Báo cáo Tấn công Tống tiền của Black Kite năm 2026 Tìm thấy Một Nền Kinh Tế Đe Dọa Nhanh Chóng và Phân Mảnh Hơn

Báo cáo Tấn công Tống tiền năm 2026 của Black Kite mô tả một thị trường tống tiền không còn được định nghĩa bởi một băng nhóm thống trị, một vụ takedown gây chú ý hoặc một phương pháp tấn công duy nhất. Giữa ngày 1 tháng 4 năm 2025 và ngày 31 tháng 3 năm 2026, công ty đã xác định 7.551 nạn nhân bị tiết lộ công khai, tăng từ 6.046 trong giai đoạn báo cáo trước đó. Điều quan trọng hơn là sự gia tăng tổng thể, tuy nhiên, là cách tăng trưởng xảy ra. Hoạt động tăng tốc mạnh mẽ trong nửa cuối năm, các nhóm tống tiền mới xuất hiện với tốc độ nhanh và các nền tảng phần mềm đáng tin cậy ngày càng trở thành các tuyến đường vào các tổ chức có thể đã bảo mật môi trường nội bộ của mình.

Sự Phát Triển Của Tấn Công Tống Tiền Đã Thay Đổi Hình Dạng

Black Kite đã theo dõi các tiết lộ về tống tiền kể từ năm 2022, khi giai đoạn báo cáo đầu tiên của họ ghi nhận khoảng 2.700 nạn nhân. Tổng số đó sau đó tăng lên 4.893, sau đó là 6.046 và hiện tại là 7.551, nhưng sự tăng trưởng hàng năm không phản ánh đầy đủ cách hoạt động tăng tốc mạnh mẽ trong giai đoạn gần đây.

Sáu tháng đầu tạo ra 2.904 nạn nhân, so với 4.647 từ tháng 10 năm 2025 đến tháng 3 năm 2026. Tháng 3 alone kết thúc với 861 nạn nhân bị tiết lộ công khai, tổng số hàng tháng cao nhất Black Kite đã ghi nhận trong bốn năm. Động lực cũng tiếp tục vượt quá thời điểm cắt báo cáo, với 2.230 nạn nhân khác được quan sát từ tháng 4 đến tháng 6 năm 2026.

Không giống như các chu kỳ tống tiền trước đó, sự gia tăng này không được thúc đẩy bởi một nhóm thống trị hoặc một sự kiện lớn duy nhất. Nó phản ánh nhiều nhà vận hành mở rộng cùng một lúc, các nhóm thành lập mở rộng mạng lưới đại lý của họ và các entrant mới tìm cách tham gia với chi phí thấp hơn.

Thị Trường Đông Đúc Vẫn Có Các Nhà Lãnh Đạo Quyền Năng

Tấn công tống tiền không còn được kiểm soát bởi một số băng nhóm tội phạm có tổ chức. Nó ngày càng hoạt động như một nền kinh tế dịch vụ. Các nhà vận hành cốt lõi phát triển phần mềm độc hại, duy trì các trang web rò rỉ, xử lý thanh toán và cung cấp cơ sở hạ tầng, trong khi các đại lý tìm cách vào mạng doanh nghiệp và triển khai các cuộc tấn công. Mô hình này cho phép các nhóm mở rộng nhanh chóng mà không cần mọi người tham gia có kỹ năng kỹ thuật tiên tiến.

Black Kite đã xác định 127 nhóm tống tiền hoạt động trong giai đoạn báo cáo, bao gồm 61 nhóm xuất hiện lần đầu tiên. Một số là các hoạt động hoàn toàn mới, trong khi những nhóm khác có thể là các thương hiệu lại hoặc các nhóm tách ra sau khi các tổ chức thành lập biến mất. Kết quả là một thị trường linh hoạt hơn trong đó các diễn viên có thể di chuyển giữa các thương hiệu, tái sử dụng công cụ hoặc ra mắt các trang web rò rỉ mới mà không cần xây dựng lại hoạt động từ đầu.

