NCC Group zählt 2.865 Ransomware-Opferangaben im dritten Quartal 2026, 23% mehr

NCC Group hat im dritten Quartal 2026 Angaben zu 2.865 Ransomware-Opfern erfasst, 23% mehr als die 2.325 im zweiten Quartal. Das geht aus dem Cyber Threat Intelligence Report Review of Q3 2026 hervor. Auf den Industriesektor entfielen 29% der Angriffe in diesem Quartal, heißt es in dem Bericht.

Angriffe im September rückläufig

Im September gingen die Angriffe gegenüber dem Vormonat um 26% auf 821 zurück. In Nordamerika zählte der Bericht in diesem Monat die meisten, nämlich 390, gefolgt von Europa mit 211. Qilin blieb das sechste Quartal in Folge die aktivste Gruppe mit 365 Opfern. Danach folgten The Gentlemen mit 356 und INC Ransom mit 109.

Störung kritischer Infrastruktur

Der Bericht hob einen Cyberangriff im Juli auf eine kleine britische Stromerzeugungsanlage hervor, der den Betrieb etwa vier Tage lang zum Erliegen brachte. Der Vorfall hatte keine Auswirkungen auf das nationale Stromnetz. Die Techniken deckten sich mit denen, die zuvor mit iranisch verbundenen Kampagnen in Verbindung gebracht wurden, darunter Angriffe auf internetexponierte Industriesteuerungen, so der Bericht. Die britische Regierung hat den Angriff nicht offiziell zugeordnet, und die Techniken sind weiterhin unbestätigt.

Der Bericht verwies zudem auf die Schnittstelle zwischen IT und operativer Technologie, wo Fernwartung und zentrale Verwaltung Anlagennetze mit Bürosystemen verbinden. Er empfahl Netzsegmentierung, strengere Kontrollen für privilegierten Zugriff und die kontinuierliche Überwachung von OT-Umgebungen.

Ausgenutzte Schwachstellen und Zugangsvermittler

Mehr als 40 Schwachstellen in Unternehmensanwendungen, VPN-Geräten, E-Mail-Gateways und Managementplattformen wurden im Laufe des Quartals in den Known Exploited Vulnerabilities Catalog von CISA aufgenommen, heißt es in dem Bericht. Gunra, ein Ransomware-as-a-Service-Betrieb, hatte bis Ende des dritten Quartals 53 Opfer in verschiedenen Branchen ins Visier genommen. Die Gruppe nutzte CVE-2024-55591 und CVE-2025-24472 in internetzugänglichen Fortinet-Geräten aus und verwendete dann gestohlene Zugangsdaten, Session-Hijacking und administrative Tools, um sich zwischen Systemen zu bewegen, bevor sie Ransomware einsetzte.

Initial Access Broker boten kompromittierten VPN-, Remote-Desktop-Protocol- und SSH-Zugang an, außerdem Zugriff auf Cloud-Identitäten, Quellcode-Repositories und Sicherheitsmanagementplattformen. Zu den weiteren neuen Gruppen gehörten Deadlock und Storm, wobei Storm bis Ende September 78 Opfer für sich beanspruchte.

KI-Werkzeuge in der Angriffskette

NCC Group beschrieb BraZetsu, ein KI-gestütztes Windows-Malware-Framework, das sich zu einem spezialisierten Toolkit für den Erstzugang entwickelte. Laut dem Bericht nutzt es KI-Modelle, um die Profilerstellung von Opfern zu automatisieren, kompromittierte Umgebungen zu analysieren und wertvolle Unternehmenssysteme zu identifizieren. Es sucht nach Unternehmenssoftware, Finanzdaten, digitalen Zertifikaten und Cloud-Zugangsdaten und hilft den Betreibern, kompromittierten Zugang an andere Kriminelle zu verkaufen.

Der Bericht wies außerdem auf Risiken durch legitime KI-Agenten hin, darunter Prompt Injection, übermäßige Berechtigungen und unbeabsichtigter Zugriff auf externe Systeme. Als Beispiele nannte er Vorfälle in US-amerikanischen und australischen Regierungssystemen, bei denen Agenten auf Ressourcen außerhalb ihres vorgesehenen Bereichs zugriffen. Die Forscher sagten, diese Vorfälle gingen nicht unbedingt auf böswillige Absicht zurück, könnten aber Folgen haben, die herkömmlichen Cyber-Eindringlingen ähneln.

Die Empfehlungen von NCC Group konzentrieren sich auf das Grundlegende: Netze segmentieren, privilegierten Zugriff kontrollieren und OT-Umgebungen kontinuierlich überwachen. Die Zahlen im Bericht zeigen, warum diese Kontrollen wichtig sind. Ein einziges exponiertes Gerät oder eine gestohlene Zugangsdatei kann immer noch einen Weg zur Verschlüsselung und Erpressung öffnen.