Raportul de ransomware al Black Kite din 2026 arată o economie a amenințărilor mai rapidă și mai fragmentată

Raportul de ransomware al Black Kite din 2026 descrie o piață a ransomware-ului care nu mai este definită de o singură bandă dominantă, o singură operațiune de demantelare sau o singură metodă de atac. Între 1 aprilie 2025 și 31 martie 2026, compania a identificat 7.551 de victime publicate, în creștere față de cele 6.046 din perioada de raportare anterioară. Mai important decât creșterea generală, însă, este modul în care a avut loc creșterea. Activitatea s-a accelerat puternic în a doua jumătate a anului, au apărut noi grupuri de ransomware la un ritm rapid, iar platformele software de încredere au devenit din ce în ce mai mult o parte a suprafeței de atac.

Crecerea ransomware-ului și-a schimbat forma

Black Kite a urmărit raportările de ransomware din 2022, când prima perioadă de raportare a înregistrat aproximativ 2.700 de victime. Acest număr a crescut ulterior la 4.893, apoi la 6.046, și acum la 7.551, dar creșterea anuală nu reflectă pe deplin modul în care activitatea s-a accelerat puternic în perioada curentă.

Primele șase luni au produs 2.904 victime, comparativ cu 4.647 din octombrie 2025 până în martie 2026. Martie singur s-a încheiat cu 861 de victime publicate, cel mai mare număr lunar de victime pe care Black Kite l-a înregistrat în patru ani. Impulsul a continuat și după încheierea perioadei de raportare, cu încă 2.230 de victime observate din aprilie până în iunie 2026.

În contrast cu ciclurile anterioare de ransomware, creșterea nu a fost determinată de o singură bandă dominantă sau de un singur eveniment major. A reflectat mai degrabă expansiunea simultană a mai multor operatori, extinderea rețelelor de afiliați ale grupurilor stabilite și găsirea de modalități mai ieftine de participare de către noii intranți.

O piață aglomerată încă are lideri puternici

Ransomware nu mai este controlat de un număr mic de bande recunoscute care operează ca grupuri criminale bine organizate. Funcționează din ce în ce mai mult ca o economie de servicii. Operatorii de bază dezvoltă malware-ul, mențin site-urile de leak, gestionează plățile și furnizează infrastructura, în timp ce afiliații găsesc modalități de a pătrunde în rețelele corporative și de a lansa atacurile. Acest model permite grupurilor să se extindă rapid fără ca fiecare participant să aibă neapărat abilități tehnice avansate.

Black Kite a identificat 127 de grupuri de ransomware active în perioada de raportare, inclusiv 61 care au apărut pentru prima dată. Unele au fost operațiuni complet noi, în timp ce altele ar fi putut fi rebranduri sau grupuri scindate formate după ce organizațiile stabilite au dispărut. Rezultatul este o piață mai fluidă în care actorii pot trece de la o marcă la alta, pot reutiliza unelte sau pot lansa noi site-uri de leak fără a-și reconstrui operațiunile de la zero.

În ciuda acestei fragmentări, un număr mic de grupuri a generat o parte semnificativă a activității. Qilin a fost cel mai prominent exemplu, revendicând 1.358 de victime în cursul anului, aproape de două ori mai mult decât competitorul său cel mai apropiat. Grupul operează printr-o structură de ransomware-as-a-service care oferă afiliaților acces la uneltele de atac, în timp ce centralizează funcții precum negocierile, plățile și divulgările victimelor.

Alte mărci au urmat căi diferite. RansomHub, care fusese una dintre principalele operațiuni în perioada anterioară, a încetat să mai publice victime la începutul anului 2026. LockBit s-a întors după perturbarea sa anterioară, dar cele 186 de victime revendicate au reprezentat o recuperare limitată, mai degrabă decât o revenire la influența sa anterioară.

Aceste schimbări arată de ce mărcile de ransomware nu ar trebui privite ca niște companii convenționale. Un grup poate dispărea, în timp ce afiliații săi, tehnicile și infrastructura pot continua sub alte nume. Operatorii pot închide după acțiuni ale autorităților, după dispute interne sau după scăderea încrederii, numai pentru ca tactici familiare să reapară printr-un nou site de leak săptămâni mai târziu.

