Varför ligger lösenbetalningsnivåerna på rekordlåga nivåer?

Organisationer är i allt högre utsträckning villiga att absorbera den operativa smärtan av en attack snarare än att finansiera brottslingar, och det kriminella ekosystemet fragmenteras i mindre, mindre samordnade grupper som har mindre förhandlingskraft.

Hur svarar ransomware-grupper på lägre betalningsnivåer?

Vissa eskalera från digital tvång till hot som spill över i den fysiska världen, med mer direkta former av hot riktade mot människor kopplade till målorganisationer.

Minskar ransomware-betalningarna totalt sett?

Nej, medan andelen offer som betalar har sjunkit, hoppade den genomsnittliga betalningen med 176% till 1,88 miljoner dollar under ett enda kvartal, så färre offer betalar men de som gör det betalar mycket mer.

Vilken sektor attackeras aggressivt av en stor utpressningsgrupp?

Den juridiska sektorn attackeras aggressivt av en av de största kvarvarande utbetalningsgrupperna.

Vad innebär denna förändring för ransomware-försvar?

Det innebär att ransomware-försvar inte längre bara handlar om backuper, patchning och endpoint-skydd; utpressning blir lika mycket ett mänskligt problem som ett tekniskt sådant.

Rekordlåga lösenbetalningar driver utpressningstaktik mot fysiska hot

Ransomware-grupper har allt svårare att få betalt. Ny rapportering visar att andelen offer som går med på att betala lösen har sjunkit till sin lägsta nivå någonsin, en trend som omformar hur kriminella grupper pressar sina mål. I stället för att backa är några av de största kvarvarande utbetalningarna nu knutna till en enda grupp som aggressivt riktar in sig på den juridiska sektorn, och andra aktörer verkar kompensera för lägre betalningsfrekvens genom att eskalera från digital tvång till hot som spill över i den fysiska världen.

Denna förändring är viktig för alla som ansvarar för att skydda en organisations data, eftersom den innebär att den gamla kalkylen för ransomware-försvar (backuper, patchning, endpoint-skydd) inte längre är hela historien. Utpressning blir lika mycket ett mänskligt problem som ett tekniskt sådant.

Varför lösenbetalningsnivåerna slår rekordlåga

I åratal kunde ransomware-grupper räkna med att en förutsägbar andel offer skulle betala för att få tillbaka sina data eller förhindra läckor. Den matematiken håller på att brytas ner. Betalningsnivåerna har nu sjunkit till en rekordlåg nivå, enligt den senaste rapporteringen, vilket tyder på att organisationer i allt högre utsträckning är villiga att absorbera den operativa smärtan av en attack snarare än att finansiera brottslingarna bakom den.

Detta följer bredare förändringar i ransomware-landskapet. Som framgår av vpn.social:s genomgång av hur ransomware-ekosystemet splittras håller den kriminella underjorden själv på att fragmenteras i dussintals mindre, mindre samordnade grupper. Fragmentering gör det svårare för enskilda aktörer att bygga upp det rykte och den förhandlingskraft som en gång uppmuntrade offer att betala snabbt. Samtidigt visar uppmärksammade uppgörelser som 23andMe:s utbetalning på 18 miljoner dollar att organisationer i allt högre utsträckning kanaliserar pengar till juridiska och regulatoriska lösningar snarare än att direkt belöna angripare.

Intressant nog, även om färre offer betalar, kan de betalningar som faktiskt går igenom vara enorma. En separat vpn.social-rapport om lösenbetalningar under Q2 2026 visade att den genomsnittliga betalningen hoppade med 176% till 1,88 miljoner dollar under ett enda kvartal, även när den totala andelen betalande offer minskade. Färre betalar, men de som gör det betalar mycket mer, ofta för att angriparna i dessa fall tillämpar ovanligt intensiv press.

