Нова модель програм-вимагачів: поширення серед працівників
Угруповання програм-вимагачів довгий час дотримувались знайомої тактики: знайти привілейованого IT-адміністратора, викрасти його облікові дані та використовувати цей доступ для непомітного переміщення мережею. Але нові звіти свідчать, що ця модель змінюється. Тепер зловмисники компрометують кількох співробітників однієї організації, часто людей без жодних особливих технічних привілеїв, у межах одного скоординованого вторгнення.
Це важливо, оскільки відображає принципову зміну в тому, як оператори програм-вимагачів сприймають доступ. Замість того, щоб полювати на єдиний золотий набір облікових даних адміністратора, вони розширюють сферу пошуку на відділи, посади та бізнес-функції. Мета залишається тією ж — заблокувати системи та вимагати викуп, — але точки проникнення множаться. Згідно зі звітами, на промислові організації припадає найбільша частка жертв — 35,5%, за ними йдуть компанії у сфері інформаційних технологій — 14,6%, що свідчить про особливу привабливість секторів зі складними операційними технологіями та багаторівневою структурою персоналу.
Чому звичайні співробітники тепер стають головними цілями
Роками команди безпеки зосереджували більшу частину захисних зусиль на захисті привілейованих облікових записів: системних адміністраторів, адміністраторів баз даних, мережевих інженерів. Це мало сенс, коли угрупованням програм-вимагачів потрібен був глибокий технічний доступ для шифрування критичної інфраструктури. Але зловмисники адаптувалися. Багато операцій програм-вимагачів тепер розуміють, що критичні бізнес-процеси компанії — заробітна плата, закупівлі, записи клієнтів, координація логістики — проходять через звичайні облікові записи співробітників, які часто менш контрольовані та менш захищені, ніж IT-облікові дані.
Компрометуючи одразу кількох співробітників, зловмисники отримують надлишковість. Якщо один скомпрометований обліковий запис виявляють і блокують, інші залишаються активними, надаючи зловмисникам кілька точок опори для відступу. Такий підхід також полегшує горизонтальне переміщення, оскільки співробітники різних відділів часто мають доступ до пересічних систем, спільних дисків та інструментів комунікації, які ніколи не були розроблені з урахуванням такого багаторівневого нападу. Як детально описано в Угруповання програм-вимагачів тепер атакують менеджерів, а не лише IT, це розширення цілей є частиною ширшої тенденції, коли зловмисники свідомо переслідують людей з повноваженнями приймати рішення або володіти процесами, а не лише технічні ключі до мережі.
Наслідки для конфіденційності співробітників і клієнтів
Цей зсув має значні наслідки для конфіденційності. Коли угруповання програм-вимагачів компрометують кілька облікових записів співробітників, а не одного адміністратора, вони зазвичай отримують доступ до набагато ширшого масиву особистих та операційних даних: кадрових записів, внутрішніх комунікацій, файлів клієнтів і фінансових документів, розкиданих по різних відділах. Цей розширений охоплення збільшує ймовірність того, що конфіденційна особиста інформація опиниться під загрозою витоку або публікації, якщо викуп не буде сплачено.
Нещодавні випадки вимагання ілюструють, наскільки масштабними можуть бути ці наслідки. У випадку Витоку даних Stadler Rail зловмисники, пов'язані з платформою обміну даними, вимагали викуп у мільйони доларів після отримання доступу, пов'язаного з операційною діяльністю компанії. Аналогічно, Угруповання програм-вимагачів Qilin заявило про атаку на бразильську Cpcg у липні 2026 року демонструє, як угруповання програм-вимагачів продовжують атакувати організації в різних регіонах і галузях, використовуючи скомпрометований доступ для тиску на жертв з метою отримання платежу. Ці випадки підкреслюють сталу тему: чим більше облікових записів і систем можуть зачепити зловмисники, тим більше у них важелів впливу, і тим більше особистих даних піддається ризику.
Що це означає для вас
Якщо ви працюєте в компанії, яка обробляє конфіденційні дані — чи то записи клієнтів, фінансові деталі, чи внутрішні комунікації, — ця тенденція повинна змінити ваше уявлення про безпеку власного облікового запису. Не обов'язково бути системним адміністратором, щоб стати ціллю. Оператори програм-вимагачів дедалі більше цікавляться будь-ким, чий обліковий запис може стати точкою опори для доступу до критичних бізнес-процесів.
Для споживачів і клієнтів постраждалих компаній висновок не менш важливий. Витік, що починається з кількох скомпрометованих облікових записів співробітників, часто призводить до ширшого викриття особистих даних, ніж вторгнення через одну точку. Це означає, що стежити за ознаками витоку вашої інформації, змінювати паролі до пов'язаних сервісів і бути обережними щодо подальших фішингових атак, які часто слідують за такими інцидентами, тепер важливіше, ніж будь-коли.
Практичні кроки на майбутнє
Організації та окремі особи можуть сприяти зменшенню вразливості до такого роду атак. Співробітники повинні використовувати унікальні, надійні паролі для робочих облікових записів та вмикати багатофакторну автентифікацію скрізь, де вона пропонується, навіть для облікових записів, які не здаються «важливими». Компаніям слід поширити ту ж пильність, яка застосовується до облікових записів IT-адміністраторів, на ширшу аудиторію співробітників, оскільки зловмисники більше не проводять чіткої лінії між привілейованим і непривілейованим доступом.
Угруповання програм-вимагачів показали, що вони готові адаптувати свою стратегію вибору цілей, щоб використовувати прогалини в тому, як організації сприймають ризики. Оскільки кілька облікових записів співробітників стають життєздатними точками входу, відповідальність за захист поширюється відповідно — від IT-відділів до кожної людини, яка має дані для входу. Зберігати пильність щодо незвичної активності в обліковому записі, оперативно повідомляти про підозрілі електронні листи та підтримувати загальнокорпоративне навчання з безпеки — це прості, але ефективні способи допомогти усунути прогалини, які використовують ці зловмисники.
