Ransomware в 2026 году: почему резервные копии больше не решают проблему

Несколько лет назад сценарий ransomware выглядел относительно понятно: атакующие проникали в инфраструктуру, шифровали данные и предлагали купить ключ для восстановления.

Поэтому и защита часто строилась вокруг понятной идеи: сделаем надёжные резервные копии — и платить не придётся.

Сегодня этого недостаточно.

Современная ransomware-атака может вообще не закончиться массовым шифрованием. Атакующим достаточно украсть клиентские базы, внутреннюю переписку, финансовые документы, персональные данные сотрудников, исходный код или