Чтобы понять ransomware, недостаточно сказать, что «какую-то компанию взломали». Гораздо полезнее посмотреть на несколько показательных инцидентов вместе: медицина, энергетика, игорный бизнес, цепочки поставок ПО и глобальные вспышки, похожие на сетевого червя. Каждый случай показал свой слабый участок.［1］［2］［3］

Это не подборка ради громких заголовков. Ниже — 7 важных примеров атак программ-вымогателей, которые объясняют неприятную реальность: ransomware уже не отдельная вредоносная программа, а зрелая цепочка из проникновения, шифрования, кражи данных, вымогательства и отмывания денег.［1］［4］

Почему эти случаи стоит разобрать отдельно?

Потому что они изменили представление индустрии о ransomware.

Раньше программы-вымогатели часто воспринимали как случайное заражение вредоносным ПО. Но публичные материалы CISA и DOJ показывают более устойчивую бизнес-модель: разработчики поддерживают платформы, аффилированные атакующие получают доступ, сайты утечек создают давление, а выкуп проходит через криптовалюты и цепочки отмывания.［1］［4］

Если вам сначала нужен практический уровень защиты, начните с руководства по защите от ransomware. Эта статья больше о кейсах и тенденциях.

7 крупных атак программ-вымогателей

1. WannaCry (2017): цена отложенных патчей

WannaCry стал важен не только из-за масштаба. Он использовал уязвимость, способную распространяться как червь, превращая заражение одного устройства в массовое падение систем внутри сети. CISA до сих пор приводит его как пример вредоносного ПО с высоким воздействием.［6］

Этот инцидент изменил приоритеты многих организаций в управлении обновлениями.

2. Colonial Pipeline (2021): когда ransomware стало проблемой реального мира

DOJ сообщило, что Colonial Pipeline остановила часть операций после атаки DarkSide, а позднее ведомство вернуло часть выплаченного выкупа.［2］

Символика была сильной: киберинцидент превратился в инцидент критической инфраструктуры.

3. JBS (2021): цепочки поставок продуктов тоже уязвимы

Белый дом сообщал, что после атаки на JBS пострадало производство мяса в нескольких странах.［7］ Вывод простой: ransomware атакует не только технологические компании. Любой бизнес, важный для реальной цепочки поставок, может стать ценной целью.

4. Kaseya (2021): один инцидент в цепочке поставок, тысячи downstream-жертв

Случай Kaseya показал малому и среднему бизнесу, что даже при скромном бюджете безопасности он может попасть под удар через MSP или вышестоящий инструмент.［8］［9］ Опасность этой модели в том, что один вход масштабируется сразу на множество клиентов.

Это похоже на мысль из статьи что делать после утечки данных: проблема не всегда начинается внутри вашей системы. Она может прийти через деловую связь.

5. MGM Resorts (2023): останавливаются не только заводы и больницы

MGM Resorts подтвердила, что киберинцидент затронул часть систем, и компания отключила некоторые из них в рамках реагирования.［10］ Этот пример показывает другую сторону современного ransomware: атака может прервать регистрацию гостей, платежи, поддержку клиентов и ежедневные операции, а не только зашифровать файлы в офисе.

6. Change Healthcare (2024): удар по медицине расходится кругами

HHS в FAQ по Change Healthcare описало масштаб влияния на пациентов и поставщиков медицинских услуг как “unprecedented magnitude”.［3］ Когда страдает медицина, последствия уходят в биллинг, страховые заявки, рецепты, платежи и обслуживание пациентов.

7. LockBit (примерно 2024): ransomware как платформа

DOJ в 2024 году сообщило, что LockBit атаковал более 2 000 жертв по всему миру и получил свыше 120 млн долларов выкупа, став одним из самых активных и разрушительных вариантов на тот момент.［4］

LockBit важен не только из-за известности. Он показывает, как модель RaaS стандартизирует и масштабирует атаки.

Что общего у этих 7 инцидентов?

Ransomware больше не сводится к шифрованию файлов

Сейчас чаще встречается другой сценарий:

сначала украсть данные, затем зашифровать;
угрожать не только простоем, но и публикацией утечки;
атаковать одну компанию и усиливать эффект через поставщиков или платформы.

Атакующие всё больше похожи на организованный бизнес

Описания DOJ по LockBit, BlackCat и другим группам показывают разделение ролей: разработка, операции, аффилиаты, платежи и сайты утечек.［1］［4］［5］

Важнее не «ударят ли вас», а «сможете ли вы восстановиться»

Для большинства организаций попытки вторжения уже стали частью реальности. Разница в том, сможете ли вы быстро изолировать, восстановить, объяснить происходящее и сделать выводы.

Какие принципы защиты стоит вынести обычным командам

1. Резервные копии должны быть офлайн или неизменяемыми

Иначе злоумышленники сначала удалят бэкапы, а потом начнут переговоры.

2. Усильте вход через учетные записи

MFA, минимальные привилегии и удаление неактивных аккаунтов полезнее многих громких лозунгов безопасности.

