Ransomware kiedyś oznaczał zablokowane ekrany i zaszyfrowane serwery. Coraz częściej oznacza cichą kradzież i groźny e-mail. Niedawny raport The NAS Guy, oparty na danych o incydentach Coveware by Veeam za III kwartał 2026 r., opisuje, jak grupy takie jak Silent Ransom Group (SRG) całkowicie zrezygnowały z szyfrowania. Wymuszanie okupu poprzez kradzież danych bez ransomware jest szybsze, tańsze dla atakujących i trudniejsze do wykrycia przez tradycyjne zabezpieczenia.

Materiał źródłowy jest zwięzły, więc ten wpis trzyma się tego, co w nim stwierdzono: usunięcie kosztownego, pracochłonnego etapu wdrażania szyfrowania pozwala grupom prowadzić szybkie operacje włamania i wymuszenia, które omijają tradycyjne zabezpieczenia endpointów, zachowując dźwignię nad ofiarami. Przywołane liczby pochodzą z incydentów obsługiwanych przez Coveware by Veeam w III kwartale 2026 r.

Jak Silent Ransom Group wymusza okup bez szyfrowania

Klasyczne ataki ransomware wymagają, by kilka rzeczy poszło po myśli atakujących: muszą się dostać do środka, rozprzestrzenić się po systemach, wyłączyć zabezpieczenia i wdrożyć oprogramowanie szyfrujące, które rzeczywiście działa. Każdy z tych kroków stwarza okazję, by narzędzia bezpieczeństwa zauważyły, że coś jest nie tak.

Model oparty wyłącznie na eksfiltracji pomija większość z tego. Atakujący kopiują dane, a następnie kontaktują się z ofiarą i grożą ich publikacją. Nie ma nic do zaszyfrowania, więc nie ma ładunku szyfrującego, który oprogramowanie zabezpieczające endpointy mogłoby oznaczyć. Według raportu właśnie dlatego to podejście omija tradycyjne zabezpieczenia endpointów.

Zmienia to także kalkulację ofiary. Dobre kopie zapasowe mogą cofnąć atak szyfrujący, ale kopie zapasowe nic nie dają wobec groźby wycieku skradzionych plików. Presja wynika z ekspozycji, a nie z przestoju.

SRG była powiązana z atakami na duże kancelarie prawne, a jej działania pojawiły się w naszych materiałach, w tym w wpisie o wymuszeniu wobec Andersen Group na stronie LeakedData tej grupy.

Dlaczego płacenie za milczenie nie gwarantuje usunięcia danych

Zasadniczy problem z płaceniem okupu za dane polega na tym, że sprzedawanym produktem jest obietnica. Atakujący twierdzi, że dane zostaną usunięte, ale ofiara nie ma sposobu, by to zweryfikować. Skradzione dane można skopiować, zatrzymać lub odsprzedać, a przestępcy nie mają żadnej motywacji, by dotrzymać słowa poza ochroną własnej reputacji.

Nagłówek artykułu stawia sprawę wprost: płacenie za milczenie zawodzi. Nawet jeśli grupa dotrzyma jednej umowy, ofiara nie ma śladu audytowego, certyfikatu zniszczenia ani środków odwoławczych. Ta niepewność jest dźwignią. Ofiara, która zapłaciła raz, pokazała, że jest gotowa płacić.

Dla zwykłych ludzi implikacja jest niewygodna. Jeśli firma przechowująca Twoje dane płaci okup, nie możesz zakładać, że Twoje informacje zostały usunięte. Powinieneś traktować je jako ujawnione, niezależnie od tego, co firma mówi o wyniku.

Co ujawniają wyciekły dane portfela i ofiar

Historia SRG ma jeszcze jedną warstwę: podejrzenie wycieku danych wewnętrznych należących do grupy. Jak informowaliśmy, Chainalysis powiązała portfele kryptowalut z wycieku SRG z płatnościami okupu, ujawniając adresy kryptowalut powiązane z płatnościami dokonanymi na rzecz operacji.

