Nowy raport analizy zagrożeń od Cisco Talos pokazuje, że aktywność ransomware w Japonii wzrosła o 4,7% w pierwszej połowie 2026 roku, a małe i średnie przedsiębiorstwa (MŚP) ponoszą główny ciężar strat. Ustalenia te dołączają do rosnącej liczby dowodów na to, że ataki ransomware wymierzone w MŚP nie są efektem ubocznym szerszego krajobrazu zagrożeń. Są głównym wydarzeniem, napędzanym przez atakujących, którzy odkryli, że mniejsze organizacje często przechowują cenne dane, nie mając budżetów na bezpieczeństwo, by je chronić.

Co raport Cisco Talos ujawnił na temat skoku ransomware w Japonii w pierwszej połowie 2026 roku

Według Cisco Talos incydenty ransomware w całej Japonii wzrosły o blisko 5% w pierwszych sześciu miesiącach 2026 roku w porównaniu z poprzednim okresem. W raporcie jako głównego sprawcę tego wzrostu wskazano syndykat wymuszający nazywający siebie „The Gentlemen", który kieruje około 80% swoich wysiłków w zakresie typowania celów na MŚP, a nie duże przedsiębiorstwa.

Ta koncentracja jest godna uwagi. Operatorzy ransomware historycznie ścigali cele przyciągające nagłówki, takie jak szpitale, agencje rządowe i firmy z listy Fortune 500. Dane Cisco Talos sugerują strategiczny zwrot w kierunku firm, które rzadziej mają dedykowane centra operacji bezpieczeństwa, umowy retainerowe na reagowanie na incydenty czy całodobowy monitoring, ale wciąż generują przychody warte wymuszenia.

Dlaczego „The Gentlemen" koncentruje się na małych i średnich przedsiębiorstwach

Logika stojąca za typowaniem MŚP jako celów jest z perspektywy atakującego prosta. Mniejsze firmy często działają z niewielkimi zespołami IT, polegają na łatanej mozaice przestarzałego oprogramowania i nie mają wielowarstwowej architektury bezpieczeństwa, na którą stać większe przedsiębiorstwa. Ta kombinacja tworzy niższą barierę wejścia dla atakujących, jednocześnie oferując wciąż znaczące wypłaty, zwłaszcza gdy firma nie może przetrwać przedłużającego się przestoju i czuje presję, by zapłacić szybko.

Ustalenia Cisco Talos dotyczące „The Gentlemen" wzmacniają wzorzec obserwowany szerzej w ekosystemach ransomware: atakujący dywersyfikują się, industrializują swoje operacje i wykorzystują coraz bardziej skryte narzędzia, by utrzymać przyczółki wewnątrz zhakowanych sieci. To podejście stawiające na skrytość odzwierciedla inne badania Talos, w tym jego analizę msaRAT ransomware Chaos ukrywającego ruch C2 w Twojej przeglądarce, która pokazała, jak nowoczesne grupy ransomware coraz częściej wplatają złośliwy ruch command-and-control w wyglądającą na legalną aktywność sieciową, by uniknąć wykrycia.

Typowe punkty wejścia: zdalny dostęp, eksponowane VPN-y i niezałatane urządzenia sieciowe

Podczas gdy raport Cisco Talos koncentruje się na ogólnym wolumenie ataków w Japonii, szerszy wzorzec w kampaniach ransomware wskazuje na spójny zestaw wektorów wejścia: eksponowane usługi zdalnego dostępu, błędnie skonfigurowane bramy VPN i niezałatane urządzenia infrastruktury sieciowej. MŚP są nieproporcjonalnie narażone na wszystkich trzech frontach, ponieważ często wdrażają narzędzia zdalnego dostępu szybko, by wspierać pracę hybrydową, bez późniejszego powrotu do konfiguracji, harmonogramów łatek czy kontroli dostępu.

