What is double extortion ransomware?

Double extortion is when attackers steal sensitive data before encrypting files, then demand payment to prevent the data from being published or sold. The theft itself becomes the leverage, even if the victim can restore systems from backups.

Why don't backups protect against double extortion?

Backups solve the availability problem by restoring encrypted systems, but they do nothing to stop attackers from publishing stolen files. Since the ransom demand is about preventing a data leak, restoring from backup doesn't remove the pressure to pay.

What kinds of data do double extortion attackers steal?

Attackers copy customer records, financial documents, employee data, and intellectual property before encrypting systems. This stolen data is then used as leverage to demand payment.

Are some ransomware groups abandoning encryption entirely?

Yes, some groups have concluded that stealing data and threatening exposure is more profitable and less risky than deploying encryption malware across a network. Double extortion sits in the middle of that evolution, with attackers still encrypting but relying on data theft as the primary pressure point.

How common are ransomware attacks?

Kaspersky blocked 250,000 ransomware attacks across the Asia Pacific region in the first half of 2026. This volume shows how routine these attacks have become for organizations of every size.

Ransomware-ul urma cândva un scenariu simplu: atacatorii îți criptau fișierele, plăteai pentru a le recupera, iar povestea se termina acolo. Un ghid de prevenire a ransomware-ului publicat recent explică de ce acest model i...

Ce fură de fapt ransomware-ul cu dublă extorcare

Ransomware-ul urma cândva un scenariu simplu: atacatorii îți criptau fișierele, plăteai pentru a le recupera, iar povestea se termina acolo. Un ghid de prevenire a ransomware-ului publicat recent explică de ce acest model este depășit. Grupurile moderne de ransomware practică acum dubla extorcare, ceea ce înseamnă că fură date sensibile înainte de a cripta măcar un singur fișier. Abia după ce copiază înregistrări ale clienților, documente financiare, date ale angajaților sau proprietate intelectuală, blochează sistemele și cer plata.

Furtul în sine este pârghia. Dacă victima refuză să plătească, atacatorii amenință că vor publica datele furate sau le vor vinde altor criminali. Această amenințare se aplică indiferent dacă organizația își poate restaura sistemele din backupuri. Formularea din ghid este directă: dubla extorcare neutralizează vechiul sfat de a „restaura pur și simplu din backup”, pentru că cererea de răscumpărare nu mai vizează doar recuperarea fișierelor. Ea vizează prevenirea unei scurgeri de date care ar putea declanșa amenzi de reglementare, procese și daune de reputație ce persistă mult după ce sistemele sunt din nou online.

Această schimbare se acumula de ceva timp. După cum s-a arătat într-o analiză recentă despre modul în care grupările de ransomware renunță complet la criptare în favoarea extorcării, unele grupuri au ajuns la concluzia că furtul de date și amenințarea cu expunerea sunt mai profitabile și mai puțin riscante decât munca tehnică de a implementa malware de criptare pe o întreagă rețea. Dubla extorcare se află la mijlocul acestei evoluții: atacatorii încă criptează, dar furtul de date a devenit principalul punct de presiune.

De ce backupurile nu mai garantează siguranța

Timp de ani de zile, apărarea standard împotriva ransomware-ului era simplă: menține backupuri solide, iar dacă atacatorii îți criptează sistemele, restaurează dintr-o copie curată și refuză să plătești. Acest sfat rămâne important pentru recuperarea operațională, dar nu mai acoperă amenințarea în întregime. Un backup perfect îți restaurează serverele. Nu face nimic pentru a-i opri pe atacatori să publice fișierele furate dacă nu plătești.

Acest lucru contează pentru că expunerea financiară și juridică rezultată dintr-o scurgere de date poate depăși costul întreruperii activității. Organizațiile care gestionează dosare medicale, date financiare sau informații personale se confruntă cu obligații de notificare și posibile penalități în momentul în care datele furate sunt confirmate, indiferent dacă răscumpărarea este plătită vreodată. Backupurile rezolvă problema disponibilității. Nu rezolvă problema confidențialității, iar dubla extorcare este construită special pentru a exploata acest decalaj.

Amploarea amenințării subliniază de ce această distincție contează. Cercetătorii în securitate care monitorizează regiunea Asia-Pacific au raportat că Kaspersky a blocat 250.000 de atacuri ransomware în APAC în prima jumătate a anului 2026, un volum care reflectă cât de obișnuite au devenit aceste atacuri pentru organizații de toate dimensiunile, nu doar pentru marile întreprinderi cu echipe de securitate dedicate.

Apărări stratificate: VPN-uri, segmentare și controale de acces

Deoarece furtul de date are loc înainte de criptare, prevenirea trebuie să se concentreze pe împiedicarea atacatorilor de a ajunge la date sensibile în primul rând, nu doar pe recuperarea ulterioară. Ghidul indică o abordare stratificată, nu o soluție unică.

