Raport o oprogramowaniu ransomware Black Kite z 2026 r. ujawnia szybsze i bardziej fragmentaryczne zagrożenie gospodarki

Raport o oprogramowaniu ransomware Black Kite z 2026 r. opisuje rynek oprogramowania ransomware, który nie jest już definiowany przez jedną dominującą grupę, jedną nagłówek lub jedną metodę ataku. Między 1 kwietnia 2025 r. a 31 marca 2026 r. firma zidentyfikowała 7551 ofiar, które zostały upublicznione, w porównaniu z 6046 w poprzednim okresie sprawozdawczym. Bardziej istotne niż ogólny wzrost jest to, jak nastąpił ten wzrost. Aktywność znacznie przyspieszyła w drugiej połowie roku, nowe grupy oprogramowania ransomware pojawiły się w szybkim tempie, a zaufane platformy oprogramowania coraz częściej stawały się drogami do organizacji, które mogły zabezpieczyć swoje własne środowiska wewnętrzne.

Wzrost oprogramowania ransomware zmienił kształt

Black Kite śledzi ujawnienia oprogramowania ransomware od 2022 r., kiedy to pierwszy okres sprawozdawczy odnotował około 2700 ofiar. Ta suma później wzrosła do 4893, a następnie do 6046, a teraz do 7551, ale roczny wzrost nie w pełni oddaje, jak szybko aktywność przyspieszyła w najnowszym okresie.

Pierwsze sześć miesięcy wyprodukowało 2904 ofiary, w porównaniu z 4647 od października 2025 r. do marca 2026 r. Sam marzec zakończył się z 861 ofiarami, co jest najwyższą miesięczną sumą, którą Black Kite odnotował w ciągu czterech lat. Pęd również utrzymał się poza okresem sprawozdawczym, z kolejnymi 2230 ofiarami od kwietnia do czerwca 2026 r.

W przeciwieństwie do poprzednich cyklów oprogramowania ransomware, ten wzrost nie został spowodowany przez jedną dominującą grupę lub pojedyncze główne wydarzenie. Odzwierciedlał on wielu operatorów, którzy rozszerzali się jednocześnie, ustanowione grupy, które skalowały swoje sieci afiliacyjne, oraz nowe podmioty, które znajdowały tańsze sposoby uczestniczenia.

Zatłoczony rynek nadal ma potężnych liderów

Oprogramowanie ransomware nie jest już kontrolowane przez niewielką liczbę rozpoznawalnych gangów, które działają jako ściśle zorganizowane grupy przestępcze. Coraz częściej funkcjonuje ono jako gospodarka usługowa. Główni operatorzy rozwijają oprogramowanie, utrzymują strony wycieku, obsługują płatności i zapewniają infrastrukturę, podczas gdy afiliaci znajdują sposoby na dostanie się do sieci korporacyjnych i wdrożenie ataków. Ten model pozwala grupom na szybkie rozszerzanie się bez konieczności posiadania zaawansowanych umiejętności technicznych przez każdego uczestnika.

Black Kite zidentyfikował 127 aktywnych grup oprogramowania ransomware w okresie sprawozdawczym, w tym 61, które pojawiły się po raz pierwszy. Niektóre były całkowicie nowymi operacjami, podczas gdy inne mogły być przemianowanymi lub grupami odłamowymi utworzonymi po zniknięciu ustanowionych organizacji. W efekcie mamy bardziej płynny rynek, na którym aktorzy mogą poruszać się między markami, ponownie wykorzystywać narzędzia lub uruchamiać nowe strony wycieku bez odbudowywania swoich operacji od podstaw.

Pomimo tej fragmentacji, niewielka liczba grup nadal generowała znaczną część aktywności. Qilin był najbardziej znanym przykładem, twierdząc 1358 ofiar w ciągu roku, co stanowiło prawie dwa razy więcej niż jego najbliższy konkurent. Grupa działa przez strukturę opracowania ransomware jako usługi, która daje afiliantom dostęp do narzędzi ataku, jednocześnie centralizując funkcje, takie jak negocjacje, płatności i ujawnianie ofiar.

