Black Kites 2026-rapport om ransomware viser en raskere og mer fragmentert trusseløkonomi

Black Kites 2026-rapport om ransomware beskriver en ransomware-marked som ikke lenger er definert av én dominerende gang, én overskriftsgrabende nedleggelse eller én angrepsmetode. Mellom 1. april 2025 og 31. mars 2026 identifiserte selskapet 7 551 offentlig kjente ofre, opp fra 6 046 i den foregående rapporteringsperioden. Mer viktig enn den totale økningen er imidlertid hvordan veksten skjedde. Aktiviteten akselererte skarpt i løpet av den andre halvdel av året, nye ransomware-grupper dukket opp i raskt tempo, og pålitte programvareplattformer ble stadig oftere en del av angrepsflaten.

Ransomware-væksten har endret form

Black Kite har sporet ransomware-avsløringer siden 2022, da dens første rapporteringsperiode registrerte omtrent 2 700 ofre. Denne totalen steg senere til 4 893, deretter 6 046, og nå 7 551, men den årlige økningen fanger ikke fullt ut hvordan aktivitetene akselererte under den siste perioden.

De første seks månedene produserte 2 904 ofre, sammenlignet med 4 647 fra oktober 2025 til mars 2026. Mars alene endte med 861 offentlig kjente ofre, den høyeste månedlige totalen Black Kite har registrert på fire år. Momentum fortsatte også etter rapporteringskuttet, med ytterligere 2 230 ofre observert fra april til juni 2026.

I motsetning til tidligere ransomware-sykluser, ble ikke økningen drevet av én dominerende gruppe eller en enkelt større hendelse. Den reflekterte flere operatører som utvidet samtidig, etablerte grupper som skalerte sine affiliate-nettverk, og nye deltakere som fant billigere måter å delta på.

Et overfyrt marked har fortsatt kraftfulle ledere

Ransomware er ikke lenger kontrollert av en liten gruppe gjenkjennelige ganger som opererer som tett organiserte kriminelle grupper. Det fungerer stadig mer som en tjenesteøkonomi. Kjerneoperatører utvikler malware, vedlikeholder lekkasider, håndterer betalinger og tilbyr infrastruktur, mens affiliater finner måter inn i bedriftsnettverk og setter i gang angrepene. Denne modellen tillater grupper å utvide raskt uten at hver deltaker må ha avanserte tekniske ferdigheter.

Black Kite identifiserte 127 aktive ransomware-grupper under rapporteringsperioden, inkludert 61 som dukket opp for første gang. Noen var helt nye operasjoner, mens andre kunne være rebranding eller splintgrupper dannet etter at etablerte organisasjoner forsvant. Resultatet er et mer flytende marked hvor aktører kan bevege seg mellom merkevarer, gjenbruke verktøy eller lansere nye lekkasider uten å bygge opp sine operasjoner fra scratch.

Til tross for denne fragmenteringen, genererte en liten gruppe grupper fortsatt en stor del av aktiviteten. Qilin var det mest fremtredende eksempelet, med 1 358 ofre under året, nesten dobbelt så mange som dens nærmeste konkurrent. Gruppen opererer gjennom en ransomware-as-a-service-struktur som gir affiliater tilgang til angrepsverktøy mens sentraliserte funksjoner som forhandlinger, betalinger og ofreavsløringer.

Andre merkevarer fulgte forskjellige stier. RansomHub, som hadde vært en av de ledende operasjonene i den foregående perioden, stoppet å poste ofre i begynnelsen av 2026. LockBit returnerte etter sin tidligere forstyrrelse, men dens 186 hevdete ofre representerte en begrenset gjenopprettelse snarere enn en tilbakevending til dens tidligere innflytelse.

Disse endringene viser hvorfor ransomware-merkevarer ikke bør betraktes som konvensjonelle selskaper. En gruppe kan forsvinne mens dens affiliater, teknikker og infrastruktur fortsetter under andre navn. Operatører kan stenge ned etter lovhåndtering, interne uenigheter eller sviktende tillit, bare for å se kjente taktikker dukke opp igjen gjennom en ny lekkaside uker senere.

Markedet har derfor blitt både mer overfyrt og mer konsentrert. Nye deltakere kan dukke opp raskt, men skala avhenger fortsatt av pålitelige tilgangsformidlere, erfarne affiliater, betalingsinfrastruktur og et rykte for å levere malware som fungerer som lovet.

