Раніше невідома операція програм-вимагачів під назвою ExfilSquad здійснила надзвичайно агресивний вихід на сцену здирництва, опублікувавши 14 окремих заяв про злами за один день. Серед назв, що з’явилися на сайті витоку даних угруповання, — Microsoft та Zenith Bank, дві організації, чий масштаб і впізнаваність гарантують увагу незалежно від того, чи підтвердяться ці заяви після перевірки.

Останній момент важливий. Сайти витоку даних програм-вимагачів за своєю суттю є маркетинговими інструментами злочинних груп. Довгий список жертв, опублікований у перший день, покликаний продемонструвати спроможність і привернути увагу медіа, але це не підтверджує автоматично, що злам справді стався, що дані було викрадено або що угруповання має заявлений доступ. Розуміти, як читати такі заяви, не менш важливо, ніж реагувати на них.

З’являється нове угруповання: що заявляє ExfilSquad

Дебют ExfilSquad примітний насамперед обсягом. Чотирнадцять заяв про злами, опублікованих одночасно, — це велика партія для абсолютно нового угруповання, і це ставить ExfilSquad в один ряд із більш усталеними операціями «програми-вимагачі як послуга», які витрачали місяці чи роки на розбудову інфраструктури та мереж афіліатів. Нові угруповання іноді об’єднують старі, раніше не оприлюднені вторгнення зі свіжими, щоб їхній сайт витоку виглядав активнішим, ніж є насправді, а іноді вони повторно використовують дані зі зламів, які вже були розкриті в іншому місці під новою назвою бренду.

Присутність у списку такої компанії, як Microsoft, ймовірно, приверне непропорційно велику увагу просто через впізнаваність назви, але великі підприємства також є частими цілями як справжніх вторгнень, так і неправдивих заяв, оскільки цінність їхнього бренду робить будь-яке звинувачення резонансним. Включення Zenith Bank повторює подібну схему, поширену в екосистемі програм-вимагачів, де фінансові установи є привабливими цілями через чутливість даних клієнтів і тиск, спрямований на уникнення регуляторних і репутаційних наслідків.

На цьому етапі заяви слід вважати неперевіреними. Це не означає, що їх треба ігнорувати, але це означає, що читачам і постраждалим організаціям варто дочекатися підтвердження — чи то від самих компаній, незалежних дослідників безпеки, чи з судово-криміналістичних доказів, таких як зразки даних, опубліковані на сайті витоку.

Чому перевірка достовірності важлива для заяв про злам від програм-вимагачів

Модель здирництва програм-вимагачів залежить від тиску, а тиск найкраще працює, коли він публічний. Угруповання публікують назви жертв, іноді з таймерами зворотного відліку або зразками файлів, щоб підштовхнути організації до сплати до зазначеного терміну. Ця динаміка стала більш поширеною зі зростанням загального обсягу активності програм-вимагачів; нещодавні дані про тенденції програм-вимагачів на початку 2026 року показують подвоєння кількості жертв рік до року, а також зростання тактик здирництва, які не завжди передбачають шифрування файлів.

Аналіз достовірності зазвичай враховує кілька факторів: чи опублікувало угруповання верифіковані зразки даних, чи визнала заявлена жертва інцидент, чи має угруповання історію правдивих заяв, а також чи узгоджуються технічні деталі з відомими методами вторгнення. Нові угруповання без історії заслуговують на додаткову пильність, оскільки перебільшені або повністю сфабриковані заяви не є чимось нечуваним у цій сфері, особливо коли угруповання намагається швидко створити собі репутацію.

Також варто пам’ятати, що навіть коли заява про злам правдива, обсяг і чутливість викрадених даних можуть сильно відрізнятися. Дослідження неодноразово показували, що виявлення значно відстає від крадіжки даних; одне нещодавнє дослідження виявило, що майже половина жертв програм-вимагачів втрачає дані ще до того, як виявляє атаку, а це означає, що розрив між вторгненням і публічним розголошенням може тривати тижні або місяці.

Що це означає для вас

Якщо ви є клієнтом, співробітником або партнером однієї з названих організацій, найкорисніший крок зараз — це терпіння в поєднанні з базовими застережними заходами. Слідкуйте за офіційними заявами від Microsoft або Zenith Bank, оскільки великі організації зі спеціалізованими командами безпеки зазвичай публікують рекомендації, якщо справжній інцидент підтверджено. Тим часом доцільно перевірити безпеку власних облікових записів, особливо повторне використання паролів і багатофакторну автентифікацію, оскільки будь-який злам із витоком облікових даних може мати хвильовий ефект далеко за межами початкової цілі.

Для бізнесу загалом швидке розгортання ExfilSquad є нагадуванням, що ландшафт програм-вимагачів продовжує розширюватися, ускладнюючи відокремлення сигналу від шуму. Нові угруповання з’являються, проводять ребрендинг або відокремлюються від наявних операцій постійно, а деякі дослідження свідчать, що інструменти ШІ допомагають зловмисникам діяти швидше та переконливіше, ніж у минулому. Організації повинні ставитися до кожної заяви на сайті витоку як до такої, що варта розслідування, а не автоматично вірити, водночас сприймаючи базовий ризик достатньо серйозно, щоб перевірити власну вразливість.

Компанії, які дійсно зіткнулися з підтвердженим інцидентом, також повинні усвідомлювати, що їхня реакція має юридичну вагу. Здійснення платежу за вимагання може нести регуляторний ризик залежно від того, з ким пов’язане угруповання, і компанії, які розглядають можливість виплати викупу, повинні розуміти пов’язану із цим санкційну відповідальність, перш ніж ухвалювати таке рішення.

Практичні висновки

Для окремих осіб: стежте за офіційними повідомленнями названих організацій, увімкніть багатофакторну автентифікацію там, де це можливо, та уникайте повторного використання паролів на різних сервісах.

Для бізнесу: перевіряйте заяви про злами через власну команду безпеки або надійні джерела розвідки загроз, перш ніж реагувати публічно, підтримуйте актуальні плани реагування на інциденти та забезпечте регулярне тестування систем резервного копіювання та виявлення, щоб виявляти вторгнення до того, як відбудеться масштабна крадіжка даних.

Поява ExfilSquad додає ще одне ім’я до вже переповненої царини угруповань програм-вимагачів, і її 14 заявлених жертв заслуговують на пильну перевірку, а не на негайну тривогу. Найбезпечніший підхід для всіх, хто пов’язаний із названими організаціями, — залишатися поінформованими через перевірені канали, посилити особисту та організаційну гігієну безпеки та сприймати неперевірені заяви на сайтах витоку як привід для обережності, а не як підтвердження.