Из-за конкуренции между хакерами-вымогателями количество атак шифровальщиков выросло до 2,9 тыс. за квартал
изображение: grok
Nord Security насчитала 2894 атаки программ-вымогателей в третьем квартале 2026 года. Это на 50% больше, чем за тот же период прошлого года, и на 8,6% больше, чем во втором квартале. Лидируют группировки The Gentlemen и Qilin, которые борются за партнёров и жертв, а часть атак обходится без шифрования файлов.
Новые игроки на освободившемся месте
Отчёт Nord Security опубликовали 21 октября. Аналитики связывают рост числа атак с борьбой конкурирующих группировок за жертв и с перестройкой подполья после действий правоохранителей против крупных операторов вымогательского ПО. После ударов по LockBit, BlackCat и RansomHub активность вымогателей в 2025 году снизилась, но освободившееся место долго оставалось пустым. Затем пришли новые претенденты, которые хотят перехватить партнёров и закрепиться на рынке цифрового шантажа.
Вице-президент Nord Security по исследованиям и разработке продуктов Вакарис Норейка отметил, что рынок постепенно приспосабливается к новым условиям. По его словам, нынешние цифры говорят о начале очередного этапа в развитии вымогательского бизнеса.
Больше всего инцидентов, привязанных к конкретным группам, зафиксировано у трёх операторов:
- The Gentlemen с 383 атаками;
- Qilin с 363 атаками;
- Inc Ransom со 110 атаками.
Почти до сотни инцидентов добрались Krybit, Akira, Deadlock и Clop Leaks, но The Gentlemen и Qilin заметно опережают остальных. Разрыв между лидерами составил всего 20 случаев, и в 2026 году они уже несколько раз менялись местами в рейтинге самых активных операторов.
Невыплаченная доля и ставка в 90%
Старший исследователь киберугроз Nord Security Мантас Сабецкис изучил закрытые форумы и нашёл сведения о предполагаемой связи основателя The Gentlemen с одной из ведущих партнёрских команд Qilin. По его версии, конфликт развивался в несколько шагов:
- основатель The Gentlemen работал с одной из самых успешных аффилиатских команд Qilin;
- ему не выплатили причитающуюся долю дохода;
- попытка добиться справедливости на подпольном форуме закончилась неудачей;
- он создал собственную группировку и позвал коллег за собой.
Партнёрам новичок предложил 90% выручки от выкупа, тогда как обычные условия на этом рынке составляют от 70 до 80%. Когда партнёры свободно переходят от одного оператора к другому, размер выплат влияет на баланс сил не меньше технической подготовки.
Шантаж без шифрования
Обе ведущие группировки используют схемы, при которых файлы жертвы можно не шифровать. Преступники копируют конфиденциальные данные и угрожают опубликовать их, если организация откажется платить. Мантас Сабецкис объяснил рост числа подобных операций простотой кражи информации. По его оценке, переход к хищению данных без обязательного шифрования мог стать одним из факторов роста числа нападений, ведь одна группа атакует больше организаций и тратит меньше ресурсов на каждый инцидент.
Схема без шифрования упрощает работу злоумышленникам по нескольким причинам:
- не нужно тратить время на массовое шифрование файлов;
- не нужно запускать вредоносные инструменты на каждом заражённом устройстве;
- достаточно получить доступ к ценным сведениям, скопировать их и предъявить владельцу требование о выплате.
Классические программы-вымогатели никуда не исчезли, и шифрование остаётся инструментом давления, которое преступники нередко сочетают с угрозой раскрыть украденное. Наличие резервных копий само по себе не избавляет от последствий атаки, ведь компания способна восстановить системы, но похищенные документы, сведения о клиентах и внутренние материалы остаются у преступников. Российскому бизнесу стоит учитывать и юридическую сторону, потому что за утечки персональных данных в России действуют штрафы, а за повторные случаи они считаются от годовой выручки компании.
Давно знакомые лазейки
Первоначальный доступ к корпоративным системам меняется медленнее, чем состав группировок. Аналитики отметили, что злоумышленники по-прежнему используют украденные или скомпрометированные пароли, отсутствие многофакторной аутентификации и неисправленные уязвимости в программах. Незащищённая учётная запись или забытое обновление продолжают открывать преступникам дорогу внутрь, даже если операторы меняют инструменты, партнёров и способы давления.
Вакарис Норейка обратил внимание, что состав лидеров рынка регулярно меняется, а способы первоначального проникновения остаются во многом прежними. По его оценке, устранение подобных уязвимостей снижает значительную часть рисков, какая бы группировка ни возглавила рейтинг.
Для российских пользователей и компаний выводы те же, ведь украденные пароли, учётные записи без второго фактора и забытые обновления встречаются и в отечественных сетях. Базовый набор мер остаётся прежним, даже когда преступники меняют тактику вымогательства:
- многофакторная аутентификация;
- своевременная установка обновлений;
- контроль доступа;
- защита учётных записей.
Эксперты CISOCLUB отметили, что борьба за партнёров превращает вымогательский рынок в соревнование за рабочую силу, где ставка в 90% выручки работает как вербовочный плакат. Когда аффилиаты свободно переходят между операторами, исчезновение одной группировки не снижает число атак, потому что те же исполнители быстро находят нового хозяина. Защита не должна зависеть от названия лидера рейтинга и строится вокруг входных точек, то есть паролей, удалённого доступа и уязвимостей на периметре.
Кража данных без шифрования требует отдельных мер, от контроля исходящего трафика и сегментации сети до шифрования хранилищ с данными клиентов. Резервные копии остаются обязательными, но закрывают лишь половину задачи, ведь они не вернут украденное. Многофакторная аутентификация и аудит учётных записей остаются самыми дешёвыми мерами против большинства описанных атак.
Ранее сообщалось, что операторы программ-вымогателей прибегают не только к шифрованию данных и блокировке серверов, но и к угрозам в адрес сотрудников атакованных компаний и их близких. Согласно отчёту Semperis 2026 Ransomware Risk Report, в 37% опрошенных организаций злоумышленники угрожали родственникам или друзьям работников, пытаясь добиться максимального выкупа. В исследовании участвовали 1200 специалистов по ИТ и защите информации из организаций, переживших как минимум одну успешную атаку вымогателей.
