Докладът на IBM за разходите от пробив в данните за 2025 г. постави конкретна цифра на нещо, за което специалистите по сигурност предупреждават от години: искането за откуп никога не е реалната цена на атака с рансъмуер. Според доклада средната обща стойност на инцидент с рансъмуер достига 4,4 милиона долара, което е над 38 пъти повече от средния размер на искания откуп от 115 000 долара. Когато анализът се стесни до пробиви, включващи конкретно рансъмуер или изнудване, средната стойност нараства още повече – до 5,08 милиона долара.

За малките и средни предприятия (МСП) тези цифри не са абстрактни. Те представляват разликата между това, за което бизнесът заделя бюджет (плащане на откуп, което се надява никога да не направи), и това, което атаката реално източва от организацията, след като се отчетат възстановяването, престоят, правната експозиция и щетите върху репутацията.

Цифрите зад заглавието

38-кратният множител между искания откуп и общата стойност на инцидента е най-важната цифра в доклада на IBM и заслужава повече внимание, отколкото обикновено получава. Повечето разговори за рансъмуер се фокусират върху самия откуп: колко искат атакуващите, дали да се плати и как да се преговаря. Но данните на IBM подсказват, че фиксирането върху сумата на откупа скрива реалната финансова заплаха.

Искане за откуп от 115 000 долара звучи като управляем, макар и болезнен, бизнес разход. Обща стойност от 4,4 милиона долара е съвсем различен разговор – такъв, който засяга заплати, договори с доставчици, доверие на клиентите и в някои случаи – оцеляването на самия бизнес. Цифрата от 5,08 милиона долара за пробиви, свързани конкретно с рансъмуер и изнудване, потвърждава, че тази категория инциденти е сред най-скъпите видове пробиви в данните, пред които може да се изправи една организация.

Защо исканият откуп е най-малката част от сметката

Разликата между откупа и общата стойност съществува, защото рансъмуерът не просто криптира файлове – той нарушава операциите. Системите спират. Служителите нямат достъп до инструментите, от които се нуждаят, за да вършат работата си. Услугите, насочени към клиентите, спират да работят. Екипите по възстановяване трябва да бъдат включени, често на извънредна основа, за да изградят инфраструктурата от нулата, вместо просто да се доверят на ключ за декриптиране от атакуващия.

Върху оперативното прекъсване се добавят разходи, които се трупат дълго след като системите са възстановени: регулаторни уведомления, потенциални глоби, отлив на клиенти, правни такси и репутационният удар, който може да последва публичното оповестяване на пробив. По-широкото изследване на IBM за разходите от пробив в данните последователно показва, че тези последващи разходи, а не първоначалното искане за изнудване, формират по-голямата част от това, което организацията в крайна сметка харчи. Рансъмуерът просто концентрира всички тези разходи в по-кратък и хаотичен период.

Защо малките и средни предприятия са цел №1

МСП са привлекателни мишени именно защото обикновено разполагат с по-малки бюджети за сигурност и по-оскъдни ИТ екипи от големите предприятия, като същевременно често съхраняват ценни клиентски или финансови данни. Атакуващите знаят, че по-малката организация е по-малко вероятно да разполага с дублиращи се системи, специален екип за реагиране при инциденти или паричен резерв, за да понесе продължителен престой без сериозни последици.

Тази динамика се проявява видимо в последните кампании с рансъмуер. Групи като Qilin и The Gentlemen ескалират атаките специално срещу малки и средни предприятия, съревновавайки се за надмощие в пространството на рансъмуер-като-услуга, като се фокусират върху организации, които са по-малко подготвени да се защитават. Данните на IBM за разходите помагат да се обясни защо: за атакуващите МСП представляват комбинация от реален потенциал за изплащане и сравнително слаба защита – комбинация, която държи този сегмент твърдо на прицел.

Какво означава това за вас

Ако управлявате или работите в малък или среден бизнес, тези цифри трябва да променят начина, по който мислите за риска от рансъмуер. Релевантният въпрос не е „можем ли да си позволим да платим откуп, ако се стигне дотам“, а „можем ли да оцелеем след общата стойност на инцидента, включително седмици престой, разходи за възстановяване и последиците“. Тази обща стойност, според данните на IBM, се измерва в милиони, а не в десетки хиляди.

Това има и преки последици за поверителността. Инцидентите с рансъмуер често включват кражба на данни наред с криптирането, което означава, че личната информация на клиенти и служители може да бъде изложена, дори ако откупът бъде платен. Бизнесите, които третират рансъмуера чисто като риск от ИТ престой, подценяват задълженията за поверителност и спазване на нормативните изисквания, които следват пробив с откраднати данни.

Практически изводи

Като се има предвид мащабът на тези разходи, превенцията и готовността са много по-важни от стратегията за преговори. Няколко конкретни стъпки, на които си струва да се даде приоритет:

  • Поддържайте редовни, тествани резервни копия, които се съхраняват офлайн или по начин, който атакуващите не могат да достигнат и криптират заедно с основните ви системи.
  • Изградете план за реагиране при инциденти преди да се случи атака, а не по време на нея, включително ясни роли за това кой взема решения за престой, оповестяване и контакт с правоохранителните органи.
  • Инвестирайте в основна хигиена на сигурността: многофакторно удостоверяване, навременно обновяване на софтуера и осведоменост на служителите за фишинг, тъй като много инфекции с рансъмуер започват с едно компрометирано удостоверение или кликване върху имейл.
  • Запознайте се предварително със задълженията си за уведомяване при пробив на данни, тъй като рансъмуер, който включва кражба на данни, може да задейства законови изисквания независимо дали е платен откуп.

Констатациите на IBM за 2025 г. правят едно нещо ясно: искането за откуп отвлича вниманието от реалната финансова заплаха, която представлява рансъмуерът. За МСП преодоляването на разликата между искане от 115 000 долара и сметка от 4,4 милиона долара започва много преди атакуващият изобщо да изпрати първото съобщение.