Model biznesowy przestępców oraz mechanika osiągania zysków ulegają istotnej przemianie w ostatnich latach. Można zaobserwować jednoczesne współistnienie dwóch strategii: kosztownych, wyrafinowanych operacji oraz taniej, zautomatyzowanej masowej aktywności. Dla przedsiębiorstw oznacza to konieczność dywersyfikacji obrony na trzech poziomach – technicznym (EDR, segmentacja sieci, ciągły monitoring), procedur (plany reagowania na incydenty, regularne testy przywracania środowisk IT do pracy) oraz decyzji strategicznych (cyfrowe ubezpieczenia, polityka komunikacji kryzysowej, ścisła współpraca z organami ścigania). Sztuczna inteligencja dodatkowo wpływa na ekonomikę działania cyberprzestępców: podnosi jakość manipulacji i skalę ataków, ale też obniża barierę wejścia dla zautomatyzowanych masowych kampanii.

Na szczęście, coraz skuteczniejsze są działania organów ścigania, które przyniosły mierzalne sukcesy przeciwko ekosystemom ransomware. Skoordynowane międzynarodowe operacje doprowadziły do aresztowań liderów i afiliantów, przejęć serwerów i domen oraz konfiskaty kryptowalut. Wśród przykładów jest rozbicie grupy 8Base oraz operacja „Cronos” wymierzona w LockBit, w wyniku której zablokowano serwisy komunikacyjne i zabezpieczono środki umożliwiające ofiarom odzyskanie dostępu bez płacenia okupu.

Ransomware wciąż dotkliwy

Ataki ransomware nieustannie spędzają sen z powiek osobom odpowiedzialnym za IT w przedsiębiorstwach, ale warto zauważyć, że w ciągu ostatnich dwóch lat przeszły one fazę intensywnej transformacji. Do konieczności zmiany strategii cyberprzestępców przyczynił się fakt, że znacząco spadły wpływy z okupów – według raportu Chainalysis („2025 Crypto Crime Report”) w 2024 r. odnotowano około 35 proc. mniej wpłat niż w rekordowym 2023 r., a całkowita suma otrzymanych okupów to około 813 mln dol. Zdaniem analityków spadek ten to efekt działań organów ścigania, wprowadzanych przez coraz więcej krajów restrykcji w obrocie kryptowalutami, wpływających na brak anonimowości, a także wzrostu skuteczności zabezpieczeń stosowanych przez przedsiębiorstwa.

Jednocześnie na wysokim poziomie utrzymała się liczba incydentów ransomware. Według autorów dokumentu „ENISAThreat Landscape 2024” oznacza to, że ataki są wciąż powszechne, ale częściej prowadzą do publikacji skradzionych danych niż do wypłat okupów (a to z kolei jest konsekwencją tego, że firmy mają coraz skuteczniejsze procedury wykonywania kopii zapasowych, więc nie tracą zaszyfrowanych danych i nie płacą okupu, godząc się na ich wyciek).

Skąd więc spadek przychodów cyberprzestępców przy relatywnie stałej liczbie udanych kampanii? Po pierwsze, model „big-game hunting” wciąż istnieje, realizowany przez zespoły nastawione na wielkie uderzenia celujące w podmioty z dużymi zasobami, wrażliwymi danymi i potencjałem do podjęcia decyzji o zapłacie okupu (a więc głównie branża finansowa, techniczna, ochrony zdrowia i sektor publiczny). Po drugie, pozycję największych gangów osłabiły działania prawne, w tym dekonspiracje, aresztowania, przejęcia infrastruktury, a także presja regulatorów. W rezultacie rynek uległ fragmentacji: na miejsce rozbitych sieci wchodzą mniejsze, mniej doświadczone grupy i „samodzielni” operatorzy, którzy częściej atakują liczniej, lecz z mniejszymi żądaniami. To nie oznacza jednak, że są mniej niebezpieczni – ich działania mogą być wystarczające, aby zakłócić pracę małych lub średnich przedsiębiorstw, które nie przykładają do zabezpieczeń szczególnej uwagi.

Ta ewolucja ma praktyczne konsekwencje. Podmioty inwestujące w podstawowe praktyki cyberbezpieczeństwa – szybkie łatanie luk, segmentację sieci, wieloskładnikowe uwierzytelnianie oraz kopie zapasowe wykonywane w profesjonalny sposób (a więc z regularnym testowaniem możliwości odzyskania danych) – coraz częściej nie muszą płacić okupów za odszyfrowanie danych lub uniknięcie ich opublikowania na publicznych forach. Ze statystyk wynika, że globalnie odsetek ataków kończących się szyfrowaniem spadł z 70 do 50 proc. w ostatnim roku, a mediany żądań i wysokości okupów wyraźnie się obniżyły.

W praktyce widać zatem dwa konkurencyjne trendy. Atakujący kierują się tam, gdzie szansa uzyskania potencjalnego zwrotu z podjętych przez nich działań jest najwyższa. Równocześnie lepsze procedury, świadomość, prawo i koordynacja międzynarodowej współpracy służb obniżają opłacalność masowych, dużych ataków. To prowadzi do zwiększonej liczby prób przy niższym średnim przychodzie na incydent. Od kilku lat widoczny był trend, zgodnie z którym atakujący odchodzili od wybierania za ofiary indywidualnych osób i mniejszych firm, ze względu na konieczność prowadzenia negocjacji co do okupu z wieloma podmiotami i generalnie mniejszą szansą uzyskania go. Jednak wygląda na to, że w obecnej sytuacji nie będą mieli wyjścia i znów główne ryzyko będzie dotyczyło małych i średnich firm.

Czy CVE to dobry wskaźnik?  

W ciągu kilku minionych lat bardzo dynamicznie rośnie liczba podatności zgłaszanych do globalnej bazy CVE. W 2023 r. odnotowano prawie 29 tys. nowych CVE, podczas gdy w roku ubiegłym liczba ta skoczyła do rekordowych 40 tys., co oznacza wzrost o około 38 proc. Średnia dzienna liczba zgłoszeń dla całego 2024 r. wynosiła 108 CVE, a w pierwszych miesiącach 2025 wzrosła do 131, co może wskazywać, że pobite zostaną dotychczasowe rekordy. Przyczyną tej fali wzrostu podatności jest rosnąca liczba urządzeń i aplikacji dostępnych na rynku, ale też intensywne korzystanie z rozwiązań open source, których otwarty kod ułatwia wykrywanie podatności.

Z drugiej strony, rośnie dyskusja nad jakością zgłaszanych podatności i realnym ryzykiem, jakie ze sobą niosą. Chociaż rośnie liczba nowych CVE, odsetek tych rzeczywiście wykorzystywanych przez cyberprzestępców pozostaje stosunkowo niski – w połowie 2024 r. Qualys wskazywał, że z całej masy zgłoszonych podatności wynosił on 0,91 proc. To oznacza, że wiele CVE ma charakter bardziej „teoretyczny” i nie można ich traktować jako zagrożenie krytyczne. Spada też tempo, w jakim podatności są eksploatowane od momentu zgłoszenia – obecnie tylko niewielka ich część zostaje natychmiast użyta przez atakujących.