Målprofilen endrer seg

Ransomware-angrep begynner vanligvis med tilgang snarere enn kryptering. Angripere kan utnytte et upatchet internett-tilgjengelig system, stjele legitimasjoner fra ansattes enheter, misbruke fjernaksess-programvare eller bedra en hjelpedesk til å nullstille en konto. Når de først er innenfor, prøver de å bevege seg gjennom organisasjonen, identifisere verdifulle systemer, kopiere følsomme data og skape nok operasjonell eller reputasjonsmessig press for å kreve betaling.

USA forble det mest ofte angrepne landet i Black Kites datasett, og stod for nesten halvparten av de observerte ofrene. Ransomware-aktiviteten utvidet seg imidlertid raskere i flere andre markeder. Tyskland, Frankrike, Spania og Italia alle registrerte betydelige økninger, mens en rekke asiatiske land også opplevde skarpe vekst fra mindre utgangspunkter.

Dette bredere geografiske spredningsmønster reflekterer et marked hvor affiliater stadig oftere forfølger enhver tilgjengelig organisasjon snarere enn å begrense seg til en smal gruppe land. Språkbarrierer og regional kunnskap gjorde tidligere internasjonal utvidelse mer vanskelig. Automatisert oversettelse, vidt tilgjengelige rekognoseringverktøy og delt kriminell infrastruktur har redusert en del av denne friksjonen.

Produksjon forble den mest angrepne industrien, med 1 660 avslørte ofre. Produsenter er attraktive fordi selv en kortvarig nedtid kan avbryte produksjon, forsinke ordrer og påvirke leverandører og kunder. Mange opererer også en blanding av moderne forretningsystemer og eldre operasjonsteknologi, noe som kan skape miljøer som er vanskelige å fikse eller midlertidig ta ned.

Profesjonelle, vitenskapelige og tekniske tjenester rangerte som nummer to. Disse selskapene holder ofte følsom informasjon tilhørende flere kunder, noe som betyr at ett innbrudd kan skape press langt utenfor det opprinnelige offeret. Advokatfirmaer, ingeniørbedrifter, konsulentselskaper og teknologileverandører kan også besitte legitimasjoner eller tilgang som kan lede angripere inn i andre organisasjoner.

Konstruksjon beveget seg inn i tredjeplassen, noe som skyldes sektorens avhengighet av distribuerte prosjektteam, underentreprenører, skytjenester og betalingssystemer. Helsevesenet forble tungt angrepet fordi tjenesteforsinkelser kan raskt bli en operasjonell og offentlig sikkerhetsproblematikk.

Rapporten viser også at angripere legger større vekt på midlertidige organisasjoner. Selskaper som genererer mellom 10 millioner og 100 millioner dollar, stod for mye av den observerte aktiviteten. Disse bedriftene kan holde verdifull data og ha evnen til å betale, men mangler ofte dedikerte sikkerhetsteam og lagdelte forsvar som er tilgjengelige for de største bedriftene.

Dette betyr ikke at store korporasjoner blir ignorert. I stedet ser det ut til at ransomware-operatører balanserer potensielle utbetalinger mot kostnaden og vanskelighetsgraden av et angrep. En mindre produsent, regional entreprenør eller profesjonell tjenesteyter kan tilby en raskere vei til forstyrrelse enn en multinasjonal organisasjon med omfattende overvåking og hendelsesresponsressurser.

Pålitte plattformer ble en del av angrepsflaten

Noen av årets mest konsekvensfulle hendelser begynte ikke inne i offerets kjernenettverk. De beveget seg gjennom Software-as-a-Service-integrasjoner, OAuth-tokens, bedriftsressursplanleggingsapplikasjoner, støtteplattformer og andre systemer koblet til følsom forretningsdata.

Rapporten fremhever Salesforce (CRM ) kampanjer relatert til OAuth-tokens som eksempler på hvordan delegert tillit kan bli en angrepsvei. Kompromitterte OAuth-tokens knyttet til koblete applikasjoner ga angripere tilgang til kundes Salesforce-miljøer. Integrasjoner med kundeservice- og kundesuksessplattformer skapte ytterligere ruter til data.

