Звіт Black Kite про програмне забезпечення для вимагання викупу 2026 року виявляє швидше та більш фрагментовану загрозу економіки

Звіт Black Kite про програмне забезпечення для вимагання викупу 2026 року описує ринок програмного забезпечення для вимагання викупу, який вже не визначається однією домінантною бандою, однією заголовною акцією чи одним методом атаки. Між 1 квітня 2025 року та 31 березня 2026 року компанія ідентифікувала 7551 публічно розкритих жертв, що на 1505 більше, ніж у попередньому звітному періоді. Більше того, ніж загальне збільшення, є те, як відбувалося зростання. Діяльність прискорилася різко протягом другої половини року, нові групи програмного забезпечення для вимагання викупу з’явилися в швидкому темпі, а довірені платформи програмного забезпечення все частіше ставали маршрутами до організацій, які могли забезпечити безпеку自己的 внутрішніх середовищ.

Зростання програмного забезпечення для вимагання викупу змінило форму

Black Kite відстежує розкриття програмного забезпечення для вимагання викупу з 2022 року, коли перший звітний період зафіксував близько 2700 жертв. Ця кількість пізніше зросла до 4893, потім до 6046, і тепер до 7551, але річне збільшення не повністю відображає, наскільки різко діяльність прискорилася протягом останнього періоду.

Перші шість місяців дали 2904 жертви, порівняно з 4647 з жовтня 2025 року по березень 2026 року. Березень закінчився з 861 публічно розкритими жертвами, що є найвищим місячним показником, який коли-небудь реєструвала Black Kite за чотири роки. Імпульс також продовжувався після закінчення звітного періоду, з ще 2230 жертвами, спостереженими з квітня по червень 2026 року.

На відміну від попередніх циклів програмного забезпечення для вимагання викупу, сплеск не був спричинений однією домінантною групою чи однією великою подією. Він відображав 여러 операторів, які розширювалися одночасно, встановлені групи, які розширювали свої афілійовані мережі, і нових учасників, які знаходили дешевші способи участі.

Забутий ринок все ще має потужних лідерів

Програмне забезпечення для вимагання викупу вже не контролюється кількома розрізняємими бандами, які діють як тісно організовані злочинні групи. Воно все частіше функціонує як сервісна економіка. Основні оператори розробляють зловмисне програмне забезпечення, підтримують сайти витоків, обробляють платежі та забезпечують інфраструктуру, тоді як афілійовані учасники знаходять шляхи до корпоративних мереж та розгортають атаки. Ця модель дозволяє групам швидко розширюватися без того, щоб кожний учасник потребував високих технічних навичок.

Black Kite ідентифікувала 127 активних груп програмного забезпечення для вимагання викупу протягом звітного періоду, включаючи 61, які з’явилися вперше. Деякі були повністю новими операціями, тоді як інші могли бути ребрендингами чи спліттерними групами, сформованими після зникнення встановлених організацій. Результатом є більш рідинний ринок, у якому учасники можуть переміщуватися між брендами, повторно використовувати інструменти чи запускати нові сайти витоків без побудови своїх операцій з нуля.

Незважаючи на цю фрагментацію, кілька груп все ще генерували велику частку діяльності. Qilin був найвідомішим прикладом, заявивши про 1358 жертв протягом року, майже вдвічі більше, ніж у його найближчого конкурента. Група діє через структуру програмного забезпечення для вимагання викупу як сервіс, яка надає афілійованим учасникам доступ до інструментів атак, центральizando функції, такі як переговори, платежі та розкриття жертв.

Інші бренди слідували різним шляхам. RansomHub, який був одним із лідируючих операцій у попередньому періоді, припинив публікацію жертв на початку 2026 року. LockBit повернувся після його попередньої перерви, але його 186 заявлених жертв представляли обмежене відновлення, а не повернення до його колишнього впливу.

Ці зрушення показують, чому бренди програмного забезпечення для вимагання викупу не повинні розглядатися як традиційні компанії. Група може зникнути, тоді як її афілійовані учасники, техніки та інфраструктура продовжують діяти під іншими назвами. Оператори можуть припинити діяльність після дій правоохоронних органів, внутрішніх суперечок чи зниження довіри, лише щоб знайомі тактики знову з’явилися через новий сайт витоків тижнями пізніше.

