Активността на рансъмуер достигна най-високото си ниво за 2026 г., а числата сочат ясна тенденция: индустриалните организации поеха 31% от атаките, докато Qilin оглави активните групи. За всеки, който следи атаките на Qilin срещу индустриалния сектор, последните доклади показват, че заплахата не се изчерпва само със заключени системи. Тя включва и откраднати данни.

Рансъмуерът достигна най-високото си ниво за 2026 г.

Според доклада на Industrial Cyber активността на рансъмуер се изкачи до най-високото си ниво досега тази година, като индустриалните организации представляват 31% от атаките. Qilin беше посочена като доминиращата група през този период. Данните идват от месечен преглед на заплахите и подсказват, че натискът върху организациите не е намалял.

Изходният материал не разбива всяка група или всяка жертва, затова си струва да бъдем внимателни какви изводи можем да направим. Ясно е, че една единствена операция, Qilin, задава темпото, и че индустриалните цели представляват голям дял от това, което атакуват рансъмуер групите.

Защо индустриалните цели поемат 31% от атаките

Изходната статия не изброява всички причини зад дела от 31%, затова всяко обяснение трябва да се третира като контекст, а не като потвърдена причина. Въпреки това общата логика е лесна за проследяване. Индустриалните организации обикновено извършват дейности, при които престоят е скъп и видим. Когато производството, логистиката или физическите процеси спрат, натискът за бързо възстановяване на системите може да бъде интензивен, а атакуващите го знаят.

Този натиск е важен, защото рансъмуер групите са финансово мотивирани. Цел, която не може да си позволи дълги прекъсвания, може да е по-склонна да преговаря. За защитниците това означава, че индустриалните среди трябва да приемат, че са привлекателни, независимо от размера или профила си.

Как работи двойното изнудване: кражба на данни и криптиране на хипервизори

Най-полезният детайл в доклада се отнася до начина, по който действа заплаха, проследявана като Aurora. Веднъж попадне в среда, тя извлича данни и след това криптира хипервизорите. Тъй като хипервизорите хостват виртуални машини, криптирането им прави всяка хоствана виртуална машина неизползваема с едно действие. След това атакуващият иска откуп за възстановяване.

Това съчетава две точки на натиск:

  • Криптиране: Системите излизат офлайн, така че операциите спират.
  • Кражба на данни: Дори ако дадена организация може да възстанови от резервни копия, атакуващият все още държи копия на вътрешни данни и може да заплаши да ги публикува.

Този втори елемент е причината всякога инцидентът да бъде едновременно прекъсване и нарушение на поверителността. Възстановяването на сървърите не отменя излагането на файлове, служебни записи или клиентска информация. Реален пример за тази динамика е претенцията на Incransom срещу TrRAC Inc., която заплаши да изтече 150GB данни. Тя показва как заплахата за изтичане следва кражбата на данни като следващ етап на натиск.

Какво могат и какво не могат да поправят защитниците с криптиране и VPN

Полезно е да бъдем реалистични относно това какво правят обичайните инструменти за поверителност тук. VPN криптира трафика между устройство и VPN сървър и може да защити отдалечените връзки от прихващане в ненадеждни мрежи. Това е полезно, но не спира атакуващ, който вече притежава валидни идентификационни данни или е достигнал до системата по друг път. Криптирането на данни в покой също помага в някои случаи, но ако атакуващите действат с легитимен достъп вътре в средата, те могат да достигнат до данните в четима форма.

С други думи, тези инструменти намаляват определени рискове, без да адресират цялата верига на атаката. Изходният доклад се фокусира върху това, което се случва след проникването: извличане на данни и криптиране на хипервизори. Защитите трябва да покриват и този етап.

Какво означава това за вас

Ако работите в или с индустриална организация, рискът ви е свързан със здравето на виртуализираната инфраструктура на компанията. Успешен удар по хипервизор може да свали много системи наведнъж, а откраднатите данни могат да се появят по-късно, дори след като операциите се възстановят.

Ако сте индивидуален клиент, служител или доставчик, практическата загриженост е излагането. Вашата информация може да се намира в системи, които атакуващ може да копира, преди нещо да бъде криптирано. Може да не видите инцидента, докато не се появи заплаха за изтичане.

Практически изводи

  • Прегледайте излагането на данните си. Знайте какви чувствителни данни съхранявате, къде се намират и кой може да достигне до тях. По-малко съхранявани данни означава по-малко за кражба.
  • Осигурете отдалечения достъп. Използвайте силни, уникални идентификационни данни и многофакторна автентикация за инструментите за отдалечен достъп, включително всички VPN шлюзове. Поддържайте ги актуализирани.
  • Защитете виртуализационната инфраструктура. Ограничете и наблюдавайте административния достъп до хипервизорите, тъй като едно компрометиране може да изключи много машини.
  • Поддържайте офлайн, тествани резервни копия. Те помагат за възстановяване, макар и да не решават проблема с изтичането.
  • Планирайте сценария за изтичане. Решете предварително как ще уведомите засегнатите хора, ако данните бъдат публикувани.

Атаките на Qilin срещу индустриалния сектор са напомняне, че възстановяването от прекъсване е само половината от историята. За да видите как заплахата за изтичане на данни се развива след кражба, прочетете доклада за инцидента с Incransom и TrRAC Inc., след което погледнете отново собственото си излагане на данни и сигурността на отдалечения достъп.