Antalet ransomwareoffer fortsätter att stiga – och takten ökar

Ransomware saktar inte ner. Enligt nya siffror som rapporterats av The National CIO Review registrerades 7 551 offentligt kända ransomwareoffer mellan april 2025 och mars 2026, en ökning med 24,9 % jämfört med året innan. Bara det vore anmärkningsvärt, men den mer talande detaljen är var tillväxten skedde: ökningen var inte jämnt fördelad över året. Den var koncentrerad till andra halvåret, då det månatliga genomsnittet av offer nästan fördubblades, från 484 till 775.

Den typen av acceleration betyder mer än årssumman. En jämn uppgång tyder på ett ihållande problem som organisationer gradvis anpassar sig till. En kraftig topp mitt under året tyder på att något förändrades, oavsett om det handlar om fler ransomwaregrupper som ger sig in på området, befintliga grupper som skalar upp sina verksamheter eller offer som helt enkelt hängs ut offentligt i snabbare takt när utpressningsmetoderna utvecklas.

Varför toppen under andra halvåret är den verkliga nyheten

Moderna ransomwareoperationer förlitar sig allt oftare på "dubbel utpressning", där angriparna inte bara krypterar offrets system utan också stjäl data och hotar att läcka den offentligt om ingen lösensumma betalas. Det hotet om exponering är ofta det som gör att en organisation hamnar på en offentlig lista över offer från första början, eftersom ransomwareligor ofta driver läcksajter just för att pressa måltavlor att betala.

Den här dynamiken har upprepats gång på gång inom olika sektorer. Bygg- och teknikföretag, myndigheter, flygbolag och återförsäljare har alla hamnat på ransomwaregruppers läcksajter efter att angripare hävdat att de exfiltrerat känsliga data. Exempelvis följde Play ransomwaregruppens påstådda attack mot Kreysler & Associates exakt det mönstret: ett läckhot användes som påtryckning, och offret namngavs offentligt innan något lösenkrav hade avgjorts. På samma sätt kopplades en enda ransomwareoperation till intrång hos Sydafrikas ANC, SAA och Pick n Pay, vilket visar hur en grupp kan samla på sig ett brett spektrum av högprofilerade offer inom helt olika branscher under kort tid.

Det växande antalet aktiva ransomwaregrupper som nämns i rapporteringen från The National CIO Review passar in i det här mönstret. Fler grupper som är verksamma samtidigt innebär fler läcksajter, fler påstådda offer och fler påtryckningskampanjer som pågår parallellt, vilket bidrar till att förklara varför det månatliga antalet offer nästan fördubblades i stället för att öka gradvis.

Integritetskonsekvenserna för vanliga användare

Medan rubriker om ransomware tenderar att fokusera på organisationerna som drabbas, sipprar integritetskonsekvenserna ner till de människor vars data organisationerna har. När en ransomwaregrupp stjäl data innan den krypterar ett nätverk innehåller de stulna uppgifterna ofta kunduppgifter, personalinformation, ekonomiska uppgifter eller hälsodata, beroende på offrets bransch. Även om ett företag vägrar betala och återställer från säkerhetskopior kan de stulna uppgifterna ändå bli publicerade eller sålda om angriparna fullföljer sina läckhot.

Det är därför stigande antal offer inte bara är ett IT-problem för företag. Varje nytt namn som läggs till på en läcksajt representerar potentiellt tusentals personer vars personuppgifter nu riskerar att exponeras, användas för identitetsstöld eller utnyttjas i riktat nätfiske. Den omfattning som dokumenteras i den här rapporten, där antalet offer steg från i genomsnitt 484 till 775 per månad, innebär en betydligt större grupp människor som kan behöva oroa sig för att deras data cirkulerar utanför deras kontroll.

Vad detta betyder för dig

Du behöver inte driva ett företagsnätverk för att drabbas av den här trenden. Om du är kund, anställd eller patient hos någon organisation kan dina uppgifter hamna i ett intrång som du inte haft någon del i att orsaka. Några praktiska åtgärder kan minska din exponering:

  • Utgå från att alla konton kopplade till en organisation du interagerar med så småningom kan bli en del av ett intrång, och använd unika lösenord för varje tjänst så att en läcka inte spiller över till andra.
  • Aktivera flerfaktorsautentisering överallt där det erbjuds, eftersom stulna inloggningsuppgifter är mycket mindre användbara för angripare om ett andra verifieringssteg krävs.
  • Håll utkik efter e-postmeddelanden från företag du gör affärer med, och ta meddelanden om intrång på allvar i stället för att avfärda dem som rutin.
  • Överväg en kreditspärr eller bedrägerivarning om du får veta att dina uppgifter ingick i en ransomwareincident, särskilt om finansiell information eller identitetsuppgifter ingick.

Sammanfattningen

Ökningen av offentligt kända ransomwareoffer, och särskilt den kraftiga accelerationen under den senare halvan av rapporteringsperioden, visar att utpressningsbaserad cyberbrottslighet blir mer organiserad och vanligare snarare än att plana ut. För organisationer innebär det ett förnyat tryck att stärka sina försvar och sina incidenthanteringsplaner. För privatpersoner är det en påminnelse om att dataskydd inte längre bara är ett företagsansvar; det är ett delat ansvar. Att hålla sig informerad om vilka sektorer som utsätts och utöva grundläggande kontohygien är fortfarande ett av de mest effektiva sätten att begränsa de personliga följderna när nästa grupp ransomwareoffer hamnar i rubrikerna.