Inne marki podążały za różnymi ścieżkami. RansomHub, który był jedną z wiodących operacji w poprzednim okresie, przestał publikować ofiary na początku 2026 r. LockBit powrócił po wcześniejszym zakłóceniu, ale jego 186 twierdzonych ofiar reprezentowało ograniczone odzyskanie, a nie powrót do jego wcześniejszego wpływu.

Te zmiany pokazują, dlaczego marki oprogramowania ransomware nie powinny być traktowane jak konwencjonalne firmy. Grupa może zniknąć, podczas gdy jej afiliaci, techniki i infrastruktura kontynuują działalność pod innymi nazwami. Operatorzy mogą zakończyć działalność po działaniach organów ścigania, wewnętrznych sporach lub malejącym zaufaniu, tylko po to, by znane taktyki ponownie pojawiły się pod nową stroną wycieku tydzień później.

Rynek stał się zatem zarówno bardziej zatłoczony, jak i bardziej skoncentrowany. Nowi uczestnicy mogą pojawić się szybko, ale skala nadal zależy od niezawodnych pośredników dostępu, doświadczonych afiliantów, infrastruktury płatniczej i reputacji za dostarczanie oprogramowania, które działa zgodnie z obietnicą.

Profil celu ulega zmianie

Ataki oprogramowania ransomware zwykle zaczynają się od dostępu, a nie od szyfrowania. Atakujący mogą wykorzystać niezabezpieczony system z dostępem do Internetu, ukraść poświadczenia z urządzeń pracowników, nadużyć oprogramowania zdalnego lub oszukać biuro pomocy w celu zresetowania konta. Po wejściu do środka próbują poruszać się po organizacji, identyfikować cenne systemy, kopiować wrażliwe dane i tworzyć wystarczającą presję operacyjną lub reputacyjną, aby żądać zapłaty.

Stany Zjednoczone pozostały najczęściej atakowanym krajem w zestawieniu Black Kite, odpowiadając za prawie połowę zaobserwowanych ofiar. Jednak aktywność oprogramowania ransomware rosła szybciej na kilku innych rynkach. Niemcy, Francja, Hiszpania i Włochy odnotowały znaczny wzrost, podczas gdy kilka azjatyckich krajów również doświadczyło gwałtownego wzrostu z mniejszych punktów startowych.

Ten szerszy geograficzny zasięg odzwierciedla rynek, na którym afiliaci coraz częściej ścigają każdą dostępną organizację, zamiast ograniczać się do wąskiego zestawu krajów. Bariery językowe i regionalna wiedza niegdyś utrudniały międzynarodową ekspansję. Automatyczne tłumaczenie, powszechnie dostępne narzędzia rozpoznawcze i wspólna infrastruktura przestępcza zmniejszyły część tego tarcia.

Przemysł wytwórczy pozostał najczęściej atakowanym sektorem, z 1660 ujawnionymi ofiarami. Przemysł wytwórczy jest atrakcyjny, ponieważ nawet krótkie przerwy w pracy mogą przerwać produkcję, opóźnić zamówienia i wpłynąć na dostawców i klientów. Wiele z nich również działa w środowisku, które łączy nowoczesne systemy biznesowe i starszą technologię operacyjną, tworząc środowiska, które mogą być trudne do zabezpieczenia lub tymczasowo wyłączyć.

Usługi profesjonalne, naukowe i techniczne zajęły drugie miejsce. Te firmy często posiadają wrażliwe informacje należące do wielu klientów, co oznacza, że jeden wtargnięcie może wywrzeć presję daleko poza pierwotną ofiarę. Firmy prawnicze, firmy inżynieryjne, konsultingowe i dostawcy technologii mogą również posiadać poświadczenia lub dostęp, który może doprowadzić atakujących do innych organizacji.

Budownictwo awansowało na trzecie miejsce, odzwierciedlając zależność sektora od rozproszonych zespołów projektowych, kontrahentów, aplikacji w chmurze i systemów płatniczych. Opieka zdrowotna nadal była silnie atakowana, ponieważ przerwy w usługach mogą szybko stać się kwestią operacyjną i bezpieczeństwa publicznego.