Если вы хотите сначала научиться замечать странности на устройстве, посмотрите также как понять, что компьютер взломан.

3. Риск третьих сторон нельзя закрыть одним договором

Kaseya и Change Healthcare показали: если ломается upstream-поставщик, downstream-клиенты тоже оказываются под давлением.

4. Подготовьте реагирование до спора о выкупе

Во время инцидента командам обычно не хватает не мнений, а конкретных контактов, шагов изоляции, порядка восстановления и внешних уведомлений.

Многие теряют время потому, что не превратили «изолировать, сообщить, восстановить» в исполняемый чек-лист. Это напрямую связано с базовой гигиеной из руководства по цифровой приватности.

Итогии

Самые показательные атаки ransomware изменили отрасль не только суммами, а масштабом последствий.
От WannaCry до LockBit ransomware превратилось из вредоносной программы в зрелую индустрию.
Цепочки поставок, учетные записи и непрерывность бизнеса чаще всего оказываются слабыми линиями.
Главный урок: бэкапы, разграничение доступа и учения важнее переговоров после факта.

Часто задаваемые вопросы (FAQ)

Ransomware просто шифрует файлы?

Нет. Современные атаки часто включают кражу данных, угрозы публикации, боковое перемещение и остановку бизнеса.［1］［4］

Крупнейшие атаки всегда измеряются суммой выкупа?

Нет. Важнее могут быть отрасль, масштаб простоя, усиление через цепочки поставок и стоимость восстановления.

Почему Colonial Pipeline так часто вспоминают?

Потому что он показал широкой публике: ransomware может влиять на критическую инфраструктуру в реальном мире.［2］

Почему медицина особенно боится ransomware?

Потому что остановка систем затрагивает страховые заявки, рецепты, обслуживание пациентов и платежные процессы.［3］

Почему LockBit так часто упоминается?

Потому что это типичный пример модели RaaS: большой масштаб, множество жертв и зрелые операции.［4］

Малые команды слишком незначительны для атак?

Нет. Злоумышленники часто ищут легкие входы через MSP, массовое ПО, утекшие учетные данные и автоматическое сканирование. Малые команды могут быть даже уязвимее из-за более тонкой защиты.

Отказ от ответственности

Данная статья предназначена только для общего обучения кибербезопасности. Она не является атрибуцией инцидентов, рекомендацией по выплате выкупа, инструкцией по compliance-реагированию или юридической консультацией. Публичные отчеты могут обновляться по мере уточнения деталей и временных линий.

Материал подготовила редакция AethoVPN, но VPN не заменяет проверки для «крупнейшие атаки ransomware».

Источники

DOJ OIG, DOJ’s Strategy to Combat and Respond to Ransomware Threats and Attacks: https://oig.justice.gov/news/doj-oig-releases-report-dojs-strategy-combat-and-respond-ransomware-threats-and-attacks
U.S. Department of Justice, Department of Justice Seizes $2.3 Million in Cryptocurrency Paid to the Ransomware Extortionists Darkside: https://www.justice.gov/opa/pr/department-justice-seizes-23-million-cryptocurrency-paid-ransomware-extortionists-darkside
HHS, Change Healthcare Cybersecurity Incident Frequently Asked Questions: https://www.hhs.gov/hipaa/for-professionals/special-topics/change-healthcare-cybersecurity-incident-frequently-asked-questions/index.html
U.S. Department of Justice, U.S. and U.K. Disrupt LockBit Ransomware Variant: https://www.justice.gov/opa/pr/us-and-uk-disrupt-lockbit-ransomware-variant
U.S. Department of Justice, Justice Department Disrupts Prolific ALPHV/Blackcat Ransomware Variant: https://www.justice.gov/archives/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant
CISA, AA17-132A: Indicators Associated With WannaCry Ransomware: https://www.cisa.gov/news-events/alerts/2017/05/12/indicators-associated-wannacry-ransomware
The White House, Press Briefing by Press Secretary Jen Psaki, June 9, 2021: https://bidenwhitehouse.archives.gov/briefing-room/press-briefings/2021/06/09/press-briefing-by-press-secretary-jen-psaki-june-9-2021/
Kaseya, Kaseya Responds Swiftly to Sophisticated Cyberattack: https://www.kaseya.com/press-release/kaseya-responds-swiftly-to-sophisticated-cyberattack-mitigating-global-disruption-to-customers/
CISA, Kaseya Ransomware Attack: Guidance for Affected MSPs and their Customers: https://www.cisa.gov/news-events/news/kaseya-ransomware-attack-guidance-affected-msps-and-their-customers
MGM Resorts International Statement on Cybersecurity Issue: https://investors.mgmresorts.com/investors/news-releases/press-release-details/2023/MGM-RESORTS-INTERNATIONAL-STATEMENT-ON-CYBERSECURITY-ISSUE/default.aspx

Sources checked 8 мая 2026 г.

Рекомендуемые статьи:

Примеры атак программ-вымогателей