs volledig autonome ransomware. Het zijn semi-geautomatiseerde criminele operaties waarin kleinere teams werk kunnen doen dat eerder meer tijd, expertise en coördinatie vereiste.

AI verwijdert niet de noodzaak voor toegang of ervaren operators. Het vermindert de wrijving tussen de stadia van een aanval en geeft meer deelnemers de mogelijkheid om zich te gedragen als georganiseerde ransomware bedrijven.

Toekomstige Implicaties

De centrale boodschap is dat ransomware evolueert van een markt die wordt geleid door een paar herkenbare merken naar een bredere en meer geoperationaliseerde ecosystem. Verdedigers moeten nog steeds kwetsbaarheden patchen en eindpunten beveiligen, maar de gegevens wijzen naar een bredere verantwoordelijkheid die het continue controleren van leveranciers toegang, Software-as-a-Service integraties, identiteitscontroles, e-mail infrastructuur, blootgestelde inloggegevens en post-incident omstandigheden omvat.

Organisaties moeten ook opnieuw kijken naar hoe ze herstel meten. Het herstellen van systemen kan het onmiddellijke incident sluiten, maar het bewijst niet dat gestolen inloggegevens zijn geïnvalideerd, overtollige leveranciers machtigingen zijn verwijderd of andere blootgestelde activa zijn aangepakt.

Het 2026 Ransomware Rapport toont uiteindelijk aan waarom slachtoffertallen alleen niet langer genoeg zijn. De bedreiging groeit door een combinatie van duurzame volume, hoge output ransomware-as-a-service operators, uitbreidende middelgrote doelwitstelling, supply-chain hefboomwerking en lagere operationele kosten. Het sluiten van een incident kan normale operaties herstellen, maar het verkleinen van de kans op een ander incident vereist het behandelen van blootstelling als een voortdurende aandoening in plaats van een geval dat eindigt wanneer het herstelproces is voltooid.