Mặc dù sự phân mảnh này, một số nhỏ các nhóm vẫn tạo ra một lượng lớn hoạt động. Qilin là ví dụ nổi bật nhất, tuyên bố 1.358 nạn nhân trong suốt năm, gần gấp đôi so với đối thủ cạnh tranh gần nhất. Nhóm này hoạt động thông qua một mô hình tống tiền như một dịch vụ cung cấp cho các đại lý quyền truy cập vào công cụ tấn công trong khi tập trung hóa các chức năng như đàm phán, thanh toán và tiết lộ nạn nhân.

Các thương hiệu khác theo các con đường khác nhau. RansomHub, từng là một trong những hoạt động hàng đầu trong giai đoạn trước, ngừng đăng nạn nhân vào đầu năm 2026. LockBit trở lại sau sự gián đoạn trước đó, nhưng 186 nạn nhân được tuyên bố cho thấy sự phục hồi hạn chế chứ không phải sự trở lại ảnh hưởng trước đây.

Các thay đổi này cho thấy tại sao các thương hiệu tống tiền không nên được xem như các công ty thông thường. Một nhóm có thể biến mất trong khi các đại lý, kỹ thuật và cơ sở hạ tầng của họ tiếp tục dưới các tên khác. Các nhà vận hành có thể đóng cửa sau hành động thực thi pháp luật, tranh chấp nội bộ hoặc sự mất lòng tin, chỉ để các chiến thuật quen thuộc tái xuất hiện thông qua một trang web rò rỉ mới vài tuần sau đó.

Thị trường đã trở nên đông đúc và tập trung hơn. Các entrant mới có thể xuất hiện nhanh chóng, nhưng quy mô vẫn phụ thuộc vào việc tiếp cận đáng tin cậy, các đại lý có kinh nghiệm, cơ sở hạ tầng thanh toán và danh tiếng cung cấp phần mềm độc hại hoạt động như mong đợi.

Hồ Sơ Mục Tiêu Đang Thay Đổi

Các cuộc tấn công tống tiền thường bắt đầu với việc truy cập chứ không phải mã hóa. Kẻ tấn công có thể khai thác một hệ thống đối mặt với internet không được vá, đánh cắp thông tin đăng nhập từ thiết bị của nhân viên, lạm dụng phần mềm truy cập từ xa hoặc lừa đảo bộ phận hỗ trợ vào việc đặt lại tài khoản. Một khi bên trong, họ cố gắng di chuyển qua tổ chức, xác định các hệ thống có giá trị, sao chép dữ liệu nhạy cảm và tạo đủ áp lực hoạt động hoặc danh tiếng để đòi thanh toán.

Hoa Kỳ vẫn là quốc gia bị nhắm mục tiêu thường xuyên nhất trong dữ liệu của Black Kite, chiếm gần một nửa số nạn nhân được quan sát. Tuy nhiên, hoạt động tống tiền đã mở rộng nhanh hơn ở một số thị trường khác. Đức, Pháp, Tây Ban Nha và Ý đều ghi nhận tăng trưởng đáng kể, trong khi một số quốc gia châu Á cũng trải qua sự tăng trưởng mạnh từ các điểm xuất phát nhỏ hơn.

Sự phân bố địa lý rộng hơn này phản ánh một thị trường trong đó các đại lý ngày càng theo đuổi bất kỳ tổ chức nào có thể tiếp cận được thay vì giới hạn mình trong một tập hợp các quốc gia hẹp. Các rào cản ngôn ngữ và kiến thức khu vực từng làm cho việc mở rộng quốc tế trở nên khó khăn hơn. Dịch tự động, các công cụ trinh sát rộng rãi và cơ sở hạ tầng tội phạm chung đã giảm bớt một số ma sát đó.

