Rapid7: хакеры-вымогатели заработали $500 млн за I квартал и продолжают расти быстрее многих компаний

Группировки, стоящие за программами-вымогателями, открыли 2026 год с впечатляющими финансовыми результатами. По данным нового исследования Rapid7, за первый квартал они получили около 529,2 млн долларов, что на 39% превышает показатель аналогичного периода прошлого года. Пока легальный бизнес обсуждает цифровую трансформацию, киберпреступный рынок демонстрирует собственную версию корпоративного роста.

Аналитики Rapid7 пришли к этим выводам после изучения телеметрии и активности вымогательских группировок. Рынок ransomware давно перестал напоминать хаотичный набор разрозненных банд. Сегодня это полноценная индустрия с распределением ролей, подрядчиками, посредниками и собственной теневой экономикой.

Одним из самых успешных игроков остаётся группировка Qilin. С июля 2025 года по март 2026 года её доходы достигли примерно 193 млн долларов. Группа Gentleman за тот же период заработала около 52 млн долларов. И это лишь те суммы, которые удалось оценить по доступным данным, реальные цифры могут оказаться заметно выше.

Рост почти на 40% выглядит показательным, если учитывать, что рынок кибервымогательства существует уже много лет. Обычно по мере взросления отрасли темпы увеличения доходов замедляются. В мире ransomware всё происходит наоборот. Преступные схемы становятся проще для масштабирования, а входной билет для новых участников заметно дешевеет.

В Rapid7 связывают одну из главных причин с появлением брокеров первоначального доступа. Эти игроки специализируются на проникновении в корпоративные сети и последующей продаже доступа заинтересованным покупателям. Раньше злоумышленникам приходилось самостоятельно искать уязвимости и закрепляться внутри инфраструктуры, теперь значительную часть этой работы можно просто купить.

Рынок начал работать по принципу конструктора:

• одни преступники ищут жертв и собирают разведданные;
• другие продают доступ к взломанным сетям;
• третьи разрабатывают вредоносное ПО под аренду;
• четвёртые ведут переговоры с пострадавшими компаниями;
• пятые отвечают за отмывание денег и вывод криптовалюты.

Получается своеобразная специализация труда, которая повышает эффективность и снижает порог входа для новичков. Вымогательская индустрия всё больше напоминает коммерческий сектор, разница лишь в том, что вместо программного обеспечения и консалтинга здесь продаются инструменты для атак и шантажа. В пресс-релизе Rapid7 говорится о смещении киберпреступности от узкой разработки вредоносов к зрелому подпольному рынку услуг.

Подобная модель серьёзно меняет правила игры. Если раньше для проведения атаки требовались солидные технические знания, то теперь многие процессы можно передать другим участникам теневой экосистемы. Число потенциальных операторов ransomware растёт, а сами атаки становятся массовее.

Любопытно, что исследователи сравнили показатели вымогательских групп с результатами крупных публичных компаний. Ни одна организация из индекса FTSE 350 не продемонстрировала сопоставимую динамику роста. Сравнение выглядит провокационным, но хорошо показывает масштаб проблемы. Некоторые преступные структуры демонстрируют эффективность, которой могли бы позавидовать вполне законные корпорации.

Технический директор Rapid7 в регионе EMEA Том Лэнгфорд обращает внимание на ещё одну особенность. По словам Тома Лэнгфорда, вымогательские группировки построены так, чтобы сохранять работоспособность даже после серьёзных ударов со стороны правоохранительных органов. Ликвидация отдельного сервера, инфраструктурного узла или даже всей группы редко приводит к разрушению экосистемы целиком.

Живучесть рынка объясняется его устройством. Когда одна группировка исчезает, её место быстро занимают другие. Инструменты продолжают распространяться, брокеры доступа работают дальше, а инфраструктура перестраивается под новые бренды. Для правоохранительных органов это напоминает борьбу не с одной организацией, а с постоянно обновляющейся сетью взаимосвязанных участников.

Ранее сообщалось, что 58% директоров по информационной безопасности готовы рассматривать выплату выкупа после атаки программ-вымогателей, если это позволит быстро восстановить работу систем. Согласно отчёту Absolute Security от 13 мая, многие руководители служб ИБ опасаются длительного простоя сильнее, чем самой суммы выкупа. Для преступников подобная статистика становится дополнительным подтверждением того, что их бизнес-модель продолжает приносить результат.