Gangi ransomware'owe omijają gabinet dyrektora

Przez lata szkolenia z zakresu świadomości bezpieczeństwa koncentrowały się na ochronie dyrektorów generalnych, finansowych i innych członków kadry kierowniczej przed atakami celowanymi. Nowe badania sugerują, że operatorzy ransomware'u poszli dalej. Według danych zespołu badawczego ThreatLabz firmy Zscaler, atakujący coraz częściej celują w menedżerów IT i biznesowych średniego szczebla, a średni wiek ofiary wynosi 46 lat, zamiast koncentrować swoje wysiłki na najwyższej kadrze zarządzającej.

Wnioski pochodzą z analizy pojedynczej kampanii ransomware, w której zbadano 351 ofiar. Z tej grupy 62% posiadało tytuły menedżerskie lub wyższe, w szczególności role z uprawnieniami do płatności i podejmowania decyzji finansowych. Ten szczegół ma znaczenie. Ransomware działa jako model biznesowy tylko wtedy, gdy ktoś z uprawnieniami do zatwierdzania płatności odczuwa wystarczającą presję, aby to zrobić. Wydaje się, że atakujący doszli do wniosku, że menedżer średniego szczebla, który kontroluje zatwierdzanie budżetu, umowy z dostawcami lub infrastrukturę IT, często jest szybszą drogą do wypłaty niż próba dotarcia do dyrektora generalnego, który może być oddalony o kilka poziomów od codziennych decyzji płatniczych.

Dlaczego menedżerowie IT są idealnym celem

Przesunięcie w kierunku menedżerów średniego szczebla odzwierciedla zmianę w sposobie planowania operacji przez atakujących. Zamiast wysyłać masowe ogólne e-maile phishingowe i liczyć na to, że coś się przyjmie, dane ThreatLabz wskazują, że kampanie te obejmują wcześniejsze mapowanie struktury organizacji. Atakujący identyfikują, kto gdzie siedzi na schemacie organizacyjnym, kto ma uprawnienia do płatności i kto ma wystarczający dostęp techniczny, aby spowodować realne szkody po przejęciu. Takie rozpoznanie pozwala im tworzyć spersonalizowane ataki socjotechniczne skierowane do bardzo konkretnego typu pracownika: na tyle wysoko postawionego, by mieć znaczenie, ale nie tak wysoko, by był otoczony warstwami asystentów i protokołów bezpieczeństwa.

To podejście wpisuje się w szerszy trend opisany w powiązanym raporcie o kampanii ransomware wymierzonej w menedżerów w dwóch trzecich przypadków, w którym podobnie stwierdzono, że personel kierowniczy, a nie kadra zarządzająca, stanowił większość ofiar w innym incydencie. Razem te doniesienia wskazują na celową strategię, a nie zbieg okoliczności. Menedżerowie IT i kierownicy działów często mają dokładnie taką mieszankę dostępu i uprawnień, jakiej chcą operatorzy ransomware: dane administracyjne, wiedzę o systemach kopii zapasowych i możliwość zatwierdzenia płatności bez potrzeby uzyskania zgody całego zespołu kierowniczego.

Aspekt prywatności, który umyka w większości relacji

To, co sprawia, że ta zmiana jest godna uwagi z perspektywy prywatności, to fakt, jak duża część targetowania zależy od publicznie dostępnych informacji. Zbudowanie dokładnego schematu organizacyjnego, identyfikacja stanowisk i ustalenie, kto kontroluje płatności, zazwyczaj wymaga od atakujących pozyskiwania danych z serwisów sieci zawodowych, firmowych katalogów, komunikatów prasowych, a czasem z usług brokerów danych. Im bardziej szczegółowy jest publiczny profil pracownika, tym łatwiej atakującemu stworzyć przekonujący pretekst.

To właśnie tutaj ransomware zazębia się z rosnącym rynkiem dostępu do firm pozyskanego z kradzieży. Część tych samych danych wywiadowczych wykorzystywanych do zaplanowania ukierunkowanej wiadomości phishingowej może pochodzić z przejętych danych logowania lub dostępu sprzedawanego na forach przestępczych, co opisano w raporcie o rosyjskim hackerze, który sprzedawał skradziony dostęp do firm, szpiegując Ukrainę. Gdy atakujący ma już punkt zaczepienia lub szczegółowy profil pracownika, dostosowanie przynęty ransomware do konkretnego menedżera staje się znacznie łatwiejsze niż w czasach masowych kampanii phishingowych.

Co to oznacza dla Ciebie

Jeśli pracujesz w zarządzaniu IT, operacjach lub na jakimkolwiek stanowisku z uprawnieniami do płatności lub dostępu do systemów, badanie to sugeruje, że możesz być bardziej atrakcyjnym celem, niż wcześniej sądziłeś. Kilka praktycznych kroków może zmniejszyć Twoje ryzyko:

  • Sprawdź, co Twój pracodawca, profil LinkedIn lub biografia zawodowa ujawniają na temat Twoich konkretnych obowiązków i poziomu dostępu.
  • Traktuj nieoczekiwane wiadomości odwołujące się do Twojej funkcji zawodowej, uprawnień budżetowych lub systemów wewnętrznych ze szczególną ostrożnością, nawet jeśli wydają się pochodzić od znanego kontaktu lub dostawcy.
  • Potwierdzaj wszelkie prośby o płatności lub zmiany systemowe za pośrednictwem oddzielnego, zweryfikowanego kanału przed podjęciem działań, niezależnie od tego, jak pilna wydaje się wiadomość.
  • Naciskaj na planowanie kopii zapasowych i reagowania na incydenty w całej organizacji, zamiast zakładać, że atakujący zawsze będą celować w najwyższą kadrę. Schemat wielokrotnego wymuszenia w ransomware, powszechny w 2026 roku oznacza, że same kopie zapasowe nie są już gwarantowaną siecią bezpieczeństwa.

Podsumowując

Operatorzy ransomware udoskonalają swoje targetowanie w ten sam sposób, co legalni marketerzy: identyfikując, kto faktycznie ma władzę decyzyjną i docierając bezpośrednio do tych osób. Wyniki ThreatLabz firmy Zscaler wyraźnie pokazują, że menedżerowie IT i biznesowi średniego szczebla, a nie tylko kadra zarządzająca, znajdują się teraz na celowniku. Mniejsze organizacje bez dedykowanych zespołów ds. bezpieczeństwa są tutaj szczególnie narażone, dlatego warto zapoznać się z zasobami takimi jak przewodnik po ransomware na rok 2026 opracowany dla małych i średnich firm, niezależnie od wielkości firmy czy lokalizacji.

Nie chodzi o to, by panikować, ale by uznać, że stanowisko i poziom dostępu działają teraz jako swego rodzaju profil celu. Ograniczenie swojego publicznego śladu, weryfikowanie nietypowych próśb i dążenie do silniejszego planowania reakcji organizacyjnej to praktyczne, osiągalne kroki, które każdy menedżer może zacząć wdrażać już dziś.