Un VPN este un strat util, în special pentru securizarea accesului de la distanță în sistemele interne, astfel încât acreditările și traficul dintre angajații de la distanță și rețelele companiei să nu fie expuse pe conexiuni publice sau nesecurizate. Dar un VPN singur nu împiedică un atacator care a obținut deja acreditări valide, prin phishing sau o parolă scursă, să se miște liber odată ce se află în rețea. Aici devine esențială segmentarea rețelei: împărțirea sistemelor în zone izolate, astfel încât un dispozitiv sau cont compromis să nu poată ajunge la fiecare server și bază de date deținute de organizație. Dacă atacatorii nu se pot deplasa lateral, nu pot organiza un furt masiv de date nici după o breșă inițială.

Controalele de acces completează acest strat. Limitarea angajaților și sistemelor care pot accesa date sensibile, solicitarea autentificării multi-factor și monitorizarea transferurilor neobișnuite de date reduc toate fereastra pe care o au atacatorii pentru a exfiltra informații înainte ca cineva să observe. Niciuna dintre aceste măsuri nu funcționează singură ca o soluție miraculoasă. Împreună, ele cresc semnificativ costul și dificultatea unui atac de dublă extorcare reușit.

Construirea unui plan de răspuns la incidente dincolo de recuperarea datelor

Un plan de răspuns la incidente construit doar în jurul restaurării sistemelor din backup este incomplet pentru era dublei extorcări. Organizațiile au nevoie de un plan care să abordeze și ce se întâmplă dacă datele furate sunt confirmate: cine stabilește obligațiile legale și de reglementare privind notificarea, cum sunt gestionate comunicările cu clienții și partenerii și cum decide organizația dacă să negocieze deloc. Aceste decizii sunt mult mai greu de luat bine sub presiune în timpul unui incident activ decât de planificat în avans.

Ce înseamnă asta pentru tine

Fie că conduci o afacere mică sau gestionezi IT-ul pentru o organizație mai mare, concluzia practică este aceeași: o strategie de apărare împotriva ransomware-ului cu dublă extorcare nu se poate opri la backupuri. Prevenirea furtului de date merită aceeași atenție ca recuperarea datelor. Asta înseamnă securizarea accesului de la distanță, segmentarea rețelelor astfel încât un singur cont compromis să nu expună totul și un plan de răspuns care acoperă scenariile de expunere a datelor, nu doar întreruperea activității.

Concluzii cheie

Presupune că orice incident de ransomware poate implica furt de date, nu doar criptare, și planifică în consecință.
Tratează backupurile ca un singur strat de apărare pentru recuperarea sistemelor, nu ca o soluție completă împotriva extorcării.
Folosește un VPN pentru a securiza accesul de la distanță, dar îmbină-l cu segmentarea rețelei și controale de acces puternice pentru a limita deplasarea laterală.
Construiește un plan de răspuns la incidente care abordează expunerea datelor și obligațiile de notificare, nu doar restaurarea sistemelor.
Rămâi informat despre modul în care tacticile ransomware-ului continuă să se schimbe, deoarece atacatorii își ajustează regulat metodele pe măsură ce apărarea se îmbunătățește.

FAQ: Q1: Ce este ransomware-ul cu dublă extorcare? A1: Dubla extorcare apare atunci când atacatorii fură date sensibile înainte de a cripta fișierele, apoi cer plata pentru a împiedica publicarea sau vânzarea datelor. Furtul în sine devine pârghia, chiar dacă victima își poate restaura sistemele din backupuri. Q2: De ce nu protejează backupurile împotriva dublei extorcări? A2: Backupurile rezolvă problema disponibilității prin restaurarea sistemelor criptate, dar nu fac nimic pentru a-i opri pe atacatori să publice fișierele furate. Deoarece cererea de răscumpărare vizează prevenirea unei scurgeri de date, restaurarea din backup nu elimină presiunea de a plăti. Q3: Ce tipuri de date fură atacatorii care practică dubla extorcare? A3: Atacatorii copiază înregistrări ale clienților, documente financiare, date ale angajaților și proprietate intelectuală înainte de a cripta sistemele. Aceste date furate sunt apoi folosite ca pârghie pentru a cere plata. Q4: Renunță unele grupuri de ransomware complet la criptare? A4: Da, unele grupuri au ajuns la concluzia că furtul de date și amenințarea cu expunerea sunt mai profitabile și mai puțin riscante decât implementarea malware-ului de criptare într-o rețea. Dubla extorcare se află la mijlocul acestei evoluții, atacatorii criptând încă, dar bazându-se pe furtul de date ca principal punct de presiune. Q5: Cât de frecvente sunt atacurile ransomware? A5: Kaspersky a blocat 250.000 de atacuri ransomware în regiunea Asia-Pacific în prima jumătate a anului 2026. Acest volum arată cât de obișnuite au devenit aceste atacuri pentru organizații de toate dimensiunile.

---END---