Raport również pokazuje, że atakujący kładą większy nacisk na organizacje o średniej wielkości. Firmy generujące między 10 a 100 milionów dolarów odpowiadały za większość zaobserwowanej aktywności. Te firmy mogą posiadać cenne dane i mieć możliwość zapłaty, ale często brakuje im dedykowanych zespołów bezpieczeństwa i warstwowych obron dostępnych dla największych przedsiębiorstw.

To nie oznacza, że duże korporacje są ignorowane. Zamiast tego, operatorzy oprogramowania ransomware wydają się balansować potencjalne wypłaty z kosztami i trudnościami ataku. Mniejszy producent, regionalny kontrahent lub firma świadcząca usługi profesjonalne mogą zapewnić szybszą drogę do przerwania działania niż wielonarodowa organizacja z obszernymi monitorowaniami i zasobami odpowiedzi na incydenty.

Zaufane platformy stały się częścią powierzchni ataku

Niektóre z najważniejszych incydentów w ciągu roku nie rozpoczynały się wewnątrz sieci głównej ofiary. Przechodziły one przez integracje SaaS, tokeny OAuth, aplikacje planowania zasobów przedsiębiorstwa, platformy wsparcia i inne systemy połączone z wrażliwymi danymi biznesowymi.

Raport podkreśla kampanie związane z tokenami OAuth skompromitowanymi, które są powiązane z połączonymi aplikacjami, jako przykład tego, jak powierzona ufność może stać się ścieżką ataku. Atakujący mieli dostęp do środowisk klientów Salesforce (CRM ) za pomocą skompromitowanych tokenów OAuth. Integracje z platformami obsługi klienta i sukcesu utworzyły dodatkowe trasy do danych.

W tych przypadkach organizacja mogła utrzymywać silne kontrole wewnętrzne i nadal być narażona na atak poprzez relację z dostawcą, której nie w pełni rozumiała lub monitorowała. Token wydany miesiąc wcześniej, aplikacja, której przyznano nadmierne uprawnienia, lub słabo zabezpieczone konto wsparcia mogło dać atakującemu dostęp bez wymagania tradycyjnego zainfekowania oprogramowaniem.

Oracle (ORCL ) E-Business Suite ilustruje wersję masowego wykorzystania tego samego problemu. Black Kite opisuje kampanię, w której dochodzi do twierdzeń o kradzieży danych z środowisk Oracle EBS i możliwym wykorzystaniu CVE-2025-61882 przed udostępnieniem poprawki.

Działania podejmowane po okresie sprawozdawczym, dotyczące PeopleSoft, potwierdzają szerszą lekcję. Jeden narażony platform może utworzyć duży zbiornik ofiar, zmieniając tożsamość dostawcy, uprawnienia lub podatność na oprogramowanie ransomware w część narażenia każdego klienta.

Objawy ostrzegawcze były często widoczne

Analiza przed ujawnieniem przeprowadzona przez Black Kite wykazała, że wiele ofiar wykazywało zewnętrznie obserwowalne słabości przed pojawieniem się na stronach wycieku oprogramowania ransomware. Nieprawidłowe konfiguracje bezpieczeństwa były obecne w ponad dwóch trzecich analizowanej populacji, podczas gdy narażone usługi dostępu zdalnego, podatności oprogramowania, fałszywe domeny i skradzione poświadczenia również pojawiały się często.

Ponad 60% posiadało co najmniej jedną z trzech istotnych dla oprogramowania ransomware wyników: znaną podatność oprogramowania, narażenie poświadczeń lub logi kradzieży. Blisko jedna na dziesięć posiadała wszystkie trzy.

Te sygnały nie dowodzą, jaka słabość spowodowała konkretny wtargnięcie. Organizacja z narażonymi poświadczeniami może ostatecznie zostać skompromitowana za pomocą innej podatności. Niemniej, wyniki pokazują, że wiele przyszłych ofiar było już widocznych jako atrakcyjne cele przed ujawnieniem ataku.