Piața a devenit astfel atât mai aglomerată, cât și mai concentrată. Noii intranți pot apărea rapid, dar scalarea depinde în continuare de accesul la brokeri de încredere, afiliați experimentați, infrastructura de plată și o reputație pentru furnizarea de malware care funcționează așa cum se promite.

Profilul țintei se schimbă

Atacurile de ransomware încep de obicei cu accesul, nu cu criptarea. Atacatorii pot exploata un sistem internet cu față care nu este patchat, pot fura credențiale de la dispozitivele angajaților, pot abuza de software-ul de acces la distanță sau pot înșela un birou de asistență pentru a reseta o cont. Odată ajunși în interior, încearcă să se deplaseze prin organizație, să identifice sisteme valoroase, să copieze date sensibile și să creeze suficientă presiune operațională sau de reputație pentru a cere plata.

Statele Unite au rămas țara cel mai frecvent vizată în baza de date a Black Kite, reprezentând aproape jumătate din victimele observate. Cu toate acestea, activitatea de ransomware s-a extins mai rapid în mai multe alte piețe. Germania, Franța, Spania și Italia au înregistrat toate creșteri semnificative, în timp ce o serie de țări asiatice au experimentat, de asemenea, o creștere puternică de la puncte de plecare mai mici.

Acestă extindere geografică mai largă reflectă o piață în care afiliații își extind din ce în ce mai mult țintele, nu se limitează la un set îngust de țări. Barierele lingvistice și cunoașterea regională au făcut odinioară extinderea internațională mai dificilă. Traducerea automată, uneltele de recunoaștere în largă distribuție și infrastructura criminală partajată au redus o parte din această fricțiune.

Industria manufacturieră a rămas cea mai vizată, cu 1.660 de victime publicate. Producătorii sunt atrași pentru că chiar și o întrerupere scurtă poate întrerupe producția, întârzia comenzile și afecta furnizorii și clienții. Mulți dintre ei operează, de asemenea, o combinație de sisteme de afaceri moderne și tehnologie operațională mai veche, creând medii care pot fi dificil de patchat sau deținute temporar offline.

Serviciile profesionale, științifice și tehnice s-au clasat pe locul al doilea. Aceste companii dețin adesea informații sensibile care aparțin mai multor clienți, ceea ce înseamnă că o intruziune singură poate crea presiune mult dincolo de victima inițială. Firmele juridice, companiile de inginerie, consultanții și furnizorii de tehnologie pot deține, de asemenea, credențiale sau acces care pot conduce atacatorii în alte organizații.

Construcțiile s-au clasat pe locul al treilea, reflectând dependența sectorului de echipe de proiect distribuite, contractori, aplicații cloud și sisteme de plată. Îngrijirea sănătății a rămas puternic vizată, deoarece întreruperea serviciilor poate deveni rapid o problemă operațională și de siguranță publică.

Raportul arată, de asemenea, că atacatorii acordă o atenție mai mare organizațiilor de dimensiuni medii. Companiile care generează între 10 milioane și 100 de milioane de dolari au reprezentat o parte semnificativă a activității observate. Aceste afaceri pot deține date valoroase și au capacitatea de a plăti, dar adesea lipsesc echipele de securitate dedicate și apărările stratificate disponibile pentru cele mai mari întreprinderi.

Acest lucru nu înseamnă că marile corporații sunt ignorate. În schimb, operatorii de ransomware par să echilibreze plățile potențiale cu costul și dificultatea unui atac. Un producător mai mic, un contractor regional sau o firmă de servicii profesionale poate oferi o cale mai rapidă spre întrerupere decât o organizație multinațională cu resurse extinse de monitorizare și de răspuns la incidente.

Platformele de încredere au devenit parte a suprafeței de atac

Unele dintre incidentele cele mai semnificative ale anului nu au început în interiorul rețelei unei victime. Au trecut prin integrări Software-as-a-Service, token-uri OAuth, aplicații de planificare a resurselor întreprinderii, platforme de suport și alte sisteme conectate la date de afaceri sensibile.

Raportul subliniază campaniile legate de Salesforce (CRM ) ca exemple de modul în care încrederea delegată poate deveni o cale de atac. Token-urile OAuth compromise asociate cu aplicațiile conectate ar fi oferit atacatorilor acces la mediile Salesforce ale clienților. Integrările cu platformele de servicii pentru clienți și clienți au creat rute suplimentare către date.

