В последние месяцы на фоне устойчивой активности групп Gentlemen, Qilin и Akira начали появляться новые участники рынка шифровальщиков-вымогателей. За несколько недель сразу несколько групп заявили о взломе десятков компаний. По оценке Halcyon, с июля по сентябрь этого года 111 групп вымогателей сообщили о совершённых атаках.
Новая группировка Global Secret Group заявила о нападениях на 48 организаций, причём более половины жертв были добавлены в список в один день. Группа Storm за 20 дней указала 71 пострадавшую компанию. Аналитики ReliaQuest подчёркивают, что часть этих заявлений может оказаться недостоверной, однако подобные публикации всё равно создают неопределённость для бизнеса.
«Весь этот рост произошёл потому, что, на мой взгляд, искусственный интеллект ускорил работу злоумышленников и фактически позволил им создавать собственные группы», — заявил директор по исследованию угроз ReliaQuest Брэндон Тирадо. Специалисты, с которыми побеседовало издание Wired, всё чаще обнаруживают одиночных операторов, которые раньше не зависели от традиционной модели ransomware-as-a-service (вымогательство как услуга). По словам Тирадо, недавно его команда установила организатора одной из новых групп: ею руководил неопытный подросток, заработавший более 800 тысяч долларов менее чем за две недели.
Эксперт Halcyon Кайзер также считает, что независимые злоумышленники применяют искусственный интеллект для обмана целей, поиска уязвимостей и проверки программного кода. Кроме того, такие инструменты помогают атаковать средства удалённого доступа других групп, чтобы сохранить запасной путь к системам жертвы после блокировки основного. При этом устойчивость новых объединений остаётся под вопросом: многие из них могут быстро нарастить активность, а затем прекратить работу из-за нехватки опыта и ресурсов.
Крупные группировки обычно используют двойное вымогательство: шифруют системы компании, заранее похищают её данные, а затем угрожают опубликовать их в интернете. Независимые операторы могут отказаться от шифрования и ограничиться требованием денег за непубликацию украденной информации, чтобы упростить проведение атак. По словам аналитика Recorded Future Аллана Лиски, число атак, зафиксированных компанией в этом году, уже значительно превысило показатель за весь 2025 год, однако количество инцидентов с шифрованием данных может сократиться в годовом сравнении.