В последние месяцы заметными и устойчивыми участниками рынка вымогательских атак стали группировки Gentlemen, Qilin и Akira. Одновременно с ними появляются небольшие объединения и самостоятельные злоумышленники, из-за чего экосистема программ-вымогателей становится более раздробленной. По данным Halcyon, с июля по сентябрь этого года о нападениях заявили около 111 группировок.
Новая группировка Global Secret Group заявила о взломе 48 организаций, причём более половины жертв были добавлены в список в один день. Другая группа, Storm, за 20 дней назвала 71 предполагаемую жертву. Как отмечает Wired со ссылкой на анализ компании ReliaQuest, достоверность всех этих заявлений подтвердить нельзя, однако они создают дополнительную неопределённость для бизнеса.
Исследователь ReliaQuest Брэндон Тирадо связал рост числа новых группировок с развитием искусственного интеллекта. По его словам, такие технологии позволяют злоумышленникам быстрее создавать собственные объединения и расширять их возможности. Некоторые независимые операторы больше не зависят от традиционной модели ransomware-as-a-service («вымогательская программа как услуга»), при которой доступ к инструментам предоставляют специализированные поставщики.
Тирадо рассказал, что его команде удалось установить организатора одной из новых группировок. Им оказался неопытный подросток, который заработал более 800 тысяч долларов менее чем за две недели. Имя молодого человека исследователь публично раскрывать не стал.
По оценке эксперта Halcyon, искусственный интеллект помогает новым участникам обманывать цели, искать уязвимости, проверять программный код и получать резервный доступ через средства удалённого управления других группировок. При этом пока неизвестно, смогут ли такие объединения работать долго: многие могут быстро нарастить активность, а затем прекратить её из-за нехватки опыта и ресурсов. Независимые злоумышленники также могут чаще ограничиваться кражей данных с целью вымогательства, тогда как крупные группировки применяют двойное вымогательство — одновременно шифруют системы и угрожают публикацией похищенной информации.
Алан Лиска из Recorded Future сообщил, что уже зафиксированное в этом году число атак значительно превышает показатель за весь 2025 год. При этом количество инцидентов с шифрованием данных может сократиться по сравнению с прошлым годом. Такой подход позволяет нападающим упростить операции и сосредоточиться на угрозах публикации украденной информации.