Hur utpressning blir fysisk: hot bortom nätverket

Med färre offer som är villiga att betala enbart för att undvika dataläckage verkar vissa utpressningsgrupper höja insatserna bortom själva nätverket. I stället för att enbart förlita sig på krypterade filer eller hot om att publicera stulna data övergår dessa grupper enligt uppgift till mer direkta former av hot riktade mot människor kopplade till målorganisationen, inte bara dess system.

Detta är en betydande eskalering. En ransomware-förhandling brukade i grunden vara ett tekniskt och ekonomiskt beslut: återställ från backup, betala lösen eller acceptera datatförlusten. När hot flyttas till den fysiska sfären flyttas beslutsfattandet till organisationens säkerhets- och juridiska team, och potentiellt till brottsbekämpande myndigheter, på sätt som brandväggar och VPN aldrig designades för att hantera. Det är en påminnelse om att cyberkriminella grupper anpassar sina taktiker baserat på vad som fungerar ekonomiskt, och när digital hävstång slutar generera utbetalningar är vissa villiga att söka andra påtryckningspunkter.

Den juridiska sektorns oproportionerliga exponering för riktade utbetalningar

Även om betalningsnivåerna totalt sett faller, noterar rapporteringen att en oproportionerlig andel av de stora utbetalningar som fortfarande sker kan spåras till en grupp som specifikt fokuserar på den juridiska sektorn. Advokatbyråer är attraktiva mål av en anledning: de innehar känslig klientinformation, privilegierad kommunikation och processmaterial som kan vara professionellt och juridiskt förödande om det exponeras. Den kombinationen av höga insatser och tidskänsliga åtaganden kan göra juridiska organisationer mer benägna att betala, även när den bredare trenden går i motsatt riktning.

Denna koncentration illustrerar också hur ransomware har rört sig bort från opportunistiska attacker av typen "spraya och be" mot mer avsiktlig riktning mot branscher där kostnaden för att säga nej är särskilt hög.

Vad detta innebär för dig

För de flesta individer kommer denna trend inte att översättas i ett direkt hot, men den understryker hur mycket mer sofistikerade och riktade ransomware-operationer har blivit. Om du arbetar på en advokatbyrå, en vårdgivare eller någon organisation som innehar känslig klient- eller patientdata har riskkalkylen förändrats. Det handlar inte längre bara om huruvida dina filer krypteras; det handlar om vem som kan hotas, kontaktas eller utsättas för påtryckningar som en del av ett utpressningsförsök.

Minska risken i en hybrid hotmiljö med cyber och fysiska hot

Tekniskt försvar spelar fortfarande roll, men det räcker inte längre på egen hand. Organisationer bör upprätthålla testade, offline-backuper, tillämpa multi-faktor-autentisering och hålla programvara patchad. Lika viktigt nu är att ha en tydlig incidenthanteringsplan som tar hänsyn till hot mot anställda, chefer eller klienter, inte bara servrar. Som vpn.social tidigare rapporterat, visade dubbel-utpressningstaktik redan att backuper inte räcker för att garantera säkerhet när data väl har stulits; framväxten av fysiska hot-taktiker förlänger den lärdomen ytterligare. Anställda bör utbildas i att känna igen och rapportera misstänkt kontakt, och juridiska och säkerhetsteam bör samordna i förväg om hur man hanterar hot som går bortom en lösennota.

Nyckelpunkter

Lösenbetalningsnivåerna har sjunkit till en rekordlåg nivå, vilket minskar det ekonomiska incitamentet för opportunistiska attacker.
Vissa grupper kompenserar genom att eskalera till fysiska hot, en taktik som VPN och endpoint-verktyg inte kan hantera på egen hand.
Den juridiska sektorn förblir oproportionerligt exponerad för stora, riktade utbetalningar.
Starka backuper och nätverkssäkerhet förblir avgörande, men organisationer behöver också incidenthanteringsplaner som tar hänsyn till tvång riktat mot människor, inte bara data.

Allt eftersom ransomware-ekonomin förändras är att hålla sig informerad om hur utpressningstaktiker utvecklas ett av de mest praktiska stegen varje organisation kan ta för att förbereda sig.