Właśnie dlatego podatności na poziomie infrastruktury mają tak duże znaczenie dla mniejszych organizacji. Gdy krytyczne oprogramowanie do zarządzania siecią ma poważną lukę, taką jak ta szczegółowo opisana w biuletynie Cisco dotyczącym luki w Cisco FMC CVE-2026-20079 wykorzystywanej przez Sandworm i Qilin, atakujący zyskują gotową ścieżkę do sieci, które z pozoru mogą wyglądać na dobrze chronione. Grupy ransomware rutynowo skanują w poszukiwaniu tego rodzaju niezałatanych systemów, a MŚP, które opóźniają aktualizacje lub nie mają inwentarza zasobów, są najłatwiejszymi celami do znalezienia.

Praktyczne zabezpieczenia, które MŚP mogą wdrożyć już teraz

Dobra wiadomość jest taka, że MŚP nie potrzebują budżetów na poziomie przedsiębiorstw, by znacząco zmniejszyć ryzyko ransomware. Kilka konkretnych kroków może zamknąć wiele luk, na których polegają atakujący:

  • Wzmocnij konfiguracje VPN i zdalnego dostępu, wymuszając uwierzytelnianie wieloskładnikowe, wyłączając nieużywane konta i ograniczając dostęp tylko do tego, czego potrzebują pracownicy.
  • Segmentuj sieci tak, aby pojedyncze zhakowane urządzenie lub konto nie mogło zapewnić bezpośredniej ścieżki do krytycznych systemów lub kopii zapasowych.
  • Utrzymuj kopie zapasowe offline lub niezmienne i regularnie testuj odtwarzanie, ponieważ zaszyfrowane pliki to kryzys tylko wtedy, gdy nie ma czystej kopii do odzyskania.
  • Łataj urządzenia sieciowe i oprogramowanie zdalnego dostępu niezwłocznie, traktując biuletyny dostawców dotyczące krytycznej infrastruktury, takie jak Cisco FMC, jako pilne, a nie opcjonalne.
  • Zbuduj podstawowy plan reagowania na incydenty, zanim dojdzie do ataku, obejmujący kogo wezwać, jak odizolować dotknięte systemy i jak komunikować się z pracownikami i klientami.

Zrozumienie, jak atakujący ukrywają swoją aktywność, jest również częścią obrony. Badania Talos nad msaRAT ransomware Chaos ukrywającym się w Chrome i Edge ilustrują, dlaczego sam tradycyjny program antywirusowy nie jest już wystarczający; monitorowanie wychodzącego ruchu sieciowego i aktywności przeglądarki stało się równie ważne jak skanowanie punktów końcowych.

Co to oznacza dla Ciebie

Jeśli prowadzisz MŚP lub je wspierasz, ten raport jest przypomnieniem, że rozmiar nie równa się bezpieczeństwu. Ataki ransomware wymierzone w MŚP rosną właśnie dlatego, że atakujący wiedzą, iż mniejsze organizacje często pomijają podstawy: konsekwentne łatanie, wielowarstwowe zabezpieczenia sieciowe i przećwiczone reagowanie na incydenty. Nie musisz dorównywać wydatkom na bezpieczeństwo dużego przedsiębiorstwa, ale musisz traktować higienę VPN i zdalnego dostępu, dyscyplinę kopii zapasowych i terminowe łatanie jako niepodlegające negocjacjom funkcje biznesowe, a nie refleksję po fakcie działu IT.

Najważniejsze wnioski

Wzrost ataków ransomware w Japonii o 4,7% udokumentowany przez Cisco Talos oraz nieproporcjonalne skupienie na MŚP ze strony grup takich jak „The Gentlemen" odzwierciedlają globalny trend, a nie izolowany problem regionalny. Małe firmy na całym świecie powinny założyć, że są realnymi celami, a nie przeoczonymi. Zacznij od audytu punktów zdalnego dostępu i konfiguracji VPN, zweryfikuj, że kopie zapasowe są testowane i odizolowane od głównej sieci, oraz bądź na bieżąco z biuletynami bezpieczeństwa dostawców dla wszelkiej infrastruktury sieciowej, na której polegasz. Grupy ransomware liczą na to, że MŚP pozostaną niedostatecznie chronione. Zamknięcie choćby kilku z tych luk może znacząco przechylić szanse na Twoją korzyść.