Хакеры на 48% чаще стали атаковать компании с применением программ-вымогателей

Глобальная активность операторов программ-вымогателей резко ускорилась весной 2026 года. Только за май Check Point Software Technologies зафиксировала 698 публично известных атак, что на 48% превышает прошлогодний показатель и стало самым крупным годовым приростом с начала года.

Скачок выглядит парадоксально на фоне недавней операции Европола против криптовалютной площадки Audi A6, через которую, по версии следствия, проходили средства от киберпреступлений. Удар по теневой финансовой инфраструктуре не остановил атакующих и не сократил число инцидентов. Статистика фиксирует обратное движение, причём расширение угрозы идёт сразу по нескольким направлениям.

Прошлые волны атак часто привязывались к конкретному региону или одной активной группировке. Сейчас рост идёт практически везде, и масштаб происходящего заметно шире обычных сезонных колебаний.

Региональная разбивка выглядит так:

• Азия прибавила 119% атак за год;
• регион EMEA вырос на 40%;
• Северная и Южная Америка показали прирост 39%;
• ни один крупный регион не зафиксировал снижения активности.

Стоит обратить внимание, что синхронный рост во всех регионах редко бывает случайным и обычно говорит о масштабировании инструментария атакующих.

Главный удар принял на себя сектор бизнес-услуг. На его долю приходится 35% всех зарегистрированных жертв, а количество инцидентов в этой сфере выросло за год на 359%. Фактически именно бизнес-услуги превратились в основную мишень операторов шифровальщиков в 2026 году.

Высокую динамику показывают и смежные отрасли:

• потребительские товары и услуги выросли на 223%;
• производственный сектор прибавил 50% атак;
• промышленность остаётся в зоне повышенного риска;
• инциденты затрагивают объекты критически важных бизнес-процессов.

Омер Дембински, менеджер по исследованиям данных Check Point Research, прямо говорит, что организациям пора исходить из постоянного присутствия угроз внутри периметра, а не из эпизодических волн. Дембински добавляет, что стремительное распространение генеративного искусственного интеллекта в корпоративной среде дополнительно осложняет защиту. Новые модели открывают атакующим простор для автоматизации фишинга, разведки и подготовки полезной нагрузки.

Лидером мая стала группировка Qilin с долей 14% от всех инцидентов. После ослабления RansomHub команда Qilin резко нарастила присутствие на рынке, расширила сеть партнёров и увеличила количество публикаций о новых жертвах на собственных дата-лик-сайтах с начала 2025 года.

Интересно, что место крупного игрока, выбитого правоохранителями, занимает не один преемник, а сразу несколько конкурирующих структур.

Второе место заняла группа The Gentlemen с долей около 10% атак. Меньше чем за год она прошла путь от малоизвестного имени до одной из самых активных киберпреступных команд в мире, и сам факт такого роста показывает, насколько быстро меняется расстановка сил внутри экосистемы шифровальщиков.

Тройку замыкает DragonForce с показателем 8%. Команда работает по модели RaaS, предоставляя вредоносную платформу партнёрам по подписке или схеме разделения прибыли. DragonForce активно перетягивает к себе участников из распавшихся проектов и за последние месяцы провела ряд громких атак на крупные розничные сети Великобритании.

Параметры рынка перестраиваются быстрее, чем правоохранители успевают добивать отдельные сервисы. Преступная экосистема демонстрирует устойчивость к точечным ударам, успешные тактики мгновенно копируются между командами, а освободившиеся ниши заполняются за считаные недели.

Современный рынок шифровальщиков всё больше похож на полноценную теневую индустрию с партнёрскими программами, ролями разработчиков, операторов и переговорщиков, а также с отлаженной финансовой обвязкой. По этой причине даже громкие операции против отдельных площадок или сервисов редко приводят к долгосрочному снижению числа атак, а майские цифры подтверждают, что угроза не сжимается, а расширяется и охватывает всё больше потенциальных жертв.

Эксперты редакции CISOCLUB уверены, что нынешний всплеск отражает не временное колебание, а устойчивый сдвиг в экономике киберпреступности. Закрытие одной площадки уже не ломает рынок, потому что финансовые потоки и партнёрские схемы дублируются между десятками сервисов. Бизнес-услуги останутся приоритетной мишенью ещё минимум год, поскольку именно через них атакующие выходят на цепочки клиентов. Корпоративное внедрение генеративных моделей без зрелых процессов безопасности станет дополнительным ускорителем атак уже в ближайших кварталах. Российским компаниям имеет смысл готовиться к сценарию, где средний размер выкупа и скорость шифрования будут расти параллельно автоматизации со стороны злоумышленников.