Ринок став таким чином і більш забутий, і більш концентрованим. Нові учасники можуть з’явитися швидко, але масштаб все ще залежить від надійних брокерів доступу, досвідчених афілійованих учасників, інфраструктури платежів та репутації надання зловмисного програмного забезпечення, яке працює так, як обіцяно.

Профіль цілі змінився

Атаки програмного забезпечення для вимагання викупу зазвичай починаються з доступу, а не з шифрування. Атакувальники можуть використати не патчений інтернет-систему, викрасти дані з пристроїв працівників, використати програмне забезпечення віддаленого доступу чи обманути службу підтримки, щоб скинути обліковий запис. Як тільки вони потрапляють всередину, вони намагаються переміститися через організацію, ідентифікувати цінні системи, скопіювати чутливі дані та створити достатній оперативний чи репутаційний тиск, щоб вимагати платежі.

Сполучені Штати залишилися найбільш часто атакованою країною в наборі даних Black Kite, на які припадало майже половина спостережуваних жертв. Однак діяльність програмного забезпечення для вимагання викупу розширилася швидше в кількох інших ринках. Німеччина, Франція, Іспанія та Італія всі зафіксували суттєві збільшення, тоді як низка азійських країн також пережила різкий рост з менших початкових точок.

Ця ширша географічна поширеність відображає ринок, у якому афілійовані учасники все частіше переслідують будь-яку доступну організацію, а не обмежуються вузьким набором країн. Мовні бар’єри та регіональні знання раніше робили міжнародну експансію більш складною. Автоматичний переклад, широко доступні інструменти розвідки та спільна злочинна інфраструктура зменшили деяку з цієї тертя.

Виробництво залишилося найбільш часто атакованою галуззю, з 1660 розкритими жертвами. Виробники привабливі, оскільки навіть коротка перерва може перервати виробництво, затримати замовлення та вплинути на постачальників та клієнтів. Багато з них також експлуатують суміш сучасних бізнес-систем та старої операційної техніки, створюючи середовища, які можуть бути складними для патчування чи тимчасового виведення з експлуатації.

Професійні, наукові та технічні послуги зайняли друге місце. Ці компанії часто володіють чутливою інформацією, яка належить кільком клієнтам, що означає, що одне проникнення може створити тиск далеко за межами оригінальної жертви. Юридичні фірми, інженерні компанії, консалтингові компанії та технологічні постачальники також можуть володіти даними чи доступом, який може привести атакувальників до інших організацій.

Будівництво перейшло на третє місце, відображаючи залежність сектора від розподілених команд проектів, підрядників, застосунків у хмарі та систем оплати. Охорона здоров’я залишилася сильно атакованою, оскільки перерва у послугах може швидко стати оперативною та громадською проблемою безпеки.

Звіт також показує, що атакувальники ставлять більший акцент на організації середнього розміру. Компанії, які генерують між 10 мільйонами та 100 мільйонами доларів, становили більшу частку спостережуваної діяльності. Ці підприємства можуть володіти цінними даними та мати можливість платити, але часто缺ують спеціалізовані команди безпеки та шарові захисти, доступні найбільшим підприємствам.

Це не означає, що великі корпорації ігноруються. Натомість оператори програмного забезпечення для вимагання викупу, здається, балансують потенційні виплати проти витрат та складності атаки. Менший виробник, регіональний підрядник чи професійна послугова компанія може пропонувати швидший шлях до перерви, ніж транснаціональна організація з розширеними моніторингом та ресурсами реагування на інциденти.

Довірені платформи стали частиною поверхні атаки

Деякі з найбільш суттєвих інцидентів року не починалися всередині мережі жертви. Вони рухалися через інтеграції програмного забезпечення як сервісу, токени OAuth, застосунки планування підприємств, платформи підтримки та інші системи, пов’язані з чутливими бізнес-даними.

Звіт підкреслює кампанії, пов’язані з компрометованими токенами OAuth, як приклад того, як делегована довіра може стати шляхом атаки. Зловмисники, як повідомляється, отримали доступ до середовищ клієнтів Salesforce (CRM ) через компрометовані токени OAuth, пов’язані з підключеними застосунками. Інтеграції з платформами обслуговування клієнтів та успіху клієнтів створили додаткові маршрути до даних.