I disse tilfellene kunne en organisasjon opprettholde sterke interne kontroller og likevel være utsatt gjennom en leverandørrelasjon den ikke fullt ut forstod eller overvåket. En token utstedt måneder tidligere, en applikasjon gitt for mye tillatelse eller en dårlig sikret støttekonto kunne gi en angriper tilgang uten å kreve en tradisjonell malware-infeksjon.

Oracle (ORCL ) E-Business Suite illustrerte mass-utnyttelsesversjonen av samme problem. Black Kite beskriver en kampanje som involverer påstander om datatyveri fra Oracle EBS-miljøer og mulig utnyttelse av CVE-2025-61882 før en patch var tilgjengelig.

Etter-perioden aktiviteten som involverte PeopleSoft understreket den bredere læren. Én eksponert plattform kan skape en stor nedstrøms gruppe av ofre, og omdanne en leverandørs identitetskontroll, tillatelser eller sårbarhet til en del av hver enkelt kundes ransomware-eksponering.

Advarselssignalene var ofte synlige

Black Kites analyse før avsløring fant at mange ofre viste eksternt observerbare svakheter før de dukket opp på ransomware-lekkasider. Sikkerhetsmisconfigurasjoner var til stede i mer enn to tredeler av den analyserte befolkningen, mens eksponerte fjernaksess-tjenester, programvare-sårbarheter, falske domener og stjålne legitimasjoner også dukket opp hyppig.

Mer enn 60 prosent hadde minst en av tre ransomware-relevante funn: en kjent programvare-sårbarhet, legitimasjons-eksponering eller stjålne logger. Nesten en av ti hadde alle tre.

Disse signalene beviser ikke hvilken svakhet som forårsaket et bestemt innbrudd. En organisasjon med eksponerte legitimasjoner kan likevel bli kompromittert gjennom en annen sårbarhet. Likevel viser funnene at mange fremtidige ofre allerede var synlige som attraktive mål før et angrep ble offentlig kjent.

Rapportens Ransomware-sårbarhetsindeks forsøker å måle denne eksponeringen mer direkte. Black Kite fant at selskaper i den høyeste risikozonen var langt mer sannsynlige til å oppleve et avslørt ransomware-hendelse enn organisasjoner i den laveste zonen.

Den praktiske læren er at ransomware-risiko ikke er jevnt fordelt. Angripere fokuserer ofte på organisasjoner hvor flere svakheter overlapper, spesielt når upatchede systemer, eksponerte legitimasjoner og permissive identitetskontroller skaper flere mulige inngangspunkter.

Lavere betalingsrater endrer utpressingstaktikker

Ransomware-markedet utvidet seg selv om betalingsatferd ble mindre pålitelig. Black Kite måler ikke direkte ransomware-betalinger, men sammenligner flere eksterne hendelsesresponsdatasett som antyder at færre ofre velger å betale.

Ét datasett rapporterte en betalingsrate på 26 prosent i andre kvartal 2025. Et annet plasserte raten på 23 prosent i det påfølgende kvartalet, mens data-eksfiltrerings-hendelser produserte en rate på 19 prosent. Disse tallene kommer fra forskjellige befolkninger og bør ikke leses som én sammenhengende markedsoversikt, men de peker i samme retning.

Beløpene betalt av organisasjoner som likevel samarbeider, kan fortsatt være betydelige. Ét datasett i rapporten fant en median betaling på 1 million dollar blant undersøkte organisasjoner som betalte for å gjenopprette data.

Lavere konverteringsrater gjør ikke nødvendigvis ransomware mindre lønnsomt. De kan i stedet drive operatører til å forfølge flere ofre, redusere kostnadene for hvert angrep eller anvende flere former for press. Kryptering kombineres ofte med data-tyveri, offentlig avsløring, impersonering, direkte kontakt med kunder og trusler som involverer tilsynsmyndigheter eller forretningspartnere.

Når færre ofre betaler bare for å gjenopprette krypterte systemer, har angriperne en incitament til å skape konsekvenser som består selv etter at sikkerhetskopier er gjenopprettet.

Gjenoppretting betyr ikke at eksponeringen har forsvunnet

Rapportens funn etter hendelsen er blant de mest bekymringsfulle. Noen overflatiske sikkerhetsmessige tiltak forbedret seg etter at ofrene avslørte angrep. Gjennomsnittlige cyberratings økte, mens gjennomsnittlig botnet-aktivitet sank.

