Liczba ofiar ransomware skoczyła o 24,9% – do 7 551 w raporcie za 2026 rok

Liczba ofiar ransomware rośnie, a tempo przyspiesza

Ransomware nie zwalnia. Według nowych danych, o których poinformował The National CIO Review, od kwietnia 2025 r. do marca 2026 r. odnotowano 7 551 publicznie ujawnionych ofiar ransomware, co oznacza wzrost o 24,9% w porównaniu z rokiem poprzednim. Samo to byłoby godne uwagi, ale więcej mówi szczegół dotyczący tego, gdzie nastąpił wzrost: nie rozłożył się on równomiernie w ciągu roku. Skoncentrował się w drugiej połowie, gdy średnia miesięczna liczba ofiar niemal się podwoiła, rosnąc z 484 do 775.

Tego rodzaju przyspieszenie ma większe znaczenie niż roczna suma. Stały wzrost sugeruje uporczywy problem, do którego organizacje stopniowo się przystosowują. Gwałtowny skok w połowie roku sugeruje, że coś się zmieniło — czy to więcej grup ransomware wchodzących na scenę, skalowanie działań przez istniejące grupy, czy po prostu szybsze publiczne ujawnianie ofiar w miarę ewolucji taktyk wymuszeń.

Współczesne operacje ransomware coraz częściej opierają się na „podwójnym wymuszeniu”, w ramach którego atakujący nie tylko szyfrują systemy ofiary, ale także kradną dane i grożą ich publicznym ujawnieniem, jeśli okup nie zostanie zapłacony. To właśnie groźba ujawnienia często sprawia, że organizacja trafia na publiczną listę ofiar, ponieważ gangi ransomware często prowadzą strony do publikacji wykradzionych danych specjalnie po to, by wywierać presję na zapłacenie.

Ta dynamika wielokrotnie ujawniała się w różnych sektorach. Firmy budowlane i inżynieryjne, organy administracji publicznej, linie lotnicze i sprzedawcy detaliczni znajdowali się na ransomware’owych stronach ujawniających dane po tym, jak atakujący twierdzili, że wykradli poufne informacje. Na przykład zadeklarowany przez grupę ransomware Play atak na Kreysler & Associates przebiegał dokładnie według tego schematu: groźba ujawnienia danych została wykorzystana jako dźwignia, a ofiarę wskazano publicznie, zanim rozstrzygnięto żądanie okupu. Podobnie jedna operacja ransomware została powiązana z naruszeniami w ANC z RPA, liniach SAA i sieci Pick n Pay, co pokazuje, jak jedna grupa może w krótkim czasie zgromadzić wiele głośnych ofiar z niezwiązanych ze sobą branż.

Rosnąca liczba aktywnych grup ransomware, na którą powołuje się The National CIO Review, pasuje do tego wzorca. Więcej grup działających jednocześnie oznacza więcej stron ujawniających dane, więcej deklarowanych ofiar i więcej prowadzonych równolegle kampanii nacisku, co pomaga wyjaśnić, dlaczego miesięczna liczba ofiar niemal się podwoiła, zamiast rosnąć stopniowo.

Chociaż nagłówki o ransomware zwykle koncentrują się na zaatakowanych organizacjach, konsekwencje dla prywatności dotykają również osób, których dane te organizacje przechowują. Gdy grupa ransomware kradnie dane przed zaszyfrowaniem sieci, wśród skradzionych informacji często znajdują się dane klientów, dane pracowników, dane finansowe lub medyczne — w zależności od branży ofiary. Nawet jeśli firma odmówi zapłaty i odtworzy systemy z kopii zapasowych, skradzione dane mogą i tak zostać opublikowane lub sprzedane, jeśli atakujący zrealizują groźby ujawnienia.

Dlatego rosnąca liczba ofiar to nie tylko problem firmowych działów IT. Każda nowa nazwa dodana do strony ujawniającej dane potencjalnie oznacza tysiące osób, których dane osobowe są teraz narażone na ujawnienie, kradzież tożsamości lub ukierunkowany phishing. Skala udokumentowana w tym raporcie — liczba ofiar rosnąca ze średnio 484 do 775 miesięcznie — przekłada się na znacząco większą grupę ludzi, którzy mogą musieć martwić się o dane krążące poza ich kontrolą.

Co to oznacza dla ciebie

Nie musisz zarządzać siecią firmową, aby odczuć skutki tego trendu. Jeśli jesteś klientem, pracownikiem lub pacjentem jakiejkolwiek organizacji, twoje dane mogą zostać wciągnięte w naruszenie, do którego w żaden sposób się nie przyczyniłeś. Kilka praktycznych kroków może zmniejszyć twoje narażenie:

• Zakładaj, że każde konto powiązane z organizacją, z którą masz kontakt, może w końcu stać się częścią naruszenia, i używaj unikalnych haseł do każdej usługi, aby jeden wyciek nie pociągnął za sobą kolejnych.
• Włączaj uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest dostępne, ponieważ skradzione dane logowania są znacznie mniej przydatne dla atakujących, jeśli wymagany jest drugi etap weryfikacji.
• Obserwuj e-maile z powiadomieniami od firm, z których usług korzystasz, i traktuj poważnie informacje o naruszeniach, zamiast uznawać je za rutynowe.
• Rozważ blokadę kredytową lub alert o oszustwie, jeśli otrzymasz powiadomienie, że twoje dane brały udział w incydencie ransomware, zwłaszcza gdy obejmowały dane finansowe lub informacje tożsamości.

Podsumowanie

Wzrost liczby publicznie ujawnianych ofiar ransomware, a zwłaszcza gwałtowne przyspieszenie w drugiej połowie analizowanego okresu, sygnalizuje, że cyberprzestępczość oparta na wymuszeniach staje się coraz lepiej zorganizowana i częstsza, zamiast się stabilizować. Dla organizacji oznacza to ponowną presję na wzmocnienie zabezpieczeń i planów reagowania na incydenty. Dla osób prywatnych to przypomnienie, że ochrona danych nie jest już wyłącznie odpowiedzialnością firm — jest wspólnym obowiązkiem. Śledzenie informacji o tym, które sektory są atakowane, oraz dbanie o podstawową higienę kont pozostaje jednym z najskuteczniejszych sposobów ograniczania osobistych konsekwencji, gdy kolejna grupa ofiar ransomware trafi na nagłówki.