Осторожно: ИИ подпитывает новый всплеск атак вымогателей

Рост атак и роль ИИ

Точное число атак установить трудно: жертвы не всегда сообщают об инцидентах, а преступники могут преувеличивать свои заявления. Тем не менее исследователи, которые отслеживают такие случаи и пытаются исключать дубликаты, отмечают резкий рост заявлений за последние месяцы. По некоторым оценкам, летом на сайтах утечек появилось почти 3 000 заявлений об атаках — на 20–40% больше, чем весной. При этом общий уровень атак остаётся высоким уже несколько лет.

Синтия Кайзер, бывший заместитель директора ФБР по кибербезопасности, которая теперь руководит исследованиями в Halcyon, говорит, что большую часть недавнего роста обеспечили атаки за пределами США. В самих Соединённых Штатах их число было более стабильным, но тоже оставалось высоким. Кайзер считает распространение атак за рубежом новой особенностью и связывает её отчасти с ИИ.

Полностью основанных на ИИ атак с программами-вымогателями пока не выявили. По словам исследователей, преступникам это может быть и не нужно: существующая модель уже приносит результат. Однако языковые модели используют для отдельных задач — например, чтобы составлять убедительные фишинговые письма и вести переговоры с жертвами.

Аллан Лиска, исследователь программ-вымогателей и аналитик киберугроз Recorded Future, отмечает, что наиболее успешные группы пока в основном управляются людьми. Но преступники активно экспериментируют с ИИ, и эта ситуация может быстро измениться.

ИИ помогает и в мошенничестве, которое часто становится первым шагом перед атакой на организацию: злоумышленники используют фишинг и методы социальной инженерии, чтобы получить доступ к системам. В Японии число успешных мошеннических атак резко выросло за последние месяцы. ИИ впервые позволил иностранным преступникам регулярно создавать убедительные материалы на японском языке.

Новые группы и самостоятельные операторы

Среди самых заметных и устойчивых групп последних месяцев исследователи называют Gentlemen, Qilin и Akira. Одновременно растёт число небольших и новых объединений, а сама экосистема дробится. По анализу Halcyon, с июля по сентябрь этого года заявления об атаках делали около 111 групп.

Не все заявленные атаки обязательно произошли, но такие сообщения создают неопределённость для компаний. Брэндон Тирадо, директор по исследованию киберугроз в ReliaQuest, связывает рост числа групп с тем, что ИИ ускоряет работу преступников и позволяет им начинать собственные операции.

Исследователи также чаще замечают одиночных операторов, которые раньше могли зависеть от поставщиков программ-вымогателей как услуги. Команда Тирадо недавно установила, кто стоит за одной новой группой: это неопытный подросток, заработавший более 800 000 долларов менее чем за две недели. Тирадо не стал публично называть его имя.

Кайзер из Halcyon говорит, что ИИ расширяет возможности таких новичков. С его помощью они могут обманывать жертв, искать уязвимости, проверять код и даже взламывать средства удалённого доступа других групп, чтобы сохранить запасной способ проникновения в систему. Однако пока неясно, смогут ли новые операторы надолго закрепиться. Кайзер предполагает, что многие быстро наберут обороты, но затем прекратят работу: у них нет опыта и ресурсов давно действующих групп.

Как меняется схема вымогательства

Устоявшиеся группы часто используют двойное вымогательство: шифруют системы жертвы, крадут данные и угрожают опубликовать их в интернете. Самостоятельные операторы могут упрощать работу и ограничиваться вымогательством денег за неразглашение похищенных данных, не шифруя системы.

По словам Лиски, Recorded Future уже зафиксировала в этом году больше атак, чем за весь 2025 год. При этом число инцидентов с шифрованием данных может год к году снизиться.

По оценке Dataist, ИИ пока не заменяет людей в атаках, но снижает порог для запуска новых преступных групп и помогает им осваивать разные этапы вымогательства. Рост числа заявлений при этом не равен росту подтверждённых инцидентов: часть атак может быть преувеличена или недостоверна. Краткосрочное расширение возможностей новичков также не означает, что такие группы смогут конкурировать с опытными операторами в долгосрочной перспективе.