Dypere ransomware-spesifikke indikatorer beveget seg ofte i motsatt retning. Stjålet logger-eksponering var betydelig høyere i sammenligningen etter hendelsen, mens ransomware-sårbarhet og programvare-sårbarhets-eksponering også økte blant mange ofre.

Mønsteret antyder at organisasjoner kan fikse de mest synlige hygiene-problemene mens de lar tilstanden som gjør dem attraktive for angripere, uendret. En bedrift kan lukke sårbarheten som antas å ha forårsaket det opprinnelige bruddet, men ikke annullere stjålne legitimasjoner, gjennomgå leverandørtilgang, fjerne inaktive kontoer eller undersøke andre eksponerte systemer.

Black Kites nåværende tilstands-analyse understreker denne bekymringen. Mange tidligere ofre fortsatte å vise dårlig konfigurerte e-post-sikkerhetsposter, kritiske upatchede sårbarheter, kjente utnyttede sårbarheter og ansattes legitimasjoner som cirkulerte i stjålne logger.

Hendelsesrespons er ofte organisert rundt gjenoppretting av operasjoner og begrensning av det bekreftede innbruddet. Rapporten argumenterer for at dette ikke er nok. Gjenoppretting bør inkludere en ny vurdering av organisasjonens hele eksternt synlige angrepsflate, ikke bare systemet assosiert med det opprinnelige hendelsen.

AI senker kostnadene for deltakelse

Rapporten argumenterer ikke for at kunstig intelligens forårsaket økningen i ransomware. I stedet beskriver den AI som en kraftmultiplier som gjør eksisterende arbeid raskere og billigere.

Rekognosering kan sammenfattes raskere, phishing- og voice-phishing-skript kan lokaliseres, stjålne poster kan organiseres i mer overbevisende narrativer, og forhandlingsmeldinger kan produseres av mindre team. Lavere-nivå-angripere kan også bruke AI-assisterte verktøy til å feilsøke skript, modifisere malware og automatisere repetitive oppgaver.

Den mest tydelige effekten er for øyeblikket i den menneskelige laget. Voice-kloning, flerspråklige lurer, deepfake-lyd, hjelpedesk-manipulasjon og sanntids-persona-tilpasning kan gjøre sosial ingeniring lettere å skala. AI kan hjelpe en angriper til å høres mer troverdig på et språk de ikke snakker eller produsere tilpassede meldinger for hundrevis av ansatte uten å måtte skrive hver enkelt selv.

Black Kite peker på tidlige tegn på at AI går inn i både teknisk gjennomføring og utpressing-merking. Den kortfristige risiken er ikke nødvendigvis fullt autonome ransomware. Det er semi-automatiserte kriminelle operasjoner hvor mindre team kan utføre arbeid som tidligere krevde mer tid, ekspertise og koordinering.

AI fjerner ikke behovet for tilgang eller dyktige operatører. Det reduserer friksjonen mellom stadier av et angrep og gir flere deltakere evnen til å oppføre seg som organiserte ransomware-bedrifter.

Fremtidige implikasjoner

Den sentrale beskjeden er at ransomware utvikler seg fra et marked ledet av noen få gjenkjennelige merkevarer til et bredere og mer operasjonalisert økosystem. Forsvarere må fortsatt fikse sårbarheter og sikre endepunkter, men datapunktene peker mot en videre ansvar som inkluderer kontinuerlig gjennomgang av leverandørtilgang, Software-as-a-Service-integrasjoner, identitetskontroller, e-post-infrastruktur, eksponerte legitimasjoner og hendelses-etterfølgende forhold.

Organisasjoner bør også vurdere hvordan de måler gjenoppretting. Gjenoppretting av systemer kan lukke det umiddelbare hendelsen, men det beviser ikke at stjålne legitimasjoner er blitt annullert, at for mye leverandørtilgang er fjernet eller at andre eksponerte verdier er behandlet.

Rapporten 2026 Ransomware Report viser til slutt hvorfor offer-tall alene ikke lenger er nok. Truselen vokser gjennom en kombinasjon av varig volum, høy-utputt ransomware-as-a-service-operatører, utvidet mid-markeds-målretting, leverandør-innpåvirkning og lavere driftskostnader. Å lukke en hendelse kan gjenopprette normale operasjoner, men å redusere sjansen for en ny hendelse krever å behandle eksponering som en pågående tilstand snarere enn en sak som slutter når gjenopprettingsprosessen er fullført.