Wskaźnik podatności na oprogramowanie ransomware w raporcie próbuje zmierzyć to narażenie w sposób bardziej bezpośredni. Black Kite stwierdził, że firmy w najwyższej grupie ryzyka były znacznie bardziej narażone na ujawnione incydenty związane z oprogramowaniem ransomware niż organizacje w najniższej grupie.

Praktyczna lekcja polega na tym, że ryzyko oprogramowania ransomware nie jest równomiernie rozłożone. Atakujący często koncentrują się na organizacjach, w których kilka słabości nakłada się, zwłaszcza gdy niesprawdzony systemy, narażone poświadczenia i permissive kontrola tożsamości tworzą wiele możliwych punktów wejścia.

Niższe stawki płatności zmieniają taktykę szantażu

Rynek oprogramowania ransomware rozrastał się, nawet gdy zachowanie płatnicze stało się mniej godne zaufania. Black Kite nie mierzy bezpośrednio płatności okupu, ale porównuje kilka zewnętrznych zestawień odpowiedzi na incydenty, które sugerują, że mniej ofiar decyduje się na zapłatę.

Jedno zestawienie podało 26% wskaźnik płatności w II kwartale 2025 r. Inne zestawienie umieściło ten wskaźnik na 23% w następnym kwartale, podczas gdy incydenty z wyłącznie kradzieżą danych wykazały wskaźnik 19%. Te dane pochodzą z różnych populacji i nie powinny być czytane jako jeden ciągły pomiar rynkowy, ale wskazują w tym samym kierunku.

Kwoty wypłacane przez organizacje, które płacą, mogą nadal być znaczne. Jedno zestawienie cytowane w raporcie wykazało medianę płatności w wysokości 1 miliona dolarów wśród ankietowanych organizacji, które zapłaciły za odzyskanie danych.

Niższe wskaźniki konwersji niekoniecznie sprawiają, że oprogramowanie ransomware staje się mniej lukratywne. Mogą one raczej skłonić operatorów do ścigania większej liczby ofiar, obniżenia kosztów każdego ataku lub zastosowania większej liczby form presji. Szyfrowanie jest teraz często łączone z kradzieżą danych, ujawnieniami publicznymi, podszywaniem się, bezpośrednim kontaktem z klientami i groźbami dotyczącymi regulatorów lub partnerów biznesowych.

Gdy mniej ofiar płaci tylko po to, aby przywrócić zaszyfrowane systemy, atakujący mają motywację do tworzenia konsekwencji, które pozostają nawet po przywróceniu kopii zapasowych.

Odzyskiwanie nie oznacza, że narażenie zniknęło

Najbardziej niepokojące są wnioski z raportu dotyczące okresu po incydencie. Niektóre powierzchniowe środki bezpieczeństwa poprawiły się po ujawnieniu ataków. Średnie oceny cybernetyczne wzrosły, podczas gdy średnia aktywność botnetów spadła.

Głębsze wskaźniki specyficzne dla oprogramowania ransomware często poruszały się w przeciwnym kierunku. Narażenie na logi kradzieży było znacznie wyższe w porównaniu po incydencie, podczas gdy podatność na oprogramowanie ransomware i narażenie na podatności oprogramowania również wzrosły wśród wielu ofiar.

Wzorzec sugeruje, że organizacje mogą naprawić najbardziej widoczne problemy z higieną, ale pozostawić warunki, które sprawiają, że są one atrakcyjne dla atakujących. Firma może zamknąć podatność, której użycie miało miejsce w przypadku pierwotnego naruszenia, ale nie odwoła skradzionych poświadczeń, nie przeanalizuje dostępu dostawców, nie usunie nieaktywnych kont lub nie zbada innych narażonych systemów.

Bieżąca analiza Black Kite potwierdza ten niepokój. Wiele poprzednich ofiar nadal wykazywało nieprawidłowo skonfigurowane rekordy bezpieczeństwa poczty elektronicznej, krytyczne niezabezpieczone podatności, znane wykorzystywane podatności i poświadczenia pracowników krążące w logach kradzieży.

