Co biuletyny #StopRansomware mówią o ekonomii ransomware: płatności, sektory, afiliaci
Wspólne biuletyny #StopRansomware, publikowane przez CISA, FBI i agencje partnerskie, czyta się zwykle jako materiał na wypadek incydentu: wskaźniki kompromitacji, mapy taktyk, checklisty zaradcze. Czytane obok siebie tworzą zarazem niezwykły publiczny zapis tego, jak zorganizowana jest ekonomia ransomware. Biuletyny o ALPHV/Blackcat, Black Basta i Medusie suchym językiem opisują, kto wykonuje robotę, jak kupuje się dostęp do sieci i jak ofiary są popychane do zapłaty.
Rynek pracy, nie jedna grupa
Biuletyn o Medusie (AA25-071A, po raz pierwszy opublikowany w marcu 2025 r. i zaktualizowany w sierpniu 2026 r., dostępny także na stronie FBI) jest w kwestii pieniędzy najbardziej wprost. Opisuje, że deweloperzy Medusy rekrutują na forach cyberprzestępczych brokerów dostępu wstępnego, oferując IAB płatności od 100 do 1 miliona dolarów, a także możliwość pracy na wyłączność dla Medusy; większość IAB pracuje jednocześnie dla kilku wariantów ransomware. Towarem jest dostęp do sieci; marka, która go kupuje, jest w dużej mierze wymienialna. Ten sam biuletyn opisuje wielopoziomowy model afiliantów: Medusa zaczynała jako zamknięta operacja w czerwcu 2021 r., a na początku 2023 r. przeszła na strukturę ransomware-as-a-service, w której afiliaci otrzymują różne poziomy zaufania w zależności od doświadczenia i rentowności. U nowszych afiliatów negocjacje okupu mogą być centralnie kontrolowane przez deweloperów. Biuletyn o ALPHV/Blackcat i biuletyn o Black Basta opisują swoich bohaterów tak samo: operacje RaaS, w których wymienieni z imienia i nazwiska afiliaci przeprowadzają włamanie i szantaż na warunkach narzuconych przez trzon grupy. Strona wycieków jako mechanizm płatności
Biuletyny traktują strony wycieków jako element procesu płatności, nie jako reklamę. Strona .onion Medusy listuje ofiary z licznikami odliczania; ofiara może zapłacić 10 000 dolarów w kryptowalucie, aby przedłużyć licznik dokładnie o jeden dzień. Atakujący oferują obniżoną stawkę przy szybkiej zapłacie i, jak podaje biuletyn, opierają kwoty żądań na publicznie ujawnionych przychodach ofiary. Dokument odnotowuje też, co może się zdarzyć po zapłacie: ofiara, która zapłaciła, została skontaktowana ponownie z żądaniem jeszcze połowy okupu — rzekomo za 'prawdziwy deszyfrator' — a autorzy zaznaczają, że nie ma sposobu, by sprawdzić, czy skradzione dane faktycznie zostają usunięte. Biuletyn o Black Basta opisuje równoległy mechanizm: notki z żądaniem okupu dają ofiarom od 10 do 12 dni przed publikacją danych na stronie Tor grupy, 'Basta News'. Aktualizacja dotycząca ALPHV dokumentuje drugi biegun rynku: niektórzy afiliaci szantażują samymi skradzionymi danymi, w ogóle nie wdrażając ransomware. Oportunistyczne cele, powracające sektory
Żadna z trzech grup nie jest opisywana jako wybredna. Atakujący Medusy działają oportunistycznie, celując w ofiary z niezałatanym oprogramowaniem; mimo to ochrona zdrowia była częstą ofiarą, a na stan z kwietnia 2026 r. biuletyn liczy ponad 500 ofiar Medusy w sektorach infrastruktury krytycznej. Afiliaci Black Basta do maja 2024 r. trafili w ponad 500 organizacji na świecie, w co najmniej 12 z 16 sektorów infrastruktury krytycznej, przy czym ochrona zdrowia wskazana jest jako atrakcyjna ze względu na zależność od technologii i spustoszenie, jakie atak sieje w opiece nad pacjentem. Aktualizacja ALPHV odnotowała, że spośród blisko 70 wycieknionych ofiar od połowy grudnia 2023 r. sektor ochrony zdrowia był najczęściej dotknięty — okres następujący po tym, jak administrator grupy po działaniach służb przeciw jej infrastrukturze zachęcał do celowania w szpitale. Płatności spadają, ryzyko sankcji trwa
W kwestii płatności publiczne stanowisko rządu ma charakter regulacyjny, nie statystyczny. Zaktualizowany biuletyn OFAC w sprawie płatności okupu z września 2021 r. stwierdza, że rząd USA zdecydowanie odradza wszystkim prywatnym firmom i obywatelom płacenie okupów lub żądań szantażu; ostrzega, że pośrednicy — banki, ubezpieczyciele cyber, firmy incident response — ryzykują kary cywilne na zasadzie ścisłej odpowiedzialności; i odnotowuje domniemanie odmowy dla licencji wiążących się z płatnościami okupu na rzecz podmiotów objętych sankcjami. Ten sam dokument, ogłoszony wraz z wpisaniem giełdy Suex na listę sankcyjną za ułatwianie wpływów z ransomware, mówi ofiarom, że szybkie zgłoszenie ataku organom ścigania lub CISA może przynieść kredyt za dobrowolne ujawnienie i istotne złagodzenie konsekwencji — z zastrzeżeniem, że nie ma gwarancji odzyskania dostępu do danych. Dane rynkowe pokazują presję po stronie płatności. Chainalysis wycenia płatności za ransomware w 2024 r. na około 813,55 mln dolarów, około 35 procent poniżej rekordowych 1,25 mld dolarów z 2023 r. i pierwszą zniżkę od 2022 r.; mniej niż połowa odnotowanych incydentów zakończyła się płatnością, a cytowany w raporcie negocjator szacuje, że około 30 procent negocjacji kończy się zapłatą. Chainalysis obserwuje też, że płatności końcowe skupiają się między 150 a 250 tysięcy dolarów niezależnie od początkowego żądania: cenę ostatecznie ustala negocjacja, a nie liczba otwierająca. Dlaczego biuletyny wymieniają afiliatów z imienia
Powtarzającym się detalem tych dokumentów jest struktura: ten, kto kompromituje sieć, ten, kto negocjuje, deweloper utrzymujący ransomware i serwis wypłacający pieniądze to różne strony, często w różnych jurysdykcjach. Dlatego biuletyny wymieniają afiliatów, brokerów dostępu i pośredników, a nie jedną markę. Egzekwowanie prawa podąża za rolami, jak gdy Treasury wpisało w 2021 r. giełdę Suex — pierwszą giełdę walut wirtualnych objętą sankcjami za ułatwianie wpływów z ransomware, powiązaną z co najmniej ośmioma wariantami — bez przypisywania powiązania sankcyjnego konkretnemu wariantowi RaaS. Dla śledzących strony wycieków praktyczny wniosek jest ten sam, co w naszym tekście o tym, jak działają strony wycieków ransomware w .onion: licznik odliczania to mechanizm płatności, a otaczająca go maszyneria — stawki brokerów, wielopoziomowi afiliaci, ryzyko sankcji dla pośredników — jest tym, co te dokumenty faktycznie dokumentują.
