Звіт IBM «Cost of a Data Breach 2025» наводить конкретну цифру для того, про що фахівці з безпеки попереджали роками: викуп — це далеко не справжня ціна атаки програм-вимагачів. Згідно зі звітом, середня загальна вартість інциденту з програмами-вимагачами сягнула $4,4 мільйона, що більш ніж у 38 разів перевищує середню суму викупу в $115 000. Коли аналіз звужується до порушень, у яких безпосередньо використовувалися програми-вимагачі або здирництво, середня вартість зростає ще більше — до $5,08 мільйона.

Для малих і середніх підприємств (МСП) ці цифри не є абстрактними. Вони показують розрив між тим, на що бізнес закладає бюджет (викуп, який сподіваються ніколи не платити), і тим, що атака насправді висмоктує з організації, якщо врахувати відновлення, простої, юридичні ризики та репутаційні збитки.

Цифри за заголовком

38-кратний множник між сумою викупу та загальною вартістю інциденту — найважливіша цифра у звіті IBM, і вона заслуговує на значно більше уваги, ніж зазвичай отримує. Більшість розмов про програми-вимагачі зосереджуються на самому викупі: скільки вимагають зловмисники, чи варто платити та як вести переговори. Однак дані IBM свідчать, що фіксація на сумі викупу приховує справжню фінансову загрозу.

Вимога викупу в $115 000 звучить як прийнятний, хоча й болючий, бізнес-витрата. Загальна вартість у $4,4 мільйона — це вже зовсім інша розмова, яка зачіпає зарплати, контракти з постачальниками, довіру клієнтів, а в окремих випадках — саме виживання бізнесу. Цифра $5,08 мільйона саме для порушень із програмами-вимагачами та здирництвом підтверджує, що ця категорія інцидентів стабільно належить до найдорожчих типів витоку даних, з якими може зіткнутися організація.

Чому викуп — це найменша частина рахунку

Розрив між викупом і загальними витратами існує тому, що програми-вимагачі не просто шифрують файли — вони порушують діяльність. Системи вимикаються. Працівники не можуть отримати доступ до інструментів, потрібних для роботи. Сервіси, орієнтовані на клієнтів, перестають працювати. Доводиться залучати команди відновлення, часто в екстреному порядку, щоб відбудувати інфраструктуру з нуля, замість того, щоб просто довіритися ключу дешифрування від зловмисника.

До операційних збоїв додаються витрати, які накопичуються ще довго після відновлення систем: повідомлення регуляторів, потенційні штрафи, відтік клієнтів, судові витрати, а також репутаційний удар, що може послідувати за публічним розкриттям порушення. Ширше дослідження IBM «Cost of a Data Breach» постійно показує, що саме ці подальші витрати, а не початкова вимога здирників, становлять левову частку того, що організація в підсумку витрачає. Програми-вимагачі просто концентрують усі ці витрати в коротший і хаотичніший проміжок часу.

Чому малий і середній бізнес — ціль №1

МСП є привабливими цілями саме тому, що зазвичай мають менші бюджети на безпеку та менші ІТ-команди, ніж великі підприємства, водночас часто володіючи цінними клієнтськими або фінансовими даними. Зловмисники знають, що менша організація з меншою ймовірністю має резервні системи, спеціалізований персонал для реагування на інциденти або грошові резерви, щоб поглинути тривалий простій без серйозних наслідків.

Ця динаміка чітко проявилася в нещодавніх кампаніях програм-вимагачів. Такі угруповання, як Qilin і The Gentlemen, активно нарощують атаки саме на малий і середній бізнес, змагаючись за домінування у просторі «програми-вимагачі як послуга» і зосереджуючись на організаціях, менш здатних захищатися. Дані IBM про витрати допомагають зрозуміти чому: для зловмисників МСП становлять поєднання реального потенціалу виплати та порівняно слабкого захисту — комбінація, яка міцно тримає цей сегмент під прицілом.

Що це означає для вас

Якщо ви керуєте малим або середнім бізнесом чи працюєте в ньому, ці цифри мають змінити ваше уявлення про ризик програм-вимагачів. Доречне запитання не «чи можемо ми дозволити собі заплатити викуп, якщо до цього дійде», а «чи зможемо ми пережити загальну вартість інциденту, включно з тижнями простою, витратами на відновлення та наслідками». Ця загальна вартість, згідно з даними IBM, вимірюється мільйонами, а не десятками тисяч.

Це також має прямі наслідки для конфіденційності. Інциденти з програмами-вимагачами часто передбачають не лише шифрування, а й викрадення даних, тобто особиста інформація клієнтів і працівників може опинитися під загрозою, навіть якщо викуп сплачено. Бізнес, який ставиться до програм-вимагачів суто як до ІТ-збою, ризикує недооцінити зобов’язання щодо конфіденційності та комплаєнсу, що виникають після витоку з крадіжкою даних.

Практичні висновки

З огляду на масштаб цих витрат, запобігання та готовність є значно важливішими за стратегію переговорів. Кілька конкретних кроків, на які варто звернути першочергову увагу:

  • Підтримуйте регулярні, перевірені резервні копії, які зберігаються офлайн або в такий спосіб, щоб зловмисники не могли дістатися до них і зашифрувати разом з основними системами.
  • Побудуйте план реагування на інцидент до того, як станеться атака, а не під час неї, включаючи чітке визначення того, хто ухвалює рішення щодо простою, розкриття інформації та контакту з правоохоронними органами.
  • Інвестуйте в базову гігієну безпеки: багатофакторну автентифікацію, своєчасне встановлення оновлень і навчання працівників розпізнавати фішингові атаки, оскільки багато заражень програмами-вимагачами починаються з одного скомпрометованого облікового запису або клацання в електронному листі.
  • Заздалегідь зрозумійте свої зобов’язання щодо повідомлення про витік даних, оскільки програми-вимагачі з крадіжкою даних можуть запускати юридичні вимоги незалежно від того, чи сплачено викуп.

Висновки IBM за 2025 рік чітко показують одне: вимога викупу відволікає від справжньої фінансової загрози, яку становлять програми-вимагачі. Для МСП подолання розриву між вимогою на $115 000 та рахунком на $4,4 мільйона починається задовго до того, як зловмисник надішле своє перше повідомлення.