Nowa fala ransomware napędzana AI. Nastolatkowie zarabiają setki tysięcy dolarów

Ransomware przez ostatnią dekadę należał do najgroźniejszych zagrożeń cybernetycznych, atakował szpitale, instytucje publiczne i zwykłych użytkowników, których dane trafiały na internetowe „leaki”. Gdyby ktoś uznał, że temat nieco przycichł, najnowsze dane studzą ten optymizm: w erze AI przestępcy łączą sprawdzone metody z nowymi narzędziami, a skala zgłaszanych incydentów szybko rośnie.

Ustalanie dokładnych liczb jest trudne, bo ofiary nie zawsze ujawniają ataki, a grupy przestępcze zawyżają własne statystyki. Mimo to badacze zajmujący się deduplikacją tych danych są zgodni, latem na stronach typu leak site pojawiło się blisko 3 tysiące domniemanych ofiar, co według części szacunków oznacza wzrost o 20-40 proc. względem wiosny. Cynthia Kaiser, była zastępczyni dyrektora ds. cybernetycznych w FBI, a dziś szefowa działu badań w platformie Halcyon, zwraca uwagę, że wzrost napędzają przede wszystkim ataki międzynarodowe, w USA poziom pozostaje wysoki, ale stabilny. „To jest naprawdę nowe, i sądzę, że częściowo wynika z AI”, mówi.

Same modele językowe nie przejęły jeszcze kontroli nad atakami. Powód jest prozaiczny: dotychczasowy model biznesowy cyberprzestępców działa tak dobrze, że nie ma potrzeby go automatyzować. AI trafiła jednak tam, gdzie liczy się czas i wiarygodność, do tworzenia lepszych e-maili phishingowych i prowadzenia negocjacji z ofiarami. „Skuteczne grupy ransomware wciąż w dużej mierze działają ręcznie, ale intensywnie eksperymentują z AI, więc to może się zmienić, i to szybko”, twierdzi Allan Liska z Recorded Future.

Kaiser podkreśla, że trendy w oszustwach internetowych przekładają się bezpośrednio na ransomware, bo drogi wejścia do systemów są te same. Przykładem jest Japonia, gdzie w ostatnich miesiącach gwałtownie wzrosła skuteczność scamów, AI po raz pierwszy pozwala zagranicznym przestępcom generować przekonujące treści w języku japońskim.

Za stabilnymi markami pokroju The Gentlemen, Qilin i Akira rośnie tłum mniejszych inicjatyw. Między lipcem a wrześniem około 111 grup ogłosiło ataki. Nowa formacja Global Secret Group miała zgłosić 48 ofiar, z czego ponad połowę jednego dnia, a Storm, 71 ofiar w 20 dni. Nie wszystkie roszczenia są prawdziwe, ale każda taka deklaracja wprowadza chaos w firmach. Brandon Tirado z ReliaQuest tłumaczy to wprost: AI obniżyła barierę wejścia na tyle, że przestępcy mogą zakładać własne grupy zamiast podpinać się pod dostawców ransomware-as-a-service. Jego zespół zidentyfikował niedoświadczonego nastolatka, który w niespełna dwa tygodnie zarobił ponad 800 tysięcy dolarów.

Większa samodzielność oznacza też zmianę taktyki. Dojrzałe grupy stosują podwójne wymuszenie, szyfrują dane i jednocześnie grożą ich publikacją. Nowicjusze chętniej ograniczają się do wymuszenia na danych, bo jest prostsze i nie wymaga zaawansowanej infrastruktury. Liska zauważa przy tym paradoks: liczba ataków w tym roku już przewyższa cały 2025, ale tych z użyciem szyfrowania może być mniej niż rok wcześniej.

Podsumowanie: W pełni automatyczny ransomware to na razie scenariusz na przyszłość, ale AI już dziś obniża koszty i kompetencje potrzebne do prowadzenia cyberataków. Dla obrońców oznacza to trudniejsze do wychwycenia wiadomości phishingowe, szybsze negocjacje po stronie napastników i rosnącą liczbę małych, efemerycznych grup, których trwałość pozostaje jednak wielką niewiadomą.