Aktualności • Blog • Dla biznesu
Raport Bitdefender: ransomware we wrześniu 2026 roku. 790 zgłoszonych ofiar i międzynarodowa akcja przeciwko KillSec
14 października 2026
Cyberprzestępcy zmieniają strategie, a skuteczna walka z ransomware wymaga współpracy międzynarodowej, szybkiego reagowania i stałego monitorowania zagrożeń. Wrześniowe dane Bitdefender pokazują, że mimo działań organów ścigania aktywność grup ransomware pozostaje poważnym wyzwaniem dla organizacji na całym świecie.
Ransomware nadal rośnie w siłę
Z analizy Bitdefender Threat Debrief wynika, że we wrześniu 2026 roku grupy ransomware przypisały sobie 790 ofiar. To wzrost o 30% w porównaniu z wrześniem poprzedniego roku.
Dane pochodzą przede wszystkim z witryn wycieków danych, na których cyberprzestępcy publikują informacje o zaatakowanych organizacjach. Należy pamiętać, że są to deklaracje samych grup przestępczych, których nie zawsze można niezależnie potwierdzić. Pokazują jednak kierunek zmian na rynku ransomware i pomagają identyfikować aktywne zagrożenia.
Operacja KillSwitch uderza w grupę KillSec
Jednym z najważniejszych wydarzeń września była międzynarodowa operacja KillSwitch, przeprowadzona 30 września 2026 roku. W jej wyniku służby przejęły witrynę wycieków danych grupy KillSec, zawierającą ponad 10 TB danych, a także kilka wykorzystywanych przez nią serwerów.
W działania zaangażowane były organy ścigania z wielu państw, w tym ze Stanów Zjednoczonych, Wielkiej Brytanii, Hiszpanii, Belgii, Szwajcarii, Rumunii i Grecji. Według informacji Europolu zatrzymano trzech członków grupy. Bitdefender, który monitorował działalność KillSec od 2024 roku, również wniósł wkład w operację.
Dlaczego KillSec stanowił zagrożenie?
KillSec rozpoczął działalność jako grupa oferująca ransomware w modelu Ransomware-as-a-Service (RaaS) w 2024 roku. Model ten pozwala współpracującym cyberprzestępcom korzystać z narzędzi i infrastruktury grupy do przeprowadzania własnych ataków.
Według dostępnych szacunków KillSec przypisał sobie co najmniej 500 ofiar i przeprowadził ponad 1000 ataków. Na celowniku grupy znajdowały się między innymi instytucje publiczne oraz małe i średnie przedsiębiorstwa.
Warto zwrócić uwagę, że nie każdy incydent wiązał się z uruchomieniem oprogramowania szyfrującego. W części przypadków napastnicy wykorzystywali słabości środowisk chmurowych, aby odnaleźć wartościowe informacje i wykraść dane. Pokazuje to, że zagrożenie ransomware obejmuje nie tylko utratę dostępu do plików, lecz także ryzyko ujawnienia poufnych informacji.
Czy przejęcie infrastruktury kończy działalność grupy?
Likwidacja serwerów i zatrzymanie podejrzanych mogą znacząco utrudnić działalność cyberprzestępców, ale nie zawsze oznaczają definitywny koniec zagrożenia. Część grup odbudowuje swoje zaplecze, zmienia nazwę lub rozpoczyna działalność w nowej strukturze.
Organizacje powinny zatem traktować takie operacje jako ważny element walki z cyberprzestępczością, a nie jako powód do ograniczenia własnych działań ochronnych.
Jak organizacje powinny przygotować się na atak ransomware?
Skuteczna reakcja na incydent wymaga nie tylko usunięcia bezpośredniego zagrożenia, ale również ustalenia, w jaki sposób doszło do naruszenia i co należy zmienić, aby ograniczyć ryzyko ponownego ataku.
Najważniejsze działania obejmują:
-
Zgłoszenie incydentu odpowiednim służbom. Przekazanie informacji i zachowanie materiału dowodowego mogą pomóc w analizie działalności grupy przestępczej.
-
Przestrzeganie obowiązków związanych z naruszeniem danych. Organizacja powinna znać wymagania prawne dotyczące zgłaszania incydentów i informowania właściwych podmiotów.
-
Przeprowadzenie analizy powłamaniowej. Zespoły odpowiedzialne za informatykę śledczą i reagowanie na incydenty powinny ustalić zakres naruszenia, przebieg ataku oraz możliwe drogi dostępu napastnika.
-
Korzystanie z aktualnych informacji o zagrożeniach. Monitorowanie taktyk cyberprzestępców i wskaźników kompromitacji pomaga szybciej rozpoznawać potencjalne ataki.
-
Zabezpieczenie środowiska po odzyskaniu działania. Samo przywrócenie systemów nie wystarczy. Konieczne jest usunięcie przyczyn incydentu i ograniczenie możliwości ponownego przejęcia infrastruktury.
Najaktywniejsze grupy ransomware we wrześniu
We wrześniu pierwsze miejsce pod względem liczby deklarowanych ofiar ponownie zajęła grupa The Gentlemen. Przypisała sobie 105 zaatakowanych organizacji. Jej aktywność obejmowała między innymi sektor produkcyjny, handel, budownictwo, technologie i ochronę zdrowia.
W zestawieniu czołowych grup znalazły się również Qilin i Akira. W przypadku Qilin liczba deklarowanych ofiar spadła o 50% w porównaniu z poprzednim miesiącem.
