What is double extortion ransomware?

Double extortion is when attackers steal sensitive data before encrypting files, then demand payment to prevent the data from being published or sold. The theft itself becomes the leverage, even if the victim can restore systems from backups.

Why don't backups protect against double extortion?

Backups solve the availability problem by restoring encrypted systems, but they do nothing to stop attackers from publishing stolen files. Since the ransom demand is about preventing a data leak, restoring from backup doesn't remove the pressure to pay.

What kinds of data do double extortion attackers steal?

Attackers copy customer records, financial documents, employee data, and intellectual property before encrypting systems. This stolen data is then used as leverage to demand payment.

Are some ransomware groups abandoning encryption entirely?

Yes, some groups have concluded that stealing data and threatening exposure is more profitable and less risky than deploying encryption malware across a network. Double extortion sits in the middle of that evolution, with attackers still encrypting but relying on data theft as the primary pressure point.

How common are ransomware attacks?

Kaspersky blocked 250,000 ransomware attacks across the Asia Pacific region in the first half of 2026. This volume shows how routine these attacks have become for organizations of every size.

A zsarolóvírusok régen egyszerű forgatókönyvet követtek: a támadók titkosították a fájljaidat, te fizettél, hogy visszakapd őket, és a történet ezzel véget ért. Egy nemrég publikált zsarolóvírus-megelőzési útmutató kifejti, miért elavult ez a modell...

Mit lop el valójában a kettős zsarolásos zsarolóvírus

A zsarolóvírusok régen egyszerű forgatókönyvet követtek: a támadók titkosították a fájljaidat, te fizettél, hogy visszakapd őket, és a történet ezzel véget ért. Egy nemrég publikált zsarolóvírus-megelőzési útmutató kifejti, miért elavult ez a modell. A modern zsarolóvírus-csoportok ma már kettős zsarolást alkalmaznak, ami azt jelenti, hogy érzékeny adatokat lopnak el, mielőtt egyetlen fájlt is titkosítanának. Csak miután ügyféladatokat, pénzügyi dokumentumokat, munkavállalói adatokat vagy szellemi tulajdont másoltak le, zárják le a rendszereket és követelnek fizetséget.

Maga a lopás jelenti a nyomásgyakorlást. Ha az áldozat megtagadja a fizetést, a támadók azzal fenyegetőznek, hogy nyilvánosan közzéteszik a lopott adatokat, vagy eladják azokat más bűnözőknek. Ez a fenyegetés attól függetlenül érvényes, hogy a szervezet képes-e biztonsági mentésekből helyreállítani a rendszereit. Az útmutató megfogalmazása egyértelmű: a kettős zsarolás semmissé teszi a régi tanácsot, miszerint „csak állítsd helyre biztonsági mentésből", mert a váltságdíjkövetelés már nem csupán a fájlok visszaszerzéséről szól. Hanem egy adatszivárgás megakadályozásáról, amely szabályozási bírságokat, pereket és hírnévkárosodást válthat ki, ami jóval azután is megmarad, hogy a rendszerek újra online vannak.

Ez a változás már egy ideje épül. Ahogyan arról egy nemrégiben készült elemzés is beszámolt, amely szerint a zsarolóvírus-bandák teljesen felhagynak a titkosítással a zsarolás javára, egyes csoportok arra a következtetésre jutottak, hogy az adatok ellopása és a nyilvánosságra hozatalukkal való fenyegetőzés jövedelmezőbb és kevésbé kockázatos, mint a titkosító kártevő egész hálózaton való telepítésének technikai munkája. A kettős zsarolás e fejlődés közepén helyezkedik el: a támadók még mindig titkosítanak, de az adatlopás vált az elsődleges nyomásgyakorlási ponttá.