În aceste cazuri, o organizație ar putea menține controale interne puternice și, totuși, să fie expusă prin o relație cu un furnizor pe care nu îl înțelegea sau nu îl monitoriza pe deplin. Un token emis cu luni în urmă, o aplicație care a primit permisiuni excesive sau un cont de suport slab securizat ar putea oferi un atacator acces fără a necesita o infecție tradițională cu malware.

Oracle E-Business Suite a ilustrat versiunea de exploatare în masă a acestei probleme. Black Kite descrie o campanie care implică afirmații de furt de date din mediile Oracle EBS și exploatarea posibilă a CVE-2025-61882 înainte de a fi disponibil un patch.

Activitatea post-perioadă care implică PeopleSoft a consolidat lecția mai largă. O singură platformă expusă poate crea un bazin mare de victime, transformând controlul de identitate al unui furnizor, permisiunile sau vulnerabilitățile în parte a expunerii la ransomware a fiecărui client.

Semnele de avertizare erau adesea vizibile

Analiza pre-disclosure a Black Kite a arătat că multe victime au prezentat slăbiciuni observabile extern înainte de a apărea pe site-urile de leak de ransomware. Configurările de securitate greșite au fost prezente în mai mult de două treimi din populația analizată, în timp ce serviciile de acces la distanță expuse, vulnerabilitățile software, domeniile frauduloase și credențialele furate au apărut, de asemenea, frecvent.

Mai mult de 60% au prezentat cel puțin una dintre trei constatări relevante pentru ransomware: o vulnerabilitate de software cunoscută, expunerea de credențiale sau jurnale de furat. Aproape unul din zece au prezentat toate trei.

Aceste semne nu demonstrează care slăbiciune a cauzat o intruziune particulară. O organizație cu credențiale expuse poate fi, în cele din urmă, compromisă printr-o altă vulnerabilitate. Cu toate acestea, constatările arată că multe viitoare victime erau deja vizibile ca ținte atractive înainte de a deveni publice.

Indexul de susceptibilitate la ransomware al raportului încearcă să măsoare această expunere mai direct. Black Kite a constatat că companiile din banda de risc cea mai ridicată au fost mult mai susceptibile de a experimenta un incident de ransomware publicat decât organizațiile din banda de risc cea mai scăzută.

Lecția practică este că riscul de ransomware nu este distribuit uniform. Atacatorii se concentrează adesea pe organizații în care se suprapun mai multe slăbiciuni, în special atunci când sistemele nepatchate, credențialele expuse și controalele de identitate permissive creează multiple puncte de intrare posibile.

Rată mai mică de plată schimbă tactica de șantaj

Piața de ransomware s-a extins chiar și pe măsură ce comportamentul de plată a devenit mai puțin fiabil. Black Kite nu măsoară direct plățile de ransom, dar compară mai multe seturi de date de răspuns la incidente externe care sugerează că mai puține victime aleg să plătească.

Un set de date a raportat o rată de plată de 26% în al doilea trimestru al anului 2025. Alt set de date a plasat rata la 23% în trimestrul următor, în timp ce incidentele de extragere a datelor au produs o rată de 19%. Aceste cifre provin din populații diferite și nu ar trebui citite ca o singură măsurătoare continuă a pieței, dar indică aceeași direcție.

Sumelor plătite de organizațiile care se conformează pot fi, în continuare, substanțiale. Un set de date citat în raport a constatat o medie a plății de 1 milion de dolari printre organizațiile chestionate care au plătit pentru a-și recupera datele.

Rată mai mică de plată nu face neapărat ransomware mai puțin profitabil. Poate, în schimb, îi determină pe operatori să urmărească mai multe victime, să reducă costul fiecărui atac sau să aplice mai multe forme de presiune. Criptarea este adesea combinată cu furt de date, divulgare publică, impersonare, contact direct cu clienții și amenințări care implică regulatori sau parteneri de afaceri.

Atunci când mai puține victime plătesc doar pentru a-și restaura sistemele criptate, atacatorii au un stimulent pentru a crea consecințe care rămân chiar și după ce backup-urile sunt restaurate.

Recuperarea nu înseamnă că expunerea a dispărut

Constatarile post-incident ale raportului sunt printre cele mai îngrijorătoare. Unele măsuri de securitate de suprafață s-au îmbunătățit după ce victimele au raportat atacuri. Ratingurile de securitate cibernetice medii au crescut, în timp ce activitatea botnetului medie a scăzut.

