Служител отваря имейл, който изглежда съвсем обикновен, кликва върху линк и без да забележи, разкрива паролата си. Откраднатият идентификационен данък отваря врата по-надълбоко в мрежата. Няколко дни по-късно файловете спират да се отварят.

Тази верига от събития вече стои в основата на повечето случаи на заразяване с рансъмуер. Злонамерените имейли и фишингът заедно съставляват половината от всички инциденти, показва проучване сред 2158 ИТ и експерти по сигурността, чиито организации са били засегнати през изминалата година. Sophos възлага изследването и събира отговорите в началото на 2026 г.

Откраднатите идентификационни данни се нареждат веднага след имейлите като метод за проникване. Почти осем от десет атаки са започнали с действие, насочено срещу самоличността – чрез кражба на нови пароли или използване на вече компрометирани такива. Две трети от жертвите споделят, че техният рансъмуер инцидент е съвпаднал по време с най-сериозния пробив в сигурността на личните им данни.

Експлоатираните софтуерни уязвимости водеха класацията три поредни години. През тази година те спадат до 18%, при приблизително една трета за предходната година. Киберпрестъпниците са се насочили към компрометиране на пароли и имейл примамки, което е по-евтин начин за проникване в мрежата.

Sophos предупреждава, че атаките, базирани на пропуски в софтуера, могат отново да нараснат, тъй като инструментите с изкуствен интелект откриват софтуерни слабости все по-бързо.

Сред атаките, започнали с откраднати идентификационни данни, софтуерен пропуск или brute force (груба сила), изложените към интернет приложения са били най-честата входна точка, изпреварвайки потребителските устройства и защитните стени. Многофакторната автентификация е била внедрена при почти всяка атака, базирана на идентификационни данни. Въпреки това пропуските в покритието и методите за заобикаляне са позволили на атакуващите да преминат.

Жертвите посочват редица причини за това, че са станали обект на успешна атака. Пропуските в сигурността, известни и неизвестни, водят в списъка, изпреварвайки липсата на достатъчно персонал и слабата защита. Човешката грешка е единственият оперативен фактор, който бележи ръст.

Разходите за възстановяване са се увеличили. Средната цена за изчистване на атака, без да се включва платеният откуп, е достигнала 1,7 милиона долара през изминалата година, което е ръст с около една десета спрямо предходния доклад. Пикът отпреди две години все още остава над тази стойност. Медианата е много по-ниска, което означава, че малък брой изключително скъпи случаи изкуствено повишават средната стойност.

Разходите варират в широки граници. Почти една пета от организациите са похарчили между половин милион и един милион долара за възстановяване, а сходен дял са се сблъскали с разходи за милиони.

Повечето жертви са успели да възобновят дейността си бързо. Над половината от тях са заработили отново в рамките на една седмица, а средното време за възстановяване се запазва на около три седмици.

Исканията за откуп са спаднали драстично. Типичният размер на искания откуп е малко под 700 000 долара, което е близо две трети по-ниско за период от две години. Плащанията се движат в същата посока.

Медианното плащане се е установило на 769 000 долара, което е спад спрямо предходната година. Малко под половината от плащанията са надхвърлили седемцифрени суми. Жертвите по-често са договаряли по-ниски суми, като малко над половината от тях са платили по-малко от първоначално поисканото от атакуващия. Типичното споразумение е възлизало на близо девет десети от първоначалното искане.

Киберпрестъпниците определят размера на откупа според мишената. Най-малките фирми са получавали искания за суми близо до шестцифрени числа. Най-големите предприятия са получавали искания, достигащи милиони. Този диапазон показва, че се извършва предварително разузнаване, преди да се изпрати съобщението с искане за откуп.

Готовността за плащане се различава по сектори. Местните и държавните власти са плащали най-често, заедно с медийните и развлекателните компании, които са подложени на натиск бързо да възстановят обществените услуги. Търговците на дребно са плащали най-малко, като са били по-готови да изчакат прекъсването и да изградят системите си наново.

Резервните копия са поели по-голямата част от възстановяването през тази година. Организациите са възстановили архивните си системи, след като са ги небрежирали през предходната година. Две трети от жертвите с криптирани данни са успели да възстановят файловете си от резервно копие, което е ръст спрямо малко над половината през предходната година. Делът на платилите откуп за възстановяване на данни е спаднал до най-ниската си точка от три години насам.

Почти всяка жертва с блокирани файлове е успяла да си върне част от информацията. Съвсем малка част са загубили данните си завинаги.

Атакуващите възвръщат позиции при криптирането. Данните са били заключени при 56% от атаките, което е първото увеличение след две години на спад. Около един на всеки шест случая е включвал както криптиране, така и кражба на данни, което дава на злонамерения субект два начина да оказва натиск за пари.

Защитните стени са уловили повечето от тези атаки, преди да се активира съответният злонамерен код, и това ранно предупреждение е запазило повече данни непокътнати. Случаите, в които защитната стена е пропуснала изцяло атаката, са завършили с най-високи нива на криптиране.

Рансъмуерът оказва сериозно влияние върху служителите, които се справят с него. Почти всяка организация с криптирани данни съобщава за трайни последици върху своя екип по сигурността. Стресът от следваща атака води в списъка, следван от по-голям натиск от страна на висшето ръководство.

Един показател се откроява по отношение на кариерното развитие. Ръководният екип е бил сменен след атаката в повече от един на всеки пет случая.

Един ефект обаче е положителен. Признанието от страна на висшето ръководство е нараснало – това е единственото измеримо въздействие, което бележи ръст спрямо предходната година, тъй като управителните съвети обръщат по-голямо внимание след подобен инцидент.