Miért nem garantálják többé a biztonsági mentések a biztonságot

Évekig a zsarolóvírusok elleni védekezés szabványos módja egyszerű volt: tarts fenn megbízható biztonsági mentéseket, és ha a támadók titkosítják a rendszereidet, állítsd helyre egy tiszta másolatból, és tagadd meg a fizetést. Ez a tanács továbbra is fontos az operatív helyreállítás szempontjából, de már nem kezeli a teljes fenyegetettséget. Egy tökéletes biztonsági mentés helyreállítja a szervereidet. Semmit sem tesz azért, hogy megakadályozza a támadókat a lopott fájlok közzétételében, ha nem fizetsz.

Ez azért fontos, mert az adatszivárgásból eredő pénzügyi és jogi kitettség meghaladhatja a leállás költségét. Az egészségügyi nyilvántartásokat, pénzügyi adatokat vagy személyes információkat kezelő szervezeteknek a lopott adatok megerősítésének pillanatában értesítési kötelezettségekkel és lehetséges büntetésekkel kell szembenézniük, függetlenül attól, hogy a váltságdíjat valaha kifizetik-e. A biztonsági mentések megoldják a rendelkezésre állás problémáját. Nem oldják meg a bizalmas adatkezelés problémáját, és a kettős zsarolás kifejezetten e rés kihasználására épül.

A fenyegetés mértéke aláhúzza, miért számít ez a megkülönböztetés. Az ázsiai-csendes-óceáni térséget követő biztonsági kutatók arról számoltak be, hogy a Kaspersky 250 000 zsarolóvírus-támadást blokkolt az APAC térségben 2026 első felében, ami azt a mennyiséget tükrözi, hogy mennyire mindennapossá váltak ezek a támadások minden méretű szervezet számára, nem csak a dedikált biztonsági csapatokkal rendelkező nagyvállalatok számára.

Réteges védelem: VPN-ek, szegmentálás és hozzáférés-ellenőrzés

Mivel az adatlopás a titkosítás előtt történik, a megelőzésnek arra kell összpontosítania, hogy megakadályozza a támadókat abban, hogy egyáltalán elérjék az érzékeny adatokat, nem csupán az utólagos helyreállításra. Az útmutató egyrétegű megoldás helyett réteges megközelítést javasol.

A VPN egy hasznos réteg, különösen a belső rendszerekbe való távoli hozzáférés biztosítására, hogy a távoli munkavállalók és a vállalati hálózatok közötti hitelesítő adatok és forgalom ne legyenek kitéve nyilvános vagy nem biztonságos kapcsolatokon. De egy VPN önmagában nem akadályozza meg azt a támadót, aki már megszerezte az érvényes hitelesítő adatokat adathalászat vagy kiszivárgott jelszó révén, hogy szabadon mozogjon, miután bekerült a hálózatba. Itt válik elengedhetetlenné a hálózati szegmentálás: a rendszerek elkülönített zónákra való felosztása, hogy egy kompromittált eszköz vagy fiók ne érhesse el a szervezet összes szerverét és adatbázisát. Ha a támadók nem tudnak oldalirányban mozogni, nem tudnak tömeges adatlopást végrehajtani még egy kezdeti behatolás után sem.

A hozzáférés-ellenőrzés teszi teljessé ezt a réteget. Annak korlátozása, hogy mely munkavállalók és rendszerek érhetik el az érzékeny adatokat, a többtényezős hitelesítés megkövetelése és a szokatlan adatátvitel figyelése mind csökkenti azt az időablakot, amely alatt a támadók kiszivárogtathatják az információkat, mielőtt bárki észrevenné. Ezen intézkedések egyike sem működik önmagában csodaszerként. Együtt jelentősen növelik egy sikeres kettős zsarolásos támadás költségét és nehézségét.

Incidenskezelési terv készítése az adathelyreállításon túl

A kizárólag a rendszerek biztonsági mentésből való helyreállítására épülő incidenskezelési terv hiányos a kettős zsarolás korszakában. A szervezeteknek olyan tervre van szükségük, amely azt is kezeli, mi történik, ha a lopott adatokat megerősítik: ki határozza meg a jogi és szabályozási értesítési kötelezettségeket, hogyan kezelik az ügyfelekkel és partnerekkel való kommunikációt, és hogyan dönt a szervezet arról, hogy egyáltalán tárgyal-e. Ezeket a döntéseket sokkal nehezebb jól meghozni nyomás alatt egy aktív incidens során, mint előre megtervezni.