Odpowiedź na incydent jest często zorganizowana wokół przywrócenia operacji i ograniczenia potwierdzonego wtargnięcia. Raport twierdzi, że to nie wystarcza. Odzyskiwanie powinno obejmować nową ocenę całej zewnętrznie widocznej powierzchni ataku organizacji, a nie tylko systemu związanego z pierwotnym incydentem.

AI obniża koszt uczestnictwa

Raport nie twierdzi, że sztuczna inteligencja spowodowała wzrost oprogramowania ransomware. Zamiast tego opisuje ją jako mnożnik siły, który sprawia, że istniejąca praca jest szybsza i tańsza.

Rozpoznanie może być szybciej podsumowane, skrypty phishingowe i głosowe mogą być lokalizowane, skradzione rekordy mogą być organizowane w bardziej przekonywujące narracje, a wiadomości negocjacyjne mogą być produkowane przez mniejsze zespoły. Atakujący niższego szczebla mogą również wykorzystywać narzędzia wspomagane przez AI do rozwiązywania problemów ze skryptami, modyfikowania oprogramowania i automatyzowania powtarzalnych zadań.

Najwyraźniejszy wpływ jest obecnie w warstwie zorientowanej na ludzi. Klonowanie głosu, wielojęzyczne pułapki, audio deepfake, manipulacja help-deskiem i adaptacja persona w czasie rzeczywistym mogą ułatwić inżynierię społeczną. AI może pomóc atakującemu brzmieć bardziej wiarygodnie w języku, którego nie mówi, lub wyprodukować spersonalizowane wiadomości dla setek pracowników bez konieczności ręcznego pisania każdej z nich.

Black Kite wskazuje na wczesne oznaki wejścia AI do technicznej realizacji i marki szantażu. Najbliższe ryzyko nie jest koniecznie w pełni autonomicznym oprogramowaniem ransomware. Jest to półautomatyczne operacje przestępcze, w których mniejsze zespoły mogą wykonywać pracę, która wcześniej wymagała więcej czasu, umiejętności i koordynacji.

AI nie eliminuje potrzeby dostępu ani umiejętnych operatorów. Redukuje tarcie między etapami ataku i daje większej liczbie uczestników możliwość zachowania się jak zorganizowane firmy oprogramowania ransomware.

Wnioski na przyszłość

Główny przekaz brzmi: oprogramowanie ransomware ewoluuje z rynku, który jest prowadzony przez kilka rozpoznawalnych marek, w kierunku szerszego i bardziej zoperacjonalizowanego ekosystemu. Obrońcy muszą nadal łatać podatności, zabezpieczać punkty końcowe, ale dane wskazują na szerszą odpowiedzialność, która obejmuje ciągłe przeglądanie dostępu dostawców, integracji SaaS, kontroli tożsamości, infrastruktury poczty elektronicznej, narażonych poświadczeń i warunków po incydencie.

Organizacje powinny również ponownie rozważyć, jak mierzą odzyskiwanie. Przywrócenie systemów może zamknąć incydent, ale nie dowodzi, że skradzione poświadczenia zostały unieważnione, nadmierne uprawnienia dostawców zostały usunięte lub inne narażone aktywa zostały zaadresowane.

Raport o oprogramowaniu ransomware z 2026 r. wykazuje, dlaczego liczba ofiar sama w sobie nie jest już wystarczająca. Zagrożenie rośnie poprzez połączenie utrzymywanego poziomu, wysokowydajnych operatorów oprogramowania ransomware jako usługi, rozszerzającego się celowania na średni rynek, wykorzystywania łańcucha dostaw i niższych kosztów operacyjnych. Zamknięcie incydentu może przywrócić normalne operacje, ale zmniejszenie szansy na kolejny incydent wymaga traktowania narażenia jako stanu ciągłego, a nie przypadku, który kończy się, gdy proces odzyskiwania jest kompletny.