Звіт Black Kite за 2026 рік про виробництво & дистрибуцію: виробництво залишається найголовнішою ціллю програмного викуплення

Black Kite 2026 звіт про виробництво & дистрибуцію: все ще № 1 ціль, але профіль жертви перемістився до нижчого сегмента та за кордон виявляє, що тиск програмного викуплення на виробників не лише зростає, а й змінює форму. Група Black Kite Research Group проаналізувала тисячі публічно розкритих випадків програмного викуплення з 2023 року до липня 2026 року, а також актуальні дані про зовнішню експозицію великих виробників та дистриб’юторських компаній. Її результати вказують на те, що ландшафт загроз розширюється географічно, зміщується в бік середніх підприємств і все більше здатний перетворити одну зламану компанію на масштабне порушення ланцюга постачання.

Виробництво продовжує виділятися

Виробництво залишалося найбільш цільовою галуззю Black Kite протягом п’яти поспіль років, і темпи атак продовжують прискорюватися.

Перші сім місяців 2026 року принесли 1 183 задекларованих випадки програмного викуплення у виробництві, що вже більше, ніж було зафіксовано протягом усього 2023 або 2024 року. У порівнянні з тим же періодом року тому атаки зросли майже на 40 %.

Ця стійкість особливо помітна, оскільки виробництво продовжувало залишатися ціллю навіть під час періодів, коли дії правоохоронців порушували діяльність деяких найбільших операторів екосистеми програмного викуплення.

Причина привабливості досить проста. На відміну від атак на бізнеси, коли операції іноді можуть продовжуватись під час відновлення ІТ‑систем, кібератака на виробника може зупинити фізичне виробництво. Пропущені поставки, простоючі працівники, штрафи за порушення контрактів та порушені клієнти швидко підвищують фінансовий тиск на жертву.

Така ж динаміка робить виробництво особливо цінним для груп‑вимогників. Кожна година, протягом якої виробнича лінія залишатиметься недоступною, може зміцнити переговорну позицію нападника.

Типова жертва стає меншою

Високопрофільні атаки на великі глобальні виробники часто займають головні новинні позиції, проте дані Black Kite вказують, що центр активності програмного викуплення розташований значно нижче на ринку.

Медіанна жертва у виробничому наборі даних генерує $42.9 млн щорічного доходу. Компанії з доходом від $10 млн до $100 млн склали приблизно 70 % жертв із відомим доходом у 2026 році.

Великі підприємства залишаються цілями, проте їх частка у загальній кількості інцидентів зменшилася, оскільки зловмисники проникають глибше в середній сегмент ринку.

Цей зсув важливий, бо багато з цих компаній не є ізольованими підприємствами. Середні виробники часто постачають компоненти, обладнання, хімікати, електроніку, харчові продукти та інші ресурси до значно більших організацій.

У результаті атака на відносно невідомого постачальника може стати проблемою безперервності бізнесу для компаній, у декілька разів більших за нього.

Тиск також широко розподілений по всьому виробництву. Обладнання представляло найбільший окремий підсектор у наборі даних Black Kite, проте виготовлені метали, транспортне обладнання, хімікати, електроніка та харчове виробництво також склали значну частку інцидентів. Жодна окрема ніша не домінує у ландшафті загроз.

Програмне викуплення стає більш глобальним

Географічний склад програмного викуплення у виробництві змінюється майже так само швидко, як і профіль жертви.

Сполучені Штати залишаються основним джерелом задекларованих інцидентів, проте їх частка у глобальній кількості жертв у виробництві різко впала у 2026 році. Спад не був головним чином через те, що атаки на американські компанії зникли. Навпаки, активність програмного викуплення значно швидше розширювалася в інших регіонах.

Жертви серед європейського виробництва збільшились більш ніж на 85 % у порівнянному періоді 2026 року, причому Німеччина зафіксувала найвищу суму в регіоні. Італія, Сполучене Королівство, Франція, Іспанія, Туреччина та Польща також зазнали суттєвого зростання.

Це особливо важливо в економіках, де виробництво становить значну частку промислового випуску та зайнятості. Успішна атака може мати наслідки, що виходять за межі фінансових звітів однієї компанії.

Географічний зсув також впливає нові групи програмного викуплення. Наприклад, The Gentlemen з’явилися в наборі даних Black Kite лише в кінці 2025 року, але швидко стали одними з найактивніших операторів, що націлюються на виробників, зі особливо помітною роллю в Європі.

Ландшафт акторів загроз перебудовується

Швидке зростання нових груп є ще однією визначною рисою звіту.

Майже половина інцидентів у виробництві, зафіксованих у 2026 році, була приписана акторам загроз, які не з’являлися в наборі даних Black Kite у 2023 або 2024 роках. Кількість груп, що націлюються на виробників, також суттєво зросла.

Відомі назви не зникли повністю, проте ієрархія змінюється.

Qilin очолювала інциденти у виробництві протягом перших семи місяців 2026 року, за нею слідували The Gentlemen, Akira, DragonForce та INC Ransom. Деякі раніше домінуючі оператори різко впали, тоді як успадковані бренди та зовсім нові групи з’явилися.

