Which ransomware groups are driving the increased attacks on SMBs?

Two ransomware-as-a-service operations, Qilin and The Gentlemen, are competing for dominance and both actively targeting small and mid-sized businesses.

Why are small and mid-sized businesses becoming a primary target for these ransomware gangs?

Competition pushes both gangs to move faster and pursue easier targets, and SMBs fit that profile because they typically have leaner IT teams, older infrastructure, and fewer defenses.

How do Qilin and The Gentlemen most often gain initial access to a victim’s network?

They rely on mundane weaknesses such as exposed remote access points, stolen or reused credentials, unpatched software, and phishing emails that trick employees into handing over their logins.

What do the attackers do after they first break into a network?

They move laterally, escalate privileges, and locate backup systems before deploying the encryption payload, often stealing data in parallel to create a second extortion lever.

What additional pressure do ransomware gangs use beyond encrypting files?

They steal data before encrypting and threaten to publish it on a leak site, as seen in the World Leaks Mediaworks breach, giving them a second way to pressure victims into paying.

Gangi ransomware Qilin i The Gentlemen nasilają ataki na MŚP

Ataki ransomware na małe firmy przybrały gwałtowny obrót na gorsze. Dwie operacje cyberprzestępcze, znane jako Qilin i The Gentlemen, podobno rywalizują o dominację w przestrzeni ransomware-as-a-service, a małe i średnie przedsiębiorstwa (MŚP) znalazły się w ogniu krzyżowym. Zamiast jednego dominującego gangu wymuszającego okupy na ofiarach, badacze bezpieczeństwa obserwują teraz dwie agresywne operacje ścigające się w przejmowaniu sieci, kradzieży danych i żądaniu płatności, często od organizacji, które najmniej mogą sobie pozwolić na zakłócenia.

Ta rywalizacja ma znaczenie, ponieważ zmienia strukturę motywacji dla atakujących. Gdy dwie grupy konkurują o udział w rynku gospodarki ransomware, obie mają powód, by działać szybciej, zarzucać szerszą sieć i szukać łatwiejszych celów, zamiast czekać na największą możliwą wypłatę. MŚP, które zazwyczaj działają z szczuplejszymi zespołami IT i starszą infrastrukturą, idealnie pasują do tego profilu.

Dlaczego Qilin i The Gentlemen celują w MŚP

Duże przedsiębiorstwa zwykle dużo inwestują w narzędzia do wykrywania, dedykowany personel bezpieczeństwa i abonamenty na reagowanie na incydenty. Mniejsze firmy zazwyczaj nie mają tego luksusu. Operator ransomware, oceniający, gdzie poświęcić ograniczony czas i zasoby, często wybierze ścieżkę najmniejszego oporu, a ta ścieżka coraz częściej prowadzi do MŚP.

Konkurencja między gangami takimi jak Qilin i The Gentlemen wydaje się przyspieszać ten trend. Gdy podmioty stowarzyszone w modelu ransomware-as-a-service są motywowane do atakowania jak największej liczby ofiar, ciążą ku organizacjom z mniejszą obroną i mniejszymi zdolnościami do samodzielnych negocjacji czy odzyskiwania danych. Rezultatem jest podejście oparte na wolumenie, w którym MŚP stają się domyślnym celem, a nie refleksją po fakcie.

Jak te gangi ransomware uzyskują początkowy dostęp

Operatorzy ransomware rzadko muszą pisać wyrafinowane, niestandardowe złośliwe oprogramowanie, by włamać się do środka. W większości kampanii śledzonych w branży początkowy dostęp pochodzi ze znacznie bardziej przyziemnych słabości: odsłoniętych lub słabo zabezpieczonych punktów dostępu zdalnego, skradzionych lub ponownie używanych danych logowania, niezałatanego oprogramowania oraz wiadomości phishingowych, które nakłaniają pracownika do oddania swoich danych logowania.

Po wejściu do środka atakujący zazwyczaj przemieszczają się poprzecznie przez sieć, eskalnią uprawnienia i lokalizują systemy kopii zapasowych przed wdrożeniem właściwego ładunku szyfrującego. Jeśli kopie zapasowe są osiągalne z tej samej skompromitowanej sieci lub jeśli zdalny pulpit i dostęp VPN nie są ściśle kontrolowane, atakujący mają wszystko, czego potrzebują, by zablokować operacje i zażądać okupu. Kradzież danych często odbywa się równolegle, dając gangom drugą dźwignię nacisku: zapłać albo zobacz, jak twoje skradzione pliki zostają opublikowane publicznie. Naruszenie World Leaks Mediaworks doskonale ilustruje, jak niszczycielski może być ten drugi etap, gdy skradzione dane trafiają na stronę wycieku, gdzie każdy może je pobrać.