Na uwagę zasługuje także konflikt pomiędzy grupami cyberprzestępczymi. ShinyHunters uzyskali dostęp do witryny wycieków danych Clop, wykorzystując podatność umożliwiającą pozyskanie logów serwera i kluczy prywatnych powiązanych z usługą Tor. Następnie zażądali od Clop zapłaty w bitcoinach, odsetek oraz publicznych przeprosin. We wrześniu Clop przypisał sobie zaledwie dwie ofiary.
Przypadek ten pokazuje, że infrastruktura wykorzystywana przez cyberprzestępców również może stać się celem ataku. Nie oznacza to jednak, że zmniejsza się ryzyko dla przedsiębiorstw.
Podatności w infrastrukturze nadal otwierają drogę do ataków
Wrześniowy raport zwraca również uwagę na podatność CVE-2026-88779 dotyczącą urządzeń Citrix NetScaler ADC i Gateway, która została dodana do katalogu Known Exploited Vulnerabilities (KEV).
Według raportu luka może być wykorzystywana do powodowania awarii urządzeń z włączonym logowaniem SAML. Organizacje korzystające z tych rozwiązań powinny sprawdzić, czy ich wersje są podatne, oraz zastosować środki zaradcze zgodnie z dokumentacją producenta.
To kolejny przykład tego, jak istotne są regularne aktualizacje, kontrola konfiguracji i szybka reakcja na informacje o wykorzystywanych podatnościach.
Zmiany na rynku ransomware
We wrześniu odnotowano również deklarowane zakończenie działalności ransomware przez grupę CRPx0. Jej infrastruktura, w tym kod źródłowy, blog, systemy command and control oraz platforma negocjacyjna, została wystawiona na sprzedaż za 1500 dolarów.
Tak niska cena może ułatwić nowym przestępcom wejście na rynek Ransomware-as-a-Service. Nie jest przy tym jasne, czy CRPx0 rzeczywiście zakończy działalność, czy też jej członkowie planują powrót pod inną nazwą.
Dla firm oznacza to, że zmiany w strukturach grup przestępczych nie powinny być utożsamiane ze spadkiem ryzyka.
Które regiony i branże są najbardziej narażone?
Stany Zjednoczone nadal stanowiły największą grupę geograficzną wśród ofiar deklarowanych przez grupy ransomware, choć we wrześniu liczba zgłoszeń dotyczących tego kraju wyraźnie spadła.
W zestawieniu znalazła się również Japonia, która zajęła dziesiąte miejsce. Wśród zgłaszanych tam ofiar dominowały organizacje z sektora technologicznego.
Zmiany widoczne były także w podziale na branże. We wrześniu spadła liczba deklarowanych ofiar z sektora produkcyjnego, natomiast edukacja i badania naukowe nadal znajdowały się w pierwszej dziesiątce. Do zestawienia dołączył również transport.
Zestawienia te pomagają obserwować zmiany w aktywności grup ransomware, ale nie powinny być traktowane jako pełny obraz wszystkich incydentów. Dane opierają się na publicznych deklaracjach napastników i nie odzwierciedlają bezpośrednio rzeczywistych strat finansowych.
Jak ograniczyć ryzyko związane z ransomware?
Wrześniowe wydarzenia pokazują, że zagrożenie ransomware nie ogranicza się do szyfrowania plików. Kradzież danych, wykorzystywanie podatności i zmiany w strukturach grup przestępczych sprawiają, że ochrona organizacji wymaga wielowarstwowego podejścia.
W praktyce warto skupić się na kilku obszarach:
-
Regularnie aktualizować systemy operacyjne, aplikacje i urządzenia sieciowe.
-
Ograniczać uprawnienia użytkowników oraz kontrolować dostęp do krytycznych zasobów.
-
Monitorować aktywność w środowisku IT, aby szybciej wykrywać podejrzane działania.
-
Przygotować i regularnie testować procedury reagowania na incydenty oraz odtwarzania danych.
-
Analizować przyczyny każdego incydentu i usuwać luki, które mogły umożliwić atak.
Wniosek: przejęcie infrastruktury grupy ransomware może ograniczyć jej możliwości, ale nie zastąpi zabezpieczeń wdrożonych w organizacji. Firmy powinny łączyć prewencję, monitorowanie zagrożeń i przygotowane procedury reagowania, aby ograniczać zarówno prawdopodobieństwo ataku, jak i jego potencjalne skutki.
Artykuł opracowano na podstawie raportu Bitdefender Threat Debrief | October 2026, opublikowanego 6 października 2026 roku. Dane o liczbie ofiar pochodzą z deklaracji publikowanych przez grupy ransomware i nie wszystkie można niezależnie zweryfikować.
Podobne artykuły:
Twój nowy smartfon może być zainfekowany jeszcze przed pierwszym uruchomieniem
Jak szybko Twoi pracownicy potrafią wdrożyć AI? Szybciej, niż Ci się zdaje
Miesiąc Świadomości Cyberbezpieczeństwa 2026: 10 prostych nawyków, które chronią Cię w sieci
Bitdefender GravityZone z wynikiem 99,7% w teście AV-Comparatives EPR 2026
Autor
Obecnie
Najnowsze wpisy
Aktualności • Blog • Dla biznesu
Jak szybko Twoi pracownicy potrafią wdrożyć AI? Szybciej, niż Ci się zdaje
7 października 2026
Artykuły które mogą Ci się spodobać
Aktualności • Blog • Dla biznesu
Jak szybko Twoi pracownicy potrafią wdrożyć AI? Szybciej, niż Ci się zdaje
7 października 2026