NCC Group odnotowała 2 865 zgłoszeń ofiar ransomware w III kwartale 2026 r., o 23% więcej

NCC Group odnotowała 2 865 zgłoszeń ofiar ransomware w trzecim kwartale 2026 r., o 23% więcej niż 2 325 w drugim kwartale. Wynika to z raportu Cyber Threat Intelligence Report Review of Q3 2026. Na sektor przemysłowy przypadło 29% ataków w kwartale, podano w raporcie.

Wrześniowy spadek ataków

We wrześniu liczba ataków spadła o 26% w ujęciu miesięcznym, do 821. Najwięcej ataków w tym miesiącu odnotowano w Ameryce Północnej, 390, przed Europą z 211. Qilin pozostawał najaktywniejszą grupą szósty kwartał z rzędu, z 365 ofiarami. Za nim uplasowali się The Gentlemen z 356 i INC Ransom ze 109.

Zakłócenia w infrastrukturze krytycznej

Raport zwrócił uwagę na lipcowy atak na małą brytyjską elektrownię, który zmusił zakład do wstrzymania pracy na około cztery dni. Incydent nie wpłynął na krajową sieć elektroenergetyczną. Według raportu techniki były zbieżne z tymi, które wcześniej wiązano z kampaniami związanymi z Iranem, w tym z atakami na podłączone do internetu sterowniki przemysłowe. Rząd Wielkiej Brytanii nie przypisał ataku oficjalnie, a zastosowane techniki pozostają niepotwierdzone.

W raporcie mowa też o styku między IT a technologią operacyjną, gdzie zdalna konserwacja i scentralizowane zarządzanie łączą sieci zakładów z systemami biurowymi. Autorzy zalecają segmentację sieci, mocniejszą kontrolę dostępu uprzywilejowanego i stałe monitorowanie środowisk OT.

Wykorzystane luki i brokerzy dostępu

W kwartale do katalogu znanych wykorzystywanych podatności (KEV) agencji CISA trafiło ponad 40 podatności w aplikacjach biznesowych, urządzeniach VPN, bramach pocztowych i platformach zarządzania, podano w raporcie. Gunra, operacja ransomware-as-a-service, do końca III kwartału zaatakowała 53 ofiary w różnych branżach. Wykorzystała CVE-2024-55591 i CVE-2025-24472 w wystawionych do internetu urządzeniach Fortinet, a potem sięgnęła po skradzione dane logowania, przechwytywanie sesji i narzędzia administracyjne, żeby przemieszczać się między systemami przed wdrożeniem ransomware.

Brokerzy początkowego dostępu oferowali przejęty dostęp do VPN, protokołu Remote Desktop Protocol i SSH, a także do tożsamości w chmurze, repozytoriów kodu źródłowego i platform zarządzania bezpieczeństwem. Wśród nowych grup wymieniono Deadlock i Storm; Storm do końca września zgłosiła 78 ofiar.

Narzędzia AI w łańcuchu ataku

NCC Group opisała BraZetsu, wzmocniony przez AI framework złośliwego oprogramowania dla Windows, który przekształcił się w wyspecjalizowany zestaw narzędzi do początkowego dostępu. Według raportu wykorzystuje modele AI do automatyzacji profilowania ofiar, analizy przejętych środowisk i wskazywania cennych systemów firmowych. Szuka oprogramowania biznesowego, danych finansowych, certyfikatów cyfrowych i poświadczeń chmurowych, co pomaga operatorom sprzedawać przejęty dostęp innym przestępcom.

Raport ostrzega też przed ryzykiem ze strony legalnych agentów AI: wstrzykiwaniem promptów, nadmiernymi uprawnieniami i niezamierzonym dostępem do systemów zewnętrznych. Jako przykłady podano incydenty w systemach rządowych USA i Australii, gdzie agenci sięgali po zasoby poza zamierzonym zakresem. Zdaniem badaczy te przypadki nie muszą wiązać się ze złośliwymi zamiarami, ale mogą wywołać skutki podobne do klasycznych włamań.

Zalecenia NCC Group dotyczą podstaw: segmentować sieci, kontrolować dostęp uprzywilejowany i stale monitorować środowiska OT. Liczby z raportu pokazują, dlaczego te mechanizmy mają znaczenie. Jedno wystawione urządzenie albo jedno skradzione poświadczenie wciąż wystarczą, żeby otworzyć drogę do szyfrowania i wymuszenia.