Semperis представила результаты исследования атак программ-вымогателей. Чтобы получить выкуп, преступники угрожают сотрудникам пострадавших компаний и их семьям, публикуют личные данные и отправляют ложные сообщения в экстренные службы. Некоторым пострадавшим пришлось нанять охрану или обратиться за медицинской и психологической помощью. В опросе участвовали 1200 ИТ-специалистов и специалистов по информационной безопасности из организаций, переживших успешную атаку.
Фотографии школ и посылки по домашнему адресу
Старший консультант Semperis по реагированию на инциденты Тим Бизли рассказал The Register, что в расследованных им случаях вымогатели отправляли руководителям компаний фотографии школ, где учились их дети. Так преступники показывали, что знают о семьях жертв, и пытались заставить их заплатить. Сведения о родственниках они собирали в социальных сетях.
Сам Бизли получил посылку с сувенирами домой во время расследования кибератаки, когда работал ведущим специалистом по расследованиям в команде Microsoft Detection and Response Team (DART). В посылке не было записки. Бизли предположил, что её прислали участники расследуемой атаки, и воспринял доставку как предупреждение: им известен его домашний адрес. Кто отправил посылку, не установлено.
По словам консультанта, за последние годы он всё чаще сталкивается с угрозами в адрес сотрудников и их близких. В его практике встречались и случаи, когда преступники прибегали к услугам людей, готовых совершить насилие на заказ.
Как вымогатели угрожают сотрудникам и их семьям
Отчёт Semperis об угрозах программ-вымогателей за 2026 год основан на опросе, который провела исследовательская компания Censuswide в первом полугодии 2026 года. В нём участвовали 1200 ИТ-специалистов и специалистов по информационной безопасности из девяти стран и восьми отраслей. Все представленные организации пережили успешную атаку программы-вымогателя за предшествующие 12 месяцев. Результаты показывают опыт пострадавших организаций; переносить эти проценты на все компании нельзя.
О психологическом запугивании как способе добиться выплаты выкупа сообщили 23% респондентов, об угрозах физическим насилием – 17%. В отдельном вопросе участники опроса указали, какие личные угрозы и способы запугивания использовали преступники:
| Вид угрозы или запугивания | Доля ответов |
|---|---|
| Сообщения, письма или посылки с угрозами | 57% |
| Угрозы родственникам или друзьям | 37% |
| Угрозы проникнуть в помещение | 19% |
| Угрозы похитить человека | 17% |
| Угрозы причинить телесные повреждения | 13% |
| Преследование | 6% |
Числа в таблице описывают перечисленные в отчёте угрозы и способы запугивания. Например, 17% для угроз похищением не означает, что в 17% случаев людей действительно похитили. Отдельно 53% опрошенных сообщили, что за последний год преступники исполнили свои угрозы. Из этого общего показателя нельзя определить, как часто они совершали каждое из перечисленных действий.
Общая доля столкнувшихся с физическим или психологическим запугиванием в резюме PDF-отчёта составляет 41%, а в пресс-релизе Semperis – 40%. В материалах компании этот показатель различается. Значение 37% относится к отдельному вопросу об угрозах родственникам или друзьям.
Публикация личных данных, ложные вызовы полиции и вред здоровью
Участники опроса также сообщили о последствиях атак для сотрудников и их семей. Среди них – раскрытие личных данных, ложные вызовы полиции по адресу жертвы, расходы на охрану и необходимость лечения.
| Последствие для сотрудников или их семей | Доля ответов |
|---|---|
| Публикация личных данных в интернете без согласия | 25% |
| Обращение за медицинской или психологической помощью | 25% |
| Наём личной охраны | 24% |
| Прибытие полиции по ложному сообщению о чрезвычайном происшествии | 23% |
| Вынужденная смена работы, рабочего места или жилья | 14% |
Злоумышленники могут опубликовать имена, домашние и рабочие адреса, номера телефонов и другие личные сведения сотрудников. Такие публикации позволяют посторонним узнать, где человек живёт и работает, и создают дополнительные возможности для угроз и преследования.
Ложный вызов полиции для запугивания – преступник сообщает экстренным службам о якобы заложенной бомбе или вооружённом нападении по адресу жертвы. Его цель – направить туда вооружённых полицейских; такой вызов может привести к травмам, хотя реального происшествия не было.
Какие группы прибегают к угрозам
Бизли назвал Scattered Spider, ShinyHunters и Lapsus$ среди групп, в расследованиях атак которых он наблюдал психологическое запугивание или угрозы физическим насилием ради получения выкупа.
Представители ShinyHunters в отдельном интервью The Register утверждали, что не нападают на людей. При этом они признали, что иногда готовы действовать предельно жёстко, чтобы заставить её начать переговоры. Это позиция самой группировки, а не независимая оценка её действий.
Связь киберпреступности с физическим насилием прослеживается и в деятельности The Com – сети онлайн-групп, название которой происходит от слова community, то есть «сообщество». Её молодые участники занимаются взломами, вымогательством, ложными вызовами полиции и физическим насилием, включая стрельбу. В июле 2026 года Европол поддержал операцию, в ходе которой интернет-платформам направили 4340 ссылок на материалы с насильственным экстремистским содержанием для удаления. Это число переданных ссылок; оно не означает, что платформы удалили все указанные материалы.
Выплата выкупа не гарантирует прекращения угроз
Бизли советует пострадавшим не платить выкуп и при угрозах сотрудникам или их семьям как можно раньше обращаться в правоохранительные органы. По данным Semperis, 69% опрошенных жертв за последние 12 месяцев подвергались атакам вымогателей несколько раз, а 31% неоднократно перечисляли деньги преступникам. Эти данные сами по себе не доказывают, что именно выплата выкупа привела к повторной атаке.
Оплата также не гарантирует, что преступники предоставят рабочее средство расшифровки файлов. Для некоторых программ-вымогателей существуют бесплатные инструменты восстановления данных, но они помогают не во всех случаях. Порядок работы с такими средствами описан в инструкции COMSS.ru по восстановлению данных после атаки шифровальщика.
Вывод
Атака программы-вымогателя может угрожать не только данным компании, но и безопасности сотрудников и их семей. При подготовке к таким инцидентам организациям следует предусмотреть помощь людям, чьи личные данные раскрыли или которым угрожают насилием. При подобных угрозах Бизли рекомендует как можно раньше обращаться в правоохранительные органы: выплата выкупа не гарантирует, что преступники оставят жертв в покое.