Nowy raport przywołany przez Medical Economics wykazał, że tylko 29% ofiar ransomware zapłaciło okup w czwartym kwartale ubiegłego roku. Nagłówek ujmuje to bez ogródek: „po prostu powiedz nie”. Podsumowanie wskazuje na zmieniające się trendy i lepsze przygotowanie jako przyczyny spadku liczby płatności.

Trend odmawiania przez ofiary ransomware płacenia okupu to dobra wiadomość dla obrońców, ale ma on pewien haczyk. Spadek płatności nie oznacza spadku liczby ataków i nie oznacza, że skradzione dane pozostają prywatne. Oto, co mówi nam ta liczba i co pomija.

Dlaczego tylko 29% ofiar zapłaciło w IV kwartale

Artykuł źródłowy podaje krótkie wyjaśnienie: płatności okupu spadają z powodu zmieniających się trendów i lepszego przygotowania. Sam raport nie rozkłada na czynniki wszystkich przyczyn, więc warto zachować ostrożność co do tego, co można stwierdzić z pewnością.

Ogólnie rzecz biorąc, organizacja płaci okup z jednego z dwóch powodów: aby odzyskać swoje systemy lub aby powstrzymać publikację skradzionych danych. Jeśli ofiara może odtworzyć systemy z czystych kopii zapasowych i ma przećwiczony plan reagowania, pierwszy powód w dużej mierze znika. To najbardziej prawdopodobne odczytanie słów „lepsze przygotowanie”.

Wskaźnik płatności wynoszący 29% oznacza również, że mniej więcej siedmiu na dziesięciu poszkodowanych zdecydowało się nie płacić lub nie dało się zmusić do zapłaty. To znacząca zmiana w rozkładzie sił. Ransomware to model biznesowy, który opiera się na przekonaniu ofiar, że zapłata jest najszybszym lub jedynym wyjściem.

Co sprawia, że wymuszenie staje się mniej skuteczne

Kilka praktycznych czynników zwykle osłabia pozycję grupy ransomware. Raport wskazuje ogólnie na przygotowanie, a oto elementy, które zazwyczaj kryją się za tym słowem:

  • Niezawodne, przetestowane kopie zapasowe. Kopie zapasowe przechowywane oddzielnie od głównej sieci i faktycznie przetestowane pod kątem odtworzenia pozwalają ofierze odbudować systemy bez klucza deszyfrującego.
  • Przećwiczony proces reagowania na incydenty. Zespoły, które mają plan, mogą szybko odizolować dotknięte systemy, co ogranicza szkody, jakie mogą wyrządzić atakujący.
  • Większa świadomość. Zapłata nie daje żadnej gwarancji. Przestępcy mogą nie dostarczyć działających narzędzi deszyfrujących, a płatność może oznaczyć organizację jako skłonną do zapłaty ponownie.

Nic z tego nie czyni ofiary odporną. Presja na atakujących jest jednak realna. Gdy mniej celów płaci, grupy muszą atakować więcej ofiar lub znajdować nowe sposoby na wywarcie presji na te, które zaatakowały.

Dlaczego brak zapłaty nie kończy ekspozycji danych

To część historii, która ma największe znaczenie dla prywatności. Wiele współczesnych operacji ransomware stosuje podwójne wymuszenie: najpierw kradnie dane, a potem szyfruje systemy. Nawet jeśli ofiara odtworzy wszystko z kopii zapasowych i odmówi zapłaty, atakujący wciąż mają kopie skradzionych plików i mogą grozić ich publikacją.

To zmienia to, przed czym faktycznie chroni „po prostu powiedz nie”. Odmowa zapłaty może utrzymać działalność firmy i pozwolić uniknąć finansowania przestępców. Nie odzyskuje jednak danych, które już opuściły sieć. Najbardziej dotknięte są często nie firma, lecz jej klienci, pacjenci i pracownicy, których dane osobowe mogą trafić na stronę wyciekową.

Rzeczywiste przypadki pokazują, jak to wygląda w praktyce. W naruszeniu Flink, gdzie LPG Group zażądała okupu od klientów, presja była skierowana na osoby, których dane rzekomo skradziono, a nie tylko na firmę. Nasz artykuł objaśniający na temat grupy ransomware Settra i jej ryzyka podwójnego wymuszenia danych omawia ten sam mechanizm bardziej szczegółowo.

Skala ataków również pozostaje wysoka. ThreatMon odnotował 1 067 ofiar na całym świecie w fali ransomware z sierpnia 2026, co przypomina, że spadający wskaźnik płatności nie jest tym samym co mniejsza liczba incydentów.

Co to oznacza dla Ciebie

Jeśli jesteś osobą prywatną, Twoja ekspozycja zwykle wynika z organizacji, które przechowują Twoje dane. Nie możesz kontrolować ich kopii zapasowych, ale możesz ograniczyć szkody, jeśli ich dokumentacja wycieknie. Jeśli prowadzisz małą firmę, należysz do grupy, która najbardziej korzysta z przygotowania, ponieważ przetestowany plan odtworzenia zamienia „płać albo stracisz wszystko” w możliwą do opanowania awarię.

Zestawienie ofiar ransomware Akira to przydatna weryfikacja rzeczywistości: żadna branża ani wielkość firmy nie jest odporna. Bycie małym nie jest tarczą.

Co osoby prywatne i małe firmy mogą zrobić teraz

Dla osób prywatnych:

  • Używaj unikalnych haseł do każdego konta, z menedżerem haseł, aby wyciek danych logowania w jednym naruszeniu nie odblokował innych.
  • Włącz uwierzytelnianie wieloskładnikowe wszędzie, gdzie jest oferowane.
  • Bądź czujny na e-maile phishingowe i wymuszające, które odwołują się do prawdziwych danych na Twój temat. Przestępcy wykorzystują wyciekłe informacje, aby brzmieć przekonująco.
  • Udostępniaj tylko te dane osobowe, których usługa naprawdę potrzebuje.

Dla małych firm:

  • Utrzymuj wiele kopii zapasowych, z co najmniej jedną przechowywaną offline lub odizolowaną od głównej sieci.
  • Testuj odtwarzanie z tych kopii zapasowych. Nieprzetestowana kopia zapasowa to zgadywanie.
  • Zapisz prosty plan reagowania na incydenty: do kogo dzwonić, które systemy odizolować i kto rozmawia z klientami.
  • Ogranicz ilość przechowywanych danych. Informacje, których nie przechowujesz, nie mogą zostać skradzione i ujawnione.
  • Planuj kradzież danych, nie tylko szyfrowanie, ponieważ odmowa zapłaty nie cofa wycieku.

Podsumowanie

Spadek do 29% pokazuje, że odmawianie przez ofiary ransomware płacenia okupu staje się coraz częstsze, a przygotowanie się opłaca. Walka jednak się przesunęła: atakujący coraz częściej polegają na groźbie publikacji skradzionych danych, a ta groźba pozostaje nawet wtedy, gdy okup nie zostanie zapłacony.

Poświęć w tym tygodniu czas na przegląd własnych nawyków dotyczących kopii zapasowych i ochrony danych oraz upewnij się, że rozumiesz, jak działa podwójne wymuszenie. Aby poznać rzeczywisty kontekst, przeczytaj o liście ofiar ransomware Akira oraz o fali ransomware z sierpnia 2026. Przygotowanie nie powstrzyma każdego ataku, ale sprawia, że powiedzenie „nie” staje się realną opcją.