Sản xuất vẫn là ngành bị nhắm mục tiêu nhiều nhất, với 1.660 nạn nhân được tiết lộ. Các nhà sản xuất hấp dẫn vì ngay cả một sự gián đoạn ngắn cũng có thể làm gián đoạn sản xuất, trì hoãn đơn đặt hàng và ảnh hưởng đến nhà cung cấp và khách hàng. Nhiều nhà sản xuất cũng vận hành một hỗn hợp của các hệ thống kinh doanh hiện đại và công nghệ hoạt động cũ hơn, tạo ra các môi trường có thể khó vá hoặc tạm thời ngắt kết nối.

Dịch vụ chuyên nghiệp, khoa học và kỹ thuật đứng thứ hai. Các công ty này thường nắm giữ thông tin nhạy cảm thuộc về nhiều khách hàng, có nghĩa là một xâm nhập có thể tạo ra áp lực xa vượt quá nạn nhân ban đầu. Các công ty luật, công ty kỹ thuật, tư vấn và nhà cung cấp công nghệ cũng có thể sở hữu thông tin đăng nhập hoặc quyền truy cập có thể dẫn kẻ tấn công vào các tổ chức khác.

Xây dựng đã chuyển vào vị trí thứ ba, phản ánh sự phụ thuộc của lĩnh vực này vào các đội dự án phân tán, nhà thầu, ứng dụng đám mây và hệ thống thanh toán. Chăm sóc sức khỏe vẫn bị nhắm mục tiêu nặng nề vì gián đoạn dịch vụ có thể nhanh chóng trở thành vấn đề hoạt động và an toàn công cộng.

Báo cáo cũng cho thấy kẻ tấn công đặt nhiều trọng tâm hơn vào các tổ chức cỡ trung. Các công ty tạo ra giữa 10 triệu và 100 triệu đô la chiếm phần lớn hoạt động được quan sát. Các doanh nghiệp này có thể nắm giữ dữ liệu có giá trị và có khả năng trả tiền, nhưng thường thiếu các đội bảo mật chuyên dụng và các biện pháp phòng thủ phân lớp có sẵn cho các doanh nghiệp lớn nhất.

Điều này không có nghĩa là các tập đoàn lớn đang bị bỏ qua. Thay vào đó, các nhà vận hành tống tiền dường như đang cân bằng các khoản thanh toán tiềm năng với chi phí và khó khăn của một cuộc tấn công. Một nhà sản xuất nhỏ, nhà thầu khu vực hoặc công ty dịch vụ chuyên nghiệp có thể cung cấp một con đường nhanh hơn đến sự gián đoạn so với một tổ chức đa quốc gia có nguồn lực giám sát và ứng phó sự cố rộng rãi.

Các Nền Tảng Đáng Tin Cậy Trở Thành Một Phần Của Bề Mặt Tấn Công

Một số vụ việc quan trọng nhất trong năm không bắt đầu từ bên trong mạng cốt lõi của nạn nhân. Chúng di chuyển qua các tích hợp Phần mềm như một Dịch vụ, token OAuth, ứng dụng kế hoạch nguồn lực doanh nghiệp, nền tảng hỗ trợ và các hệ thống khác kết nối với dữ liệu kinh doanh nhạy cảm.

Báo cáo nhấn mạnh các chiến dịch liên quan đến Salesforce (CRM ) token OAuth bị xâm phạm như ví dụ về cách ủy quyền được委托 có thể trở thành một con đường tấn công. Các token OAuth liên kết với các ứng dụng kết nối được cho là đã cung cấp cho kẻ tấn công quyền truy cập vào môi trường Salesforce của khách hàng. Các tích hợp với nền tảng dịch vụ khách hàng và thành công của khách hàng tạo ra các tuyến đường bổ sung đến dữ liệu.