Rzeczywisty koszt ataku ransomware dla małej firmy

Dla dużej korporacji incydent ransomware jest bolesny, ale możliwy do przetrwania. Dla małej firmy może być egzystencjalny. Przestój podczas odzyskiwania oznacza utratę przychodów bez żadnej poduszki finansowej, która mogłaby ją wchłonąć. Zaufanie klientów szybko eroduje, gdy listy płac, dokumentacja klientów lub informacje zdrowotne zostają ujawnione. Obowiązki prawne i regulacyjne obowiązują niezależnie od wielkości firmy, a koszt dochodzenia kryminalistycznego, odbudowy systemów i potencjalnej zapłaty okupu może wyczerpać rezerwy gotówkowe, na których wiele MŚP polega, by utrzymać się na powierzchni.

Rywalizacja między Qilin i The Gentlemen dodaje tutaj pilności. Gdy grupy konkurują na szybkość i wolumen, a nie selektywność, firmy, które zakładają, że są zbyt małe, by być warte czasu atakującego, coraz częściej przekonują się, że się mylą.

Warstwowa obrona: VPN-y, kopie zapasowe i kontrola dostępu, które naprawdę pomagają

MŚP nie potrzebują budżetów na skalę korporacyjną, by znacząco zmniejszyć ryzyko, ale muszą zlikwidować luki, na których atakujący polegają najbardziej.

Zabezpiecz zdalny dostęp. Jeśli pracownicy lub kontrahenci łączą się zdalnie, ten dostęp powinien odbywać się przez poprawnie skonfigurowany VPN lub narzędzie zero-trust z włączoną wieloskładnikową autoryzacją, a nie przez odsłonięty port zdalnego pulpitu otwarty na internet.
Izoluj i testuj kopie zapasowe. Kopie zapasowe przechowywane w tej samej sieci co systemy produkcyjne są obciążeniem, a nie siatką bezpieczeństwa. Kopie offline lub niezmienialne, regularnie testowane pod kątem odtwarzania, to właśnie to, co faktycznie pozwala firmie odzyskać dane bez płacenia okupu.
Ogranicz dostęp uprzywilejowany. Nie każdy pracownik potrzebuje praw administracyjnych. Ograniczenie dostępu zmniejsza zasięg, jaki atakujący może osiągnąć po uzyskaniu punktu zaczepienia.
Łataj konsekwentnie. Wiele włamań ransomware wykorzystuje znane podatności, dla których istnieją już dostępne poprawki. Regularny harmonogram łatania zamyka drzwi, których atakujący aktywnie szukają.

Co to oznacza dla Ciebie

Jeśli prowadzisz małą firmę lub zarządzasz IT dla niej, rywalizacja Qilin i The Gentlemen jest przypomnieniem, że grupy ransomware aktywnie polują na organizacje dokładnie takie jak twoja. Zakładanie, że jesteś za mały, by przykuć uwagę, nie jest już bezpiecznym założeniem. Firmy, które najszybciej odzyskują sprawność po incydentach ransomware, to prawie zawsze te, które miały kopie offline, ograniczoną kontrolę dostępu i zabezpieczone połączenia zdalne już przed atakiem, a nie po nim.

Kluczowe wnioski

Ataki ransomware na małe firmy nasilają się, gdy rywalizujące gangi konkurują o cele i szybkość.
Słabe zabezpieczenia zdalnego dostępu i zła higiena danych logowania pozostają najczęstszymi punktami wejścia.
Przetestowane kopie zapasowe offline to najbardziej niezawodny sposób na uniknięcie płacenia okupu.
Ograniczenie dostępu uprzywilejowanego spowalnia atakujących nawet po naruszeniu bezpieczeństwa.
Kradzież danych często towarzyszy szyfrowaniu, co oznacza, że proaktywne bezpieczeństwo ma znaczenie nawet jeśli nigdy nie planujesz płacić okupu.

Wyprzedzanie ataków ransomware na małe firmy nie wymaga ogromnego budżetu na bezpieczeństwo. Wymaga zamykania podstawowych luk, które gangi takie jak Qilin i The Gentlemen aktywnie wykorzystują właśnie teraz.