Рансъмуерът някога означаваше заключени екрани и криптирани сървъри. Все по-често той означава тиха кражба и заплашително имейл съобщение. Скорошен доклад на The NAS Guy, базиран на данните за инциденти от Q3 2026 на Coveware от Veeam, описва как групи като Silent Ransom Group (SRG) са се отказали напълно от криптирането. Изнудването чрез кражба на данни без рансъмуер е по-бързо, по-евтино за нападателите и по-трудно за засичане от традиционните защити.

Изходният материал е кратък, затова тази публикация се придържа към това, което той твърди: премахването на скъпата и трудоемка стъпка по внедряване на криптиране позволява на групите да провеждат бързи операции по проникване и изнудване, които заобикалят традиционните защити на крайните точки, като същевременно запазват лост над жертвите. Цитираните цифри идват от инциденти, подкрепени от Coveware от Veeam през Q3 2026.

Как Silent Ransom Group изнудва без криптиране

Класическите атаки с рансъмуер изискват няколко неща да се случат правилно: нападателите трябва да влязат, да се разпространят из системите, да деактивират защитите и да внедрят софтуер за криптиране, който действително работи. Всяка стъпка създава възможности за инструментите за сигурност да забележат, че нещо не е наред.

Чистият модел на ексфилтрация пропуска по-голямата част от това. Нападателите копират данни, след което се свързват с жертвата и заплашват да ги публикуват. Няма какво да се криптира, така че няма полезен товар за криптиране, който софтуерът за сигурност на крайните точки да маркира. Според доклада, точно затова подходът заобикаля традиционните защити на крайните точки.

Това също променя изчисленията на жертвата. Добрите резервни копия могат да отменят атака с криптиране, но резервните копия не правят нищо срещу заплаха за изтичане на откраднати файлове. Натискът идва от излагането, не от престоя.

SRG е свързвана с атаки срещу големи адвокатски кантори, а операциите ѝ са се появявали в нашето отразяване, включително изнудващото обявление на Andersen Group на сайта LeakedData на групата.

Защо плащането за мълчание не гарантира изтриване

Основният проблем с плащането на искане за изнудване с данни е, че продуктът, който се продава, е обещание. Нападателят казва, че данните ще бъдат изтрити, но жертвата няма как да провери това. Откраднатите данни могат да бъдат копирани, запазени или препродадени, а престъпниците нямат стимул да спазят думата си, освен защитата на собствената си репутация.

Заглавието на статията прави това ясно директно: плащането за мълчание се проваля. Дори ако дадена група спази една сделка, жертвата няма одиторска следа, няма сертификат за унищожаване и няма право на обезщетение. Тази несигурност е лостът. Жертва, която плати веднъж, е показала, че е готова да плати.

За обикновените хора последицата е неудобна. Ако компания, която съхранява вашите данни, плати искане за изнудване, не можете да приемете, че информацията ви е била изтрита. Трябва да я третирате като изложена, независимо какво казва компанията за резултата.

Какво разкриват изтеклите данни за портфейла и жертвите

Историята на SRG има още един слой: предполагаемо изтичане на вътрешни данни, принадлежащи на групата. Както съобщихме, Chainalysis свърза крипто портфейли от изтичането на SRG с откупни плащания, разкривайки криптовалутни адреси, свързани с плащания, направени към операцията.

Защо това е важно? Показва, че тези операции са търговски предприятия с реален приход и че жертвите наистина са платили. Показва също, че престъпните групи сами по себе си са уязвими на излагане. Изтичането е напомняне, че данните в техните ръце са само толкова сигурни, колкото е собствената им сигурност, което не е успокояваща мисъл, когато данните са ваши.

Показва също, че заплахата не е ограничена до един сектор. Свързани случаи, като документите на Mayer Brown, публикувани от Luna Moth, показват как екипите за изнудване могат да оказват натиск върху организации чрез сайтове за изтичане, дори когато дадена фирма твърди, че системите ѝ не са били компрометирани.

Какво означава това за вас

Повечето хора никога няма да преговарят с група за изнудване. Но вашите данни може да се намират в системите на адвокатски кантори, данъчни съветници, доставчици на здравни услуги и други професионални услуги, които нападателите атакуват. Когато една от тях бъде ударена, вие ставате косвена жертва, без да сте направили нищо лошо.

Тъй като чистата ексфилтрация не оставя очевиден признак за атака, може да научите за пробив само когато се появи обявление или компания изпрати уведомление. Приемете, че всякакви данни, които компрометирана фирма е съхранявала, като данни за контакт, финансови записи или документи за самоличност, може да са в престъпни ръце, и че плащането от страна на компанията не променя това.

Стъпки за защита след пробив при трета страна

Не можете да контролирате как компанията защитава сървърите си, но можете да ограничите за какво могат да бъдат използвани откраднатите данни.

  • Сменете използваните наново пароли. Ако сте използвали същата парола в засегнатата фирма и другаде, заменете я навсякъде. Използвайте мениджър на пароли, за да генерирате уникални такива.
  • Включете двуфакторно удостоверяване. Предпочитайте приложение за удостоверяване или хардуерен ключ пред SMS, където е възможно, особено за имейл, банкиране и облачно съхранение.
  • Внимавайте за целенасочен фишинг. Откраднатите данни правят измамите по-убедителни. Бъдете скептични към съобщения, които споменават реални документи, подробности по дело или информация за акаунт.
  • Следете за пробиви. Използвайте услуга за уведомяване за пробиви, за да научавате кога вашият имейл адрес се появява в изтекли данни.
  • Обмислете замразяване на кредит. Ако са били засегнати финансови или идентификационни данни, замразяването на кредита ви прави по-трудно откриването на сметки на ваше име.
  • Проверявайте уведомленията независимо. Ако получите писмо за пробив, свържете се с организацията, като използвате данни, които сами намерите, а не връзки в съобщението.

Основният извод

Изнудването чрез кражба на данни без рансъмуер работи, защото премахва най-рисковата стъпка за нападателя и лишава жертвите от защитата чрез резервни копия. Плащането не купува сигурност, а изтеклият материал на SRG показва колко реални са парите и излагането. Затегнете хигиената на идентификационните си данни, включете 2FA и следете за сигнали за пробиви. За да видите как тези операции се развиват на практика, прочетете нашето отразяване на изтичането на SRG и констатациите на Chainalysis относно портфейлите и изнудващото обявление на Andersen Group.