Mit jelent ez a számodra

Akár kisvállalkozást vezetsz, akár egy nagyobb szervezet IT-jét irányítod, a gyakorlati tanulság ugyanaz: a kettős zsarolásos zsarolóvírus elleni védekezési stratégia nem állhat meg a biztonsági mentéseknél. Az adatlopás megelőzése ugyanolyan figyelmet érdemel, mint az adathelyreállítás. Ez azt jelenti, hogy biztosítani kell a távoli hozzáférést, szegmentálni kell a hálózatokat, hogy egyetlen kompromittált fiók se tegyen ki mindent, és olyan reagálási tervvel kell rendelkezni, amely az adatkiszivárgási forgatókönyveket is lefedi, nem csak a leállást.

Kulcsfontosságú tanulságok

Tételezd fel, hogy bármely zsarolóvírus-incidens adatlopást is magában foglalhat, nem csak titkosítást, és ennek megfelelően tervezz.
Tekintsd a biztonsági mentéseket a rendszerhelyreállítás egyik védelmi rétegének, nem pedig a zsarolás elleni teljes megoldásnak.
Használj VPN-t a távoli hozzáférés biztosítására, de párosítsd hálózati szegmentálással és erős hozzáférés-ellenőrzéssel az oldalirányú mozgás korlátozására.
Készíts olyan incidenskezelési tervet, amely az adatkiszivárgást és az értesítési kötelezettségeket kezeli, nem csak a rendszerhelyreállítást.
Maradj tájékozott arról, hogyan változnak folyamatosan a zsarolóvírus-taktikák, mivel a támadók rendszeresen módosítják módszereiket, ahogy a védelem fejlődik.

GYIK (minden kérdés és válasz fordítása): K1: Mi az a kettős zsarolásos zsarolóvírus? V1: A kettős zsarolás az, amikor a támadók érzékeny adatokat lopnak el a fájlok titkosítása előtt, majd fizetséget követelnek, hogy megakadályozzák az adatok közzétételét vagy eladását. Maga a lopás válik a nyomásgyakorlási eszközzé, még akkor is, ha az áldozat képes biztonsági mentésekből helyreállítani a rendszereket. K2: Miért nem védenek a biztonsági mentések a kettős zsarolás ellen? V2: A biztonsági mentések megoldják a rendelkezésre állás problémáját a titkosított rendszerek helyreállításával, de semmit sem tesznek azért, hogy megakadályozzák a támadókat a lopott fájlok közzétételében. Mivel a váltságdíjkövetelés egy adatszivárgás megakadályozásáról szól, a biztonsági mentésből való helyreállítás nem szünteti meg a fizetési nyomást. K3: Milyen típusú adatokat lopnak a kettős zsarolásos támadók? V3: A támadók ügyféladatokat, pénzügyi dokumentumokat, munkavállalói adatokat és szellemi tulajdont másolnak le a rendszerek titkosítása előtt. Ezeket a lopott adatokat aztán nyomásgyakorlási eszközként használják a fizetség követelésére. K4: Vannak olyan zsarolóvírus-csoportok, amelyek teljesen felhagynak a titkosítással? V4: Igen, egyes csoportok arra a következtetésre jutottak, hogy az adatok ellopása és a nyilvánosságra hozatalukkal való fenyegetőzés jövedelmezőbb és kevésbé kockázatos, mint a titkosító kártevő hálózaton való telepítése. A kettős zsarolás e fejlődés közepén helyezkedik el, a támadók még mindig titkosítanak, de az adatlopásra támaszkodnak elsődleges nyomásgyakorlási pontként. K5: Mennyire gyakoriak a zsarolóvírus-támadások? V5: A Kaspersky 250 000 zsarolóvírus-támadást blokkolt az ázsiai-csendes-óceáni térségben 2026 első felében. Ez a mennyiség azt mutatja, mennyire mindennapossá váltak ezek a támadások minden méretű szervezet számára. ---END---