Indicatorii specifici de ransomware au mutat, adesea, în direcția opusă. Expunerea jurnalelor de furat a fost semnificativ mai mare în comparația post-incident, în timp ce expunerea vulnerabilităților de software și susceptibilitatea la ransomware au crescut, de asemenea, printre multe victime.

Modelul sugerează că organizațiile pot remedia cele mai vizibile probleme de igienă, dar pot lăsa în urmă condițiile care le fac atractive pentru atacatori. O companie ar putea închide vulnerabilitatea presupusă a fi cauzat breșa inițială, dar ar putea eșua în a revoca credențialele furate, a revizui accesul furnizorilor, a elimina conturile inactive sau a investiga alte sisteme expuse.

Analiza stării actuale a Black Kite consolidează această îngrijorare. Multe victime anterioare au continuat să prezinte înregistrări de securitate a e-mailului configurate incorect, vulnerabilități software critice nepatchate, vulnerabilități cunoscute exploatate și credențiale ale angajaților care circulă în jurnalele de furat.

Răspunsul la incidente este adesea organizat în jurul restaurării operațiunilor și conținerii intruziunii confirmate. Raportul argumentează că acest lucru nu este suficient. Recuperarea ar trebui să includă o evaluare proaspătă a întregii suprafețe de atac vizibile extern a organizației, nu doar a sistemului asociat cu incidentul inițial.

Inteligența artificială reduce costul participării

Raportul nu susține că inteligența artificială a cauzat valul de ransomware. În schimb, descrie inteligența artificială ca o multiplicator de forță care face munca existentă mai rapidă și mai ieftină.

Reconstrucția poate fi rezumată mai rapid, scripturile de phishing și de voice-phishing pot fi localizate, înregistrările furate pot fi organizate în narative mai convingătoare, iar mesajele de negociere pot fi produse de echipe mai mici. Atacatorii de nivel inferior pot, de asemenea, utiliza unelte asistate de inteligență artificială pentru a depana scripturi, a modifica malware și a automatiza sarcini repetitive.

Impactul cel mai clar se observă în stratul uman. Clonarea vocilor, capcanele multilingve, audio-ul deepfake, manipularea help-desk-ului și adaptarea persoanei în timp real pot face ingineria socială mai ușor de scalat. Inteligența artificială poate ajuta un atacator să sune mai credibil într-o limbă pe care nu o vorbește sau să producă mesaje personalizate pentru sute de angajați fără a scrie manual fiecare.

Black Kite atrage atenția asupra semnelor timpurii ale intrării inteligenței artificiale în execuția tehnică și în marcajele de șantaj. Riscul pe termen scurt nu este neapărat ransomware complet autonom. Este, mai degrabă, operațiunile criminale semi-automate în care echipele mai mici pot efectua munca care odinioară necesita mai mult timp, expertiză și coordonare.

Inteligența artificială nu elimină nevoia de acces sau de operatori experimentați. Reduce fricțiunea dintre etapele unui atac și oferă mai multor participanți capacitatea de a se comporta ca afaceri de ransomware organizate.

Implicații viitoare

Mesajul central este că ransomware evoluează de la o piață condusă de câteva mărci recunoscute într-un ecosistem mai larg și mai operaționalizat. Apărătorii trebuie să continue să patcheze vulnerabilitățile și să securizeze punctele finale, dar datele indică spre o responsabilitate mai largă care include revizuirea continuă a accesului furnizorilor, integrărilor Software-as-a-Service, controalelor de identitate, infrastructurii de e-mail, credențialelor expuse și condițiilor post-incident.

Organizațiile ar trebui, de asemenea, să reconsidere modul în care măsoară recuperarea. Restaurarea sistemelor poate închide incidentul imediat, dar nu demonstrează că credențialele furate au fost invalidate, permisiunile excesive ale furnizorilor au fost eliminate sau alte active expuse au fost abordate.

Raportul de ransomware din 2026 al Black Kite arată, în cele din urmă, de ce numărul de victime singur nu mai este suficient. Amenințarea crește printr-o combinație de volum susținut, operatori de ransomware-as-a-service de înaltă producție, ținte în expansiune pe piața de masă și costuri de operare mai scăzute. Închiderea unui incident poate restaura operațiunile normale, dar reducerea șanselor de a avea un altul necesită tratarea expunerii ca o condiție continuă, mai degrabă decât un caz care se încheie atunci când procesul de recuperare este complet.