Trong những trường hợp này, một tổ chức có thể duy trì các biện pháp kiểm soát nội bộ mạnh mẽ và vẫn bị lộ thông qua mối quan hệ với nhà cung cấp mà họ không hiểu đầy đủ hoặc giám sát. Một token được cấp phát vài tháng trước, một ứng dụng được cấp phép quá mức hoặc một tài khoản hỗ trợ không được bảo mật đúng cách có thể cung cấp cho kẻ tấn công quyền truy cập mà không cần một nhiễm malware truyền thống.

Oracle E-Business Suite minh họa cho phiên bản khai thác hàng loạt của vấn đề tương tự. Black Kite mô tả một chiến dịch liên quan đến việc tuyên bố đánh cắp dữ liệu từ môi trường Oracle EBS và có thể khai thác CVE-2025-61882 trước khi có bản vá.

Hoạt động sau giai đoạn liên quan đến PeopleSoft củng cố bài học rộng hơn. Một nền tảng phơi bày có thể tạo ra một nhóm lớn các nạn nhân, biến kiểm soát danh tính của nhà cung cấp, quyền, lỗ hổng hoặc phơi bày thành một phần của sự phơi bày tống tiền của mỗi khách hàng.

Các Dấu Hiệu Cảnh Báo Thường Còn Hiển Hiện

Phân tích trước khi tiết lộ của Black Kite cho thấy nhiều nạn nhân đã hiển thị các điểm yếu có thể quan sát được bên ngoài trước khi xuất hiện trên các trang web rò rỉ tống tiền. Các cấu hình bảo mật không đúng đã có mặt trong hơn hai phần ba dân số được phân tích, trong khi các dịch vụ truy cập từ xa được暴露, lỗ hổng phần mềm, miền lừa đảo và thông tin đăng nhập bị đánh cắp cũng xuất hiện thường xuyên.

Hơn 60% mang ít nhất một trong ba phát hiện liên quan đến tống tiền: một lỗ hổng phần mềm đã biết, phơi bày thông tin đăng nhập hoặc nhật ký stealer. Gần một trong mười mang tất cả ba.

Các tín hiệu này không chứng minh điểm yếu nào gây ra sự xâm nhập cụ thể. Một tổ chức có thông tin đăng nhập bị lộ có thể cuối cùng bị xâm phạm thông qua một lỗ hổng khác. Tuy nhiên, các phát hiện cho thấy nhiều nạn nhân tương lai đã được hiển thị như các mục tiêu hấp dẫn trước khi một cuộc tấn công trở nên công khai.

Chỉ số Khả năng Tống Tiền của báo cáo cố gắng đo lường sự phơi bày này một cách trực tiếp hơn. Black Kite đã tìm thấy rằng các công ty trong băng tần rủi ro cao nhất có nhiều khả năng trải qua một sự cố tống tiền được tiết lộ hơn so với các tổ chức trong băng tần thấp nhất.

Bài học thực tế là rủi ro tống tiền không được phân bố đều. Kẻ tấn công thường tập trung vào các tổ chức nơi nhiều điểm yếu chồng chéo, đặc biệt khi các hệ thống không được vá, thông tin đăng nhập bị lộ và các kiểm soát danh tính permissive tạo ra nhiều điểm vào có thể.

Tỷ Lệ Thanh Toán Thấp Hơn Đang Thay Đổi Chiến Thuật Tống Tiền

Thị trường tống tiền đã mở rộng ngay cả khi hành vi thanh toán trở nên ít đáng tin cậy hơn. Black Kite không đo lường trực tiếp các khoản thanh toán tống tiền, nhưng so sánh một số tập dữ liệu phản ứng sự cố bên ngoài cho thấy ít nạn nhân chọn trả tiền.

Một tập dữ liệu báo cáo tỷ lệ thanh toán là 26% trong quý thứ hai của năm 2025. Một tập dữ liệu khác đặt tỷ lệ này ở mức 23% trong quý tiếp theo, trong khi các sự cố chỉ liên quan đến việc trích xuất dữ liệu tạo ra tỷ lệ 19%. Những con số này đến từ các dân số khác nhau và không nên được đọc như một phép đo liên tục trên toàn thị trường, nhưng chúng chỉ theo cùng một hướng.

Các khoản thanh toán từ các tổ chức trả tiền để phục hồi dữ liệu vẫn có thể đáng kể. Một tập dữ liệu được trích dẫn trong báo cáo tìm thấy khoản thanh toán trung vị là 1 triệu đô la trong số các tổ chức được khảo sát đã trả tiền để phục hồi dữ liệu.

Tỷ lệ chuyển đổi thấp hơn không nhất thiết làm cho tống tiền ít lợi nhuận hơn. Thay vào đó, chúng có thể đẩy các nhà vận hành để theo đuổi nhiều nạn nhân hơn, giảm chi phí của mỗi cuộc tấn công hoặc áp dụng nhiều hình thức áp lực hơn. Mã hóa hiện thường được kết hợp với việc trích xuất dữ liệu, tiết lộ công khai, giả mạo, liên hệ trực tiếp với khách hàng và các mối đe dọa liên quan đến các cơ quan quản lý hoặc đối tác kinh doanh.

Khi ít nạn nhân trả tiền chỉ để phục hồi hệ thống mã hóa, kẻ tấn công có động lực để tạo ra các hậu quả vẫn còn tồn tại ngay cả sau khi các bản sao lưu được phục hồi.

Phục Hồi Không Có Nghĩa Là Sự Phơi Nhiễm Đã Biến Mất

Các phát hiện sau sự cố của báo cáo là một trong những điều đáng lo ngại nhất. Một số biện pháp bảo mật bề mặt đã được cải thiện sau khi các nạn nhân tiết lộ các cuộc tấn công. Các xếp hạng mạng trung bình tăng, trong khi hoạt động botnet trung bình giảm.

Các chỉ số cụ thể của tống tiền thường di chuyển theo hướng ngược lại. Phơi bày nhật ký stealer tăng đáng kể trong so sánh sau sự cố, trong khi khả năng bị tống tiền và phơi bày lỗ hổng phần mềm cũng tăng lên trong số nhiều nạn nhân.

Mẫu cho thấy các tổ chức có thể sửa các vấn đề vệ sinh rõ ràng nhất nhưng để lại các điều kiện làm cho chúng hấp dẫn đối với kẻ tấn công. Một công ty có thể đóng lỗ hổng được cho là gây ra sự xâm nhập ban đầu nhưng không thu hồi thông tin đăng nhập bị đánh cắp, xem xét lại quyền truy cập của nhà cung cấp, loại bỏ các tài khoản không hoạt động hoặc điều tra các hệ thống khác bị phơi bày.

Phân tích trạng thái hiện tại của Black Kite củng cố mối quan ngại này. Nhiều nạn nhân trước đó tiếp tục hiển thị các bản ghi bảo mật email không được cấu hình đúng, các lỗ hổng quan trọng không được vá, các lỗ hổng đã biết bị khai thác và thông tin đăng nhập của nhân viên được lưu hành trong nhật ký stealer.

Phản ứng sự cố thường được tổ chức xung quanh việc phục hồi hoạt động và chứa sự xâm nhập được xác nhận. Báo cáo lập luận rằng điều này là không đủ. Phục hồi nên bao gồm một đánh giá mới về toàn bộ bề mặt tấn công có thể quan sát được từ bên ngoài của tổ chức, không chỉ hệ thống liên quan đến sự cố ban đầu.

Trí Tuệ Nhân Tạo Đang Giảm Chi Phí Tham Gia

Báo cáo không lập luận rằng trí tuệ nhân tạo gây ra sự gia tăng của tống tiền. Thay vào đó, nó mô tả AI như một tăng lực làm cho công việc hiện có nhanh hơn và rẻ hơn.

Trinh sát có thể được tóm tắt nhanh hơn, các kịch bản phishing và voice-phishing có thể được bản địa hóa, các bản ghi bị đánh cắp có thể được tổ chức thành các câu chuyện thuyết phục hơn và các thông điệp đàm phán có thể được sản xuất bởi các nhóm nhỏ hơn. Các kẻ tấn công cấp thấp hơn cũng có thể sử dụng các công cụ hỗ trợ bởi AI để gỡ lỗi kịch bản, sửa đổi malware và tự động hóa các nhiệm vụ lặp đi lặp lại.

Tác động rõ ràng nhất hiện tại là trong lớp mặt người. Nhái giọng, lừa đảo đa ngôn ngữ, âm thanh giả, thao túng bộ phận hỗ trợ và thích nghi người thật sự có thể làm cho kỹ thuật xã hội trở nên dễ dàng hơn để mở rộng quy mô. AI có thể giúp một kẻ tấn công nghe có vẻ đáng tin cậy hơn trong một ngôn ngữ họ không nói hoặc sản xuất các thông điệp tùy chỉnh cho hàng trăm nhân viên mà không cần viết từng thông điệp một.

Black Kite chỉ ra các dấu hiệu đầu tiên của AI tham gia vào cả việc thực hiện kỹ thuật và thương hiệu tống tiền. Rủi ro gần hạn là không nhất thiết phải là tống tiền tự động hoàn toàn. Thay vào đó, nó là các hoạt động tội phạm bán tự động trong đó các nhóm nhỏ hơn có thể thực hiện công việc từng yêu cầu nhiều thời gian, chuyên môn và phối hợp.

AI không loại bỏ nhu cầu về quyền truy cập hoặc các nhà vận hành có kỹ năng. Nó giảm ma sát giữa các giai đoạn của một cuộc tấn công và cung cấp cho nhiều người tham gia khả năng hành động như các doanh nghiệp tống tiền có tổ chức.

Ảnh Hưởng Tương Lai

Thông điệp trung tâm là tống tiền đang phát triển từ một thị trường do một số thương hiệu đáng kể dẫn đầu thành một hệ sinh thái rộng lớn và được vận hành hơn. Các nhà bảo vệ vẫn phải vá các lỗ hổng, bảo mật các điểm cuối, nhưng dữ liệu chỉ ra một trách nhiệm rộng hơn bao gồm việc liên tục xem xét lại quyền truy cập của nhà cung cấp, tích hợp Phần mềm như một Dịch vụ, kiểm soát danh tính, cơ sở hạ tầng email, thông tin đăng nhập bị lộ và các điều kiện sau sự cố.

Các tổ chức cũng nên xem xét lại cách họ đo lường phục hồi. Phục hồi hệ thống có thể đóng sự cố ngay lập tức, nhưng nó không chứng minh rằng thông tin đăng nhập bị đánh cắp đã bị thu hồi, các quyền truy cập quá mức của nhà cung cấp đã bị loại bỏ hoặc các tài sản bị phơi bày khác đã được giải quyết.

Báo cáo Tấn công Tống Tiền năm 2026 cuối cùng cho thấy tại sao số lượng nạn nhân alone không còn đủ. Nguy cơ đang phát triển thông qua sự kết hợp của khối lượng bền vững, các nhà vận hành tống tiền như một dịch vụ có sản lượng cao, mở rộng mục tiêu thị trường trung bình, đòn bẩy chuỗi cung ứng và chi phí vận hành thấp hơn. Việc đóng một sự cố có thể phục hồi hoạt động bình thường, nhưng giảm khả năng xảy ra một sự cố khác đòi hỏi phải coi sự phơi nhiễm như một tình trạng liên tục chứ không phải là một trường hợp kết thúc khi quá trình phục hồi được hoàn thành.