У цих випадках організація могла підтримувати сильний внутрішній контроль та все ж бути вразливою через постачальницькі відносини, які вона не повністю розуміла чи моніторила. Токен, виданий місяцями раніше, застосунок, якому були надані надмірні дозволи, чи погано захищений обліковий запис підтримки могли дати атакувальнику доступ без потреби традиційного зараження зловмисним програмним забезпеченням.

Oracle (ORCL ) E-Business Suite проілюструвала масовий варіант тієї ж проблеми. Black Kite описує кампанію, яка включала заяви про викрадення даних з середовищ Oracle EBS та можливе використання вразливості CVE-2025-61882 до появи патчу.

Постперіодична діяльність, пов’язана з PeopleSoft, підкреслила ширшу проблему. Одна вразлива платформа може створити великий басейн жертв вниз по течії, перетворюючи ідентифікаційні засоби постачальника, дозволи чи вразливість на частину експозиції програмного забезпечення для вимагання викупу кожної клієнтської організації.

Попередження часто були видимими

Аналіз Black Kite перед розкриттям показав, що багато жертв мали зовнішньо спостережувані слабкості до появи на сайтах витоків програмного забезпечення для вимагання викупу. Небезпеки безпеки були присутні в більш ніж двох третинах проаналізованої популяції, тоді як вразливі віддалені служби доступу, вразливості програмного забезпечення, підроблені домени та викрадені дані також часто з’являлися.

Більше 60% мали принаймні одну з трьох знахідок, пов’язаних з програмним забезпеченням для вимагання викупу: відому вразливість програмного забезпечення, експозицію даних чи журнали викрадачів. Майже одна з десяти мала всі три.

Ці сигнали не доводять, яка слабкість спричинила конкретне проникнення. Організація з викраденими даними може бути в кінцевому підсумку скомпрометованою через іншу вразливість. Тим не менше, знахідки показують, що багато майбутніх жертв були вже видимими як привабливі цілі до того, як атака стала публічною.

Індекс сприйнятливості програмного забезпечення для вимагання викупу звіту намагається виміряти цю експозицію більш прямим чином. Black Kite виявила, що компанії в найвищій групі ризику були значно більш схильні до розкриття інциденту програмного забезпечення для вимагання викупу порівняно з організаціями в найнижчій групі.

Практичний урок полягає в тому, що ризик програмного забезпечення для вимагання викупу не розподілений рівномірно. Атакувальники часто фокусуються на організаціях, де кілька слабкостей перекриваються, особливо коли не патчені системи, експоновані дані та пермісивні засоби ідентифікації створюють кілька можливих точок входу.

Нижчі ставки платежів змінюють тактику шантажу

Ринок програмного забезпечення для вимагання викупу розширився, навіть коли поведінка платежів стала менш надійною. Black Kite не вимірює безпосередньо платежі за викуп, але порівнює кілька зовнішніх наборів даних реагування на інциденти, які свідчать про те, що менше жертв обирає платити.

Один набір даних повідомив про ставку платежів 26% у другому кварталі 2025 року. Інший розмістив ставку на рівні 23% у наступному кварталі, тоді як інциденти лише з викраденням даних мали ставку 19%. Ці цифри походять з різних популяцій і не повинні читатися як одне безперервне вимірювання ринку, але вони вказують в одному напрямку.

Суми, сплачені організаціями, які погоджуються платити, все ж можуть бути суттєвими. Один набір даних, наведений у звіті, показав медіану платежу в розмірі 1 мільйона доларів серед опитаних організацій, які платили за відновлення даних.

Нижчі ставки конверсії не обов’язково роблять програмне забезпечення для вимагання викупу менш прибутковим. Вони можуть натомість спонукати операторів переслідувати більше жертв, зменшити вартість кожної атаки чи застосовувати більше форм тиску. Шифрування тепер часто поєднується з викраденням даних, публічним розкриттям, імітаторством, прямим контактом з клієнтами та загрозами, що включають регуляторів чи бізнес-партнерів.

Коли менше жертв платить просто для відновлення зашифрованих систем, атакувальники мають стимул створювати наслідки, які залишаються навіть після відновлення запасних копій.

Відновлення не означає, що експозиція зникла

Постінцидентні знахідки звіту є серед найбільш тривожних. Деякі поверхневі заходи безпеки покращилися після того, як жертви розкрили атаки. Середні рейтинги кібербезпеки зросли, тоді як середня активність ботнетів зменшилася.