Для захисників така зміна створює практичну проблему. Стратегії безпеки, засновані на відстежуванні невеликого набору впізнаваних груп вимагань, можуть швидко застаріти. Основні вразливості, які експлуатують зловмисники, такі як відкритий віддалений доступ, невиправлені уразливості, викрадені облікові дані та неправильно налаштовані системи, тому можуть бути кориснішими індикаторами, ніж назва групи, що наразі очолює рейтинг.

Розподіл створює ще одну точку відмови

Black Kite розширює свій аналіз за межі заводів до компаній, відповідальних за переміщення товарів між ними.

Транспортні, вантажні та складські компанії зафіксували менше інцидентів вимагань порівняно з виробниками, але їхнє положення в ланцюгах постачання може зробити окреме порушення надмірно важливим.

У звіті підкреслюється атака 2025 року на британського логістичного постачальника Peter Green Chilled. Компанія продовжувала переміщати товари, які вже знаходилися в її системі, але нові замовлення більше не могли оброблятися. Оскільки вона обслуговувала численні великі мережі супермаркетів, порушення швидко вплинуло на постачальників, чиї продукти вже знаходилися на складах або чекали входу в мережу.

Компанії розподілу також, як правило, менші за жертви у виробництві. Black Kite виявив, що медіанний річний дохід серед жертв розподілу з відомим доходом становив 28,7 млн доларів.

Такі підприємства часто працюють у вузьких вікнах доставки та мають обмежену толерантність до тривалих простоїв, що робить вимагання особливо руйнівним.

Коли кібератака стає економічною подією

У звіті використано Jaguar Land Rover’s 2025 cyberattack для демонстрації того, що може статися, коли вимагання досягає компанії, розташованої в центрі великої промислової мережі.

Виробництво було зупинено більш ніж на п’ять тижнів у трьох британських заводах, що вплинуло на підрозділи, які разом виготовляють близько 1 000 автомобілів на день.

Але збитки поширилися далеко за межі JLR.

За оцінками, понад 5 000 організацій були зачеплені в ширшій екосистемі компанії, багато з них — дрібні постачальники. Оцінений економічний вплив склав 1,9 млрд фунтів стерлінгів, тоді як уряд Великобританії запровадив гарантію кредиту в розмірі 1,5 млрд фунтів стерлінгів для підтримки JLR та її ланцюга постачання.

Порушення було настільки значним, що Банк Англії зазначив його як один із факторів, що спричинив нижчий, ніж очікувалося, економічний зріст Великобританії протягом кварталу.

Це екстремальний приклад, але він ілюструє ширшу тему, що пронизує дослідження Black Kite: кіберризик у виробництві рідко залишається обмеженим лише первинною жертвою.

Багато ознак попередження вже помітні

Одним із більш значущих висновків звіту є те, що багато жертв вимагань демонстрували помітні ознаки підвищеного ризику ще до того, як їх інциденти стали публічними.

Індекс вразливості до вимагань Black Kite оцінює такі фактори, як відкриті сервіси, експлуатовані уразливості, викрадені облікові дані та інші зовнішньо видимі індикатори.

Майже три чверті жертв у виробництві вже перебували у критичному діапазоні індексу на момент розкриття їх інцидентів.

Поточна вразливість серед найбільших у світі виробників також залишається значною. Black Kite виявив широкомасштабні критичні уразливості та викрадені облікові дані у своїй моніторинговій популяції, навіть при покращенні деяких заходів управління уразливостями.

Викриття облікових даних особливо виділяється. Хоча організації досягли прогресу у зниженні певних програмних уразливостей, поширеність облікових даних, що циркулюють у журналах крадіжок, залишилася надто високою.

Це створює поверхню атаки, яку не завжди можна усунути лише традиційним виправленням уразливостей.

Вимагання тепер — проблема ланцюга постачання

Ширша наслідок полягає в тому, що виробники більше не можуть розглядати вимагання лише як внутрішню проблему кібербезпеки.

Компанія успадковує ризик від постачальників програмного забезпечення, постачальників та логістичних фірм, на які вона покладається. Одночасно її власна кіберпозиція стає частиною профілю ризику кожного клієнта, що залежить від її продукції.

Регулятори все більше відображають цю взаємопов’язану реальність. Європейські правила, такі як NIS2, приділяють більшу увагу безпеці ланцюга постачання, тоді як ініціативи у Великобританії та США розширюють вимоги до кібербезпеки серед постачальників послуг, підрядників та критичних постачальників.

Для виробників це означає, що щорічні опитувальники постачальників та окремі внутрішні оцінки можуть більше не бути достатніми. Поверхня атаки змінюється надто швидко, як і групи вимагань, які її експлуатують.

Black Kite’s звіт в кінцевому підсумку описує загрозу, яка стає ширшою, а не просто більшою. Атаки переходять до середніх компаній, розширюються міжнародно та все більше використовують зв’язки між виробниками, постачальниками технологій, логістичними мережами та клієнтами. Результатом є проблема з вимагальним ПЗ, коли найважливіше питання вже може не бути тим, чи зможе окрема компанія витримати атаку, а тим, наскільки залежить від неї решта ланцюга постачання.