Dlaczego to ma znaczenie? Pokazuje, że te operacje są przedsięwzięciami komercyjnymi z realnymi przychodami i że ofiary faktycznie płaciły. Pokazuje też, że grupy przestępcze same są podatne na ekspozycję. Wyciek przypomina, że dane w ich rękach są tak bezpieczne jak ich własne zabezpieczenia, co nie jest pocieszającą myślą, gdy te dane należą do Ciebie.

Pokazuje również, że zagrożenie nie ogranicza się do jednego sektora. Powiązane przypadki, takie jak dokumenty Mayer Brown opublikowane przez Luna Moth, pokazują, jak grupy wymuszające mogą wywierać presję na organizacje poprzez strony wycieków, nawet gdy firma twierdzi, że jej systemy nie zostały naruszone.

Co to oznacza dla Ciebie

Większość ludzi nigdy nie będzie negocjować z grupą wymuszającą okup. Ale Twoje dane mogą znajdować się w systemach kancelarii prawnych, doradców podatkowych, świadczeniodawców opieki zdrowotnej i innych usług profesjonalnych, które są celem atakujących. Gdy jeden z nich zostanie trafiony, stajesz się ofiarą pośrednią, nie zrobiwszy nic złego.

Ponieważ czysta eksfiltracja nie pozostawia oczywistych śladów ataku, o naruszeniu możesz dowiedzieć się dopiero wtedy, gdy pojawi się wpis na stronie wycieków lub firma wyśle powiadomienie. Zakładaj, że wszelkie dane, które posiadała naruszona firma, takie jak dane kontaktowe, dokumentacja finansowa czy dokumenty tożsamości, mogą znajdować się w rękach przestępców, i że płatność dokonana przez firmę tego nie zmienia.

Kroki, aby chronić się po naruszeniu u strony trzeciej

Nie możesz kontrolować, jak firma broni swoich serwerów, ale możesz ograniczyć, do czego można wykorzystać skradzione dane.

  • Zmień ponownie używane hasła. Jeśli używałeś tego samego hasła w dotkniętej firmie i gdzie indziej, zmień je wszędzie. Używaj menedżera haseł do generowania unikalnych haseł.
  • Włącz uwierzytelnianie dwuskładnikowe. Gdzie to możliwe, preferuj aplikację uwierzytelniającą lub klucz sprzętowy zamiast SMS-a, zwłaszcza w przypadku poczty e-mail, bankowości i przechowywania w chmurze.
  • Uważaj na ukierunkowany phishing. Skradzione dane sprawiają, że oszustwa są bardziej przekonujące. Bądź sceptyczny wobec wiadomości odwołujących się do prawdziwych dokumentów, szczegółów sprawy lub informacji o koncie.
  • Monitoruj naruszenia. Korzystaj z usługi powiadamiania o naruszeniach, aby dowiedzieć się, kiedy Twój adres e-mail pojawi się w wyciekłych danych.
  • Rozważ zamrożenie kredytu. Jeśli w grę wchodziły dane finansowe lub tożsamości, zamrożenie kredytu utrudnia otwarcie kont na Twoje nazwisko.
  • Weryfikuj powiadomienia niezależnie. Jeśli otrzymasz list o naruszeniu, skontaktuj się z organizacją, korzystając z danych, które sam znajdziesz, a nie z linków w wiadomości.

Podsumowanie

Wymuszanie okupu poprzez kradzież danych bez ransomware działa, ponieważ eliminuje najbardziej ryzykowny etap atakującego i pozbawia ofiary obrony opartej na kopiach zapasowych. Płacenie nie kupuje pewności, a wyciekły materiał SRG pokazuje, jak realne są pieniądze i ekspozycja. Zadbaj o higienę danych uwierzytelniających, włącz 2FA i obserwuj alerty o naruszeniach. Aby zobaczyć, jak te operacje przebiegają w praktyce, przeczytaj nasze materiały o wycieku SRG i ustaleniach Chainalysis dotyczących portfeli oraz wpisie o wymuszeniu wobec Andersen Group.