Глибші індикатори, пов’язані з програмним забезпеченням для вимагання викупу, часто рухалися в протилежному напрямку. Експозиція журналів викрадачів була суттєво вищою в порівнянні після інциденту, тоді як сприйнятливість програмного забезпечення для вимагання викупу та експозиція вразливостей програмного забезпечення також зросли серед багатьох жертв.

Цей шаблон свідчить про те, що організації можуть виправити найбільш видимі гігієнічні проблеми, залишаючи при цьому умови, які роблять їх привабливими для атакувальників. Компанія може закрити вразливість, яку вважають причиною первинного проникнення, але не скасує викрадені дані, не перегляне доступ постачальників, не видалить неактивні облікові записи чи не розслідує інші вразливі системи.

Поточний аналіз Black Kite підкреслює цю проблему. Багато попередніх жертв продовжували демонструвати неправильно сконфігуровані записи безпеки електронної пошти, критичні не патчені вразливості, відомі експлуатовані вразливості та дані працівників, що циркулюють у журналах викрадачів.

Реагування на інциденти часто організується навколо відновлення операцій та утримання підтвердженого проникнення. Звіт стверджує, що цього недостатньо. Відновлення повинно включати повторну оцінку всього зовнішньо видимого поверху атаки організації, а не лише системи, пов’язаної з оригінальним інцидентом.

Штучний інтелект знижує вартість участі

Звіт не стверджує, що штучний інтелект спричинив сплеск програмного забезпечення для вимагання викупу. Натомість він описує штучний інтелект як множник сили, який робить існуючу роботу швидшою та дешевшою.

Розвідка може бути підсумована швидше, сценарії фішингу та голосового фішингу можуть бути локалізовані, викрадені записи можуть бути організовані в більш переконливі розповіді, а повідомлення про переговори можуть бути створені меншими командами. Низькорівневі атакувальники також можуть використовувати інструменти, допоможені штучним інтелектом, для налагодження сценаріїв, модифікації зловмисного програмного забезпечення та автоматизації повторюваних завдань.

Найясніший вплив зараз спостерігається на людському рівні. Клонування голосу, багатомовні приманки, аудіо-деепфейки, маніпуляція служби підтримки та адаптація персони в реальному часі можуть зробити соціальну інженерію легшою для масштабування. Штучний інтелект може допомогти атакувальнику звучати більш правдоподібно в мові, яку він не говорить, чи створити персоналізовані повідомлення для сотень працівників без ручного написання кожного з них.

Black Kite вказує на ранній ознаки входження штучного інтелекту в технічну реалізацію та брендинг шантажу. Найближча загроза не обов’язково повністю автономне програмне забезпечення для вимагання викупу. Це напівавтоматизовані злочинні операції, у яких менші команди можуть виконувати роботу, яка раніше потребувала більше часу, експертизи та координації.

Штучний інтелект не усуває потребу в доступі чи кваліфікованих операторах. Він знижує тертя між стадіями атаки та надає більшому числу учасників можливість поводитися як організовані підприємства програмного забезпечення для вимагання викупу.

Майбутні наслідки

Центральним повідомленням є те, що програмне забезпечення для вимагання викупу еволюціонує з ринку, який очолюють кілька розрізняємих брендів, у ширшу та більш оперативну екосистему. Захисники повинні все ще патчити вразливості та забезпечувати безпеку кінцевих точок, але дані вказують на ширшу відповідальність, яка включає постійний перегляд доступу постачальників, інтеграцій програмного забезпечення як сервісу, засобів ідентифікації, інфраструктури електронної пошти, експоновані даних та післяінцидентних умов.

Організації також повинні переглянути, як вони виміряють відновлення. Відновлення систем може закрити негайний інцидент, але це не доводить, що викрадені дані були анульовані, надмірні дозволи постачальників були видалені чи інші вразливі активи були вирішені.

Звіт про програмне забезпечення для вимагання викупу 2026 року в кінцевому підсумку показує, чому кількість жертв сама по собі вже недостатня. Загроза зростає завдяки комбінації тривалого обсягу, високовиробничих операторів програмного забезпечення для вимагання викупу як сервісу, розширеного націлювання на середній ринок, використання ланцюга постачань та нижчих операційних витрат. Закриття інциденту може відновити нормальну діяльність, але зниження ризику іншого інциденту вимагає лікування експозиції як тривалої умови, а не випадку, який закінчується, коли процес відновлення завершено.