Black Kite’s 2026‑rapport om løsepengevirus i produksjon og distribusjon: Produksjon forblir løsepengevirussens toppmål

Black Kite’s 2026‑rapport om løsepengevirus i produksjon og distribusjon: Fortsatt #1‑målet, men offerprofilen har flyttet seg nedover i markedet og til utlandet finner at presset fra løsepengevirus på produsenter ikke bare øker, men også endrer form. Black Kite Research Group analyserte tusenvis av offentlig rapporterte løsepengevirus‑hendelser fra 2023 til juli 2026, sammen med nåværende data om ekstern eksponering fra store produsenter og distribusjonsselskaper. Resultatene peker på et trussellandskap som utvides geografisk, skifter mot mellomstore bedrifter, og i økende grad er i stand til å gjøre én kompromittert virksomhet til en mye større forstyrrelse av forsyningskjeden.

Produksjon fortsetter å skille seg ut

Produksjon har vært Black Kite sin mest målrettede bransje i fem påfølgende år, og angrepshastigheten fortsetter å øke.

De første syv månedene av 2026 ga 1 183 offentliggjorte løsepengevirus‑ofre i produksjonssektoren, allerede mer enn det som ble registrert i hele 2023 eller 2024. Sammenlignet med samme periode ett år tidligere, økte angrepene med nesten 40 %.

Denne vedvarende trenden er spesielt bemerkelsesverdig fordi produksjon fortsatte å vokse som mål selv i perioder da lovhåndhevelse forstyrret noen av de største aktørene i løsepengevirussystemet.

Tiltrekningen er relativt enkel. I motsetning til angrep mot bedrifter hvor driften noen ganger kan fortsette mens IT‑systemer gjenopprettes, kan et cyberangrep mot en produsent stoppe den fysiske produksjonen. Forsinkede forsendelser, ledige arbeidere, kontraktsstraffer og forstyrrede kunder øker raskt det økonomiske presset på offeret.

Den samme dynamikken gjør produksjon spesielt verdifull for utpressingsgrupper. Hver time en produksjonslinje er nede, kan styrke angriperens forhandlingsposisjon.

Den typiske offeret blir mindre

Høyt profilerte angrep mot store globale produsenter dominerer ofte overskriftene, men Black Kite sine data tyder på at kjernen av løsepengevirussaktiviteten befinner seg langt nedere i markedet.

Den mediane produksjonsofren i datasettet genererer 42,9 millioner dollar i årlig omsetning. Selskaper mellom 10 millioner og 100 millioner dollar stod for omtrent 70 % av ofrene med kjent omsetning i 2026.

Store foretak forblir mål, men deres andel av totale hendelser har gått ned etter hvert som angripere når dypere inn i mellommarkedet.

Dette skiftet er viktig fordi mange av disse selskapene ikke er isolerte virksomheter. Mellomstore produsenter leverer ofte komponenter, utstyr, kjemikalier, elektronikk, matprodukter og andre innsatsvarer til mye større organisasjoner.

Som følge av dette kan et angrep mot en relativt ukjent leverandør bli et problem for forretningskontinuiteten hos selskaper mange ganger større.

Presset er også bredt fordelt over produksjonssektoren. Maskineri utgjorde den største individuelle undersektoren i Black Kite sitt datasett, men bearbeidet metall, transportutstyr, kjemikalier, elektronikk og matproduksjon utgjorde alle betydelige andeler av hendelsene. Ingen enkelt nisje dominerer trussellandskapet.

Løsepengevirus blir mer globalt

Den geografiske sammensetningen av løsepengevirus i produksjon endrer seg nesten like raskt som offerprofilen.

USA forblir en viktig kilde til rapporterte hendelser, men deres andel av globale produksjonsofre falt kraftig i 2026. Nedgangen skyldtes ikke hovedsakelig at angrep mot amerikanske selskaper forsvant. I stedet ekspanderte løsepengevirussaktiviteten mye raskere andre steder.

Europeiske produksjonsofre økte med mer enn 85 % i den tilsvarende perioden i 2026, med Tyskland som registrerte regionens høyeste total. Italia, Storbritannia, Frankrike, Spania, Tyrkia og Polen opplevde også betydelige økninger.

Dette er spesielt viktig i økonomier hvor produksjon utgjør en betydelig andel av industriell produksjon og sysselsetting. Et vellykket angrep kan derfor ha konsekvenser som strekker seg utover ett selskaps balanse.

Det geografiske skiftet påvirkes også av nyere løsepengevirusgrupper. The Gentlemen, for eksempel, dukket først opp i Black Kite sitt datasett sent i 2025, men ble raskt en av de mest aktive aktørene som målrettet produsenter, med en særlig synlig rolle i Europa.

Trusselaktør‑landskapet blir ombygd

Den raske fremveksten av nyere grupper er et annet definerende trekk ved rapporten.

Nesten halvparten av produksjonshendelsene registrert i 2026 ble tilskrevet trusselaktører som ikke hadde dukket opp i Black Kite sitt datasett i 2023 eller 2024. Antallet grupper som målrettet produsenter har også økt betydelig.

Etablerte navn har ikke forsvunnet helt, men hierarkiet er i endring.

Qilin ledet produksjons‑hendelser i de første syv månedene av 2026, etterfulgt av The Gentlemen, Akira, DragonForce og INC Ransom. Noen tidligere dominerende aktører har falt kraftig, mens etterfølgermerker og helt nye grupper har dukket opp.

For forsvarere skaper denne omsetningen en praktisk utfordring. Sikkerhetsstrategier bygget på å spore et lite sett med gjenkjennelige løsepenge‑grupper kan raskt bli utdaterte. De underliggende svakhetene angriperne utnytter, som eksponert fjernadgang, uoppdaterte sårbarheter, stjålne påloggingsdetaljer og feilkonfigurerte systemer, kan derfor være mer nyttige indikatorer enn navnet på gruppen som for øyeblikket leder rangeringen.

Distribusjon skaper et nytt sviktpunkt

Black Kite utvider analysen sin utover fabrikker til selskapene som er ansvarlige for å flytte varer mellom dem.

Transport‑, frakt‑ og lagringsbedrifter registrerte færre løsepenge‑hendelser enn produsenter, men deres posisjon i forsyningskjeden kan gjøre en enkelt forstyrrelse uforholdsmessig viktig.

Rapporten fremhever angrepet i 2025 mot den britiske logistikkleverandøren Peter Green Chilled. Selskapet fortsatte å flytte varer som allerede var i systemet, men nye bestillinger kunne ikke lenger behandles. Fordi de betjente en rekke store supermarkedkjeder, påvirket forstyrrelsen raskt leverandører hvis produkter allerede sto på lager eller ventet på å komme inn i nettverket.

Distribusjonsbedrifter er også ofte mindre enn produksjons‑ofre. Black Kite fant en median årlig omsetning på $28,7 millioner blant distribusjons‑ofre med kjent omsetning.

Disse virksomhetene opererer ofte med smale leveringsvinduer og begrenset toleranse for lang nedetid, noe som gjør løsepenge‑angrep spesielt forstyrrende.

Når et cyberangrep blir en økonomisk hendelse

Rapporten bruker Jaguar Land Rover’s 2025 cyberattack for å demonstrere hva som kan skje når løsepenge‑programvare når et selskap som er plassert i sentrum av et stort industrielt nettverk.

Produksjonen stoppet i mer enn fem uker på tvers av tre britiske fabrikker, og påvirket anlegg som samlet produserer rundt 1 000 kjøretøy per dag.

Men skadene strakte seg langt utover JLR.

Mer enn 5 000 organisasjoner ble anslått å ha blitt påvirket i selskapets bredere økosystem, mange av dem mindre leverandører. Den anslåtte økonomiske virkningen nådde £1,9 milliarder, mens den britiske regjeringen introduserte en lånegaranti på £1,5 milliarder for å støtte JLR og deres forsyningskjede.

Forstyrrelsen var betydelig nok til at Bank of England nevnte den som en faktor som bidro til svakere enn forventet britisk økonomisk vekst i kvartalet.

Det er et ekstremt eksempel, men det illustrerer det bredere temaet som går igjen i Black Kite‑forskningen: cybersikkerhetsrisiko i produksjon forblir sjelden begrenset til den opprinnelige offeret.

Mange advarselstegn er allerede synlige

Et av rapportens mer betydningsfulle funn er at mange løsepenge‑ofre viste observerbare tegn på økt risiko før hendelsene ble offentlige.

Black Kite’s Ransomware Susceptibility Index evaluerer faktorer som eksponerte tjenester, utnyttbare sårbarheter, lekkede påloggingsdetaljer og andre eksternt synlige indikatorer.

Nesten tre fjerdedeler av produksjons‑ofrene var allerede i indeksens kritiske område på tidspunktet da deres hendelser ble offentliggjort.

Den nåværende eksponeringen blant verdens største produsenter er også fortsatt betydelig. Black Kite fant utbredte kritiske sårbarheter og lekkede påloggingsdetaljer i den overvåkede populasjonen, selv om noen mål på sårbarhetshåndtering har blitt forbedret.

Eksponering av påloggingsdetaljer skiller seg spesielt ut. Selv om organisasjoner har gjort fremskritt i å redusere enkelte programvaresårbarheter, har forekomsten av påloggingsdetaljer som sirkulerer gjennom stealer‑logger forblitt sta høy.

Det skaper en angrepsflate som ikke nødvendigvis kan adresseres kun gjennom tradisjonell oppdatering.

Ransomware er nå et forsyningskjedeproblem

Den bredere implikasjonen er at produsenter ikke lenger kan behandle løsepenge‑trusler som kun et internt cybersikkerhetsproblem.

Et selskap arver risiko fra programvareleverandører, leverandører og logistikkfirmaer de er avhengige av. Samtidig blir deres egen cybersikkerhetsposisjon en del av risikoprofilen til hver kunde som er avhengig av deres produkter.

Regulatorer reflekterer i økende grad denne sammenkoblede virkeligheten. Europeiske regler som NIS2 legger større vekt på sikkerhet i forsyningskjeden, mens initiativer i Storbritannia og USA utvider cybersikkerhetsforventningene til tjenesteleverandører, entreprenører og kritiske leverandører.

For produsenter betyr dette at årlige leverandørspørreskjemaer og isolerte interne vurderinger kanskje ikke lenger er tilstrekkelige. Angrepsflaten endrer seg for raskt, i likhet med løsepenge‑gruppene som utnytter den.

Black Kite’s rapport beskriver i hovedsak en trussel som blir bredere snarere enn bare større. Angrepene beveger seg mot mellomstore selskaper, ekspanderer internasjonalt, og utnytter i økende grad koblingene mellom produsenter, teknologileverandører, logistikknettverk og kunder. Resultatet er et løsepengeproblem hvor det viktigste spørsmålet kanskje ikke lenger er om ett selskap kan tåle et angrep, men hvor stor del av den omkringliggende forsyningskjeden som er avhengig av det.