Хакеры-вымогатели не только шифруют данные, но и угрожают физической расправой сотрудникам атакованных компаний

Операторы шифровальщиков больше не ограничиваются блокировкой серверов и требованием выкупа. По данным отчёта Semperis 2026 Ransomware Risk Report, в 37% опрошенных организаций преступники угрожали родственникам или друзьям сотрудников, чтобы выжать из компании максимум. Опрос охватил 1200 специалистов по ИТ и защите информации из организаций, которые пережили минимум одну успешную атаку вымогателей.

Респонденты описывали запугивающие сообщения, слежку и угрозы физической расправы, причём давят сразу на сотрудников, которые разгребают инцидент, и на руководство, которое решает платить или нет. Генеральный директор Semperis Микки Бресман отметил, что участники группировок готовы причинять не только цифровой, но и физический вред ради выплат. Среди методов давления участники опроса назвали:

• сообщения с угрозами;
• слежку за сотрудниками;
• обещания физической расправы;
• сваттинг и публикацию личных данных.

Примерно четверть респондентов рассказала, что после угроз сотрудникам или их родственникам потребовалась медицинская либо психологическая помощь. Со сваттингом, то есть ложными сообщениями о чрезвычайном происшествии, столкнулись 23% организаций, и после такого звонка полиция или вооружённые спецподразделения могут нагрянуть к ничего не подозревающему человеку.

Интересно, что спецназ может приехать к человеку, который вообще ни при чём, и для этого хватает одного ложного звонка.

Доксинг, то есть публикация личных данных без согласия владельца, тоже оказался в арсенале вымогателей. Некоторым сотрудникам приходилось:

• обзаводиться охраной;
• менять работу;
• менять место службы;
• переезжать на новое жильё.

Хвост взлома тянется за человеком и после того, как техническая часть закрыта. Российских пользователей это касается напрямую, потому что утечки персональных данных в наших краях случаются регулярно, а из готовых баз досье на человека собирается за пару вечеров.

Исследователи советуют заранее распределять обязанности при реагировании на инциденты и прописывать порядок действий на случай угроз за пределами рабочего пространства, в том числе когда шантажируют близких сотрудников. Контакты правоохранителей лучше иметь под рукой до атаки, чтобы не гуглить их в разгар кризиса.

Старший консультант Semperis по реагированию на инциденты Тим Бисли рассказал, что руководители подразделений защиты информации порой были готовы уволиться из-за эмоционального истощения, а часть специалистов уходила после того, как руководство возлагало на них вину за взлом. По оценке Тима Бисли, подобные кризисы наносят серьёзный психологический ущерб людям, которым одновременно надо поднимать инфраструктуру и отбиваться от претензий начальства.

Несколько успешных атак вымогателей за последние 12 месяцев пережили 69% организаций. Повторные проникновения показывают, что одного закрытого инцидента мало, надо выяснить, как преступники попали внутрь и чем планируют вернуться. После атаки специалистам приходится проверять:

• серверы;
• учётные записи;
• сетевую инфраструктуру;
• вредоносные компоненты и лазейки, которые оставили злоумышленники.

Бэкдоры, заражённые устройства и скомпрометированные аккаунты пускают атакующих обратно даже после того, как основные сервисы снова работают. Бизнесу нужно вернуться в строй быстрее, поэтому хочется врубить приложения сразу после восстановления бэкапов, но торопливый запуск без подтверждения, что нарушители остались без доступа, открывает им дверь для второго захода.

Выкуп платили 59% опрошенных организаций ради защиты данных клиентов, сокращения простоя и репутации, а некоторые не могли самостоятельно выгнать злоумышленников из инфраструктуры. Перевод денег не гарантирует возврата файлов или полноценного доступа.

Стоит обратить внимание, что даже рабочий ключ расшифровки не гарантирует чистую инфраструктуру, а сами дешифраторы бывают с багами и вредоносными вставками.

В 87% рассмотренных случаев преступники атаковали слабые места инфраструктуры управления цифровыми личностями, то есть Active Directory, Microsoft Entra ID и Okta, которые отвечают за учётные записи, вход в сервисы и права доступа. Для российских компаний это повод напрячься, ведь Active Directory до сих пор крутится во множестве корпоративных сетей, а вымогатели паспорт юрлица не проверяют.

Получив контроль над этими инструментами, злоумышленники ходят по связанным приложениям, повышают привилегии и мешают восстановлению. Сменить пароли и поднять серверы мало, надо понять, какие аккаунты остались доверенными и не сохранили ли преступники возможность рулить доступами. Примерно у половины участников есть отдельные бэкапы систем идентификации, чтобы не тащить в новую инфраструктуру настройки, которые мог поменять атакующий. Среди других препятствий респонденты назвали:

• развитие киберугроз;
• устаревшие информационные системы;
• накопленный технический долг;
• растущие требования регуляторов;
• давно не обновлявшиеся кризисные планы и слабую связь между подразделениями.

Эксперты CISOCLUB отметили, что борьба с вымогателями давно перестала сводиться к покупке очередного продукта и настройке бэкапов. Компаниям приходится одновременно считать технические риски, состояние людей на передовой, угрозы их близким и последствия шантажа. Подготовка должна покрывать не только момент проникновения, но и весь период восстановления, когда уставшие специалисты принимают решения под давлением.

Защита от вымогателей стала командной задачей для ИТ, руководителей, кадровых подразделений и тех, кто общается с правоохранителями. Если преступники готовы давить на семьи, планы реагирования потребуется заранее расширять пунктами про шантаж близких. Иначе даже восстановленные серверы не гарантируют, что кризис закончился.

Ранее сообщалось, что в третьем квартале 2026 года группировки вымогателей заявили о рекордных 2 627 кибератаках. По подсчётам аналитиков Comparitech, это на 27% больше, чем во втором квартале, и на 61% превышает показатель за аналогичный период 2025 года. Наиболее заметный рост числа инцидентов пришёлся на финансовую и технологическую отрасли, но атаки также затронули больницы, университеты, государственные учреждения и коммунальные предприятия. Кроме того, злоумышленники расширили методы давления, перейдя к тройному шантажу, при котором угрозы направлены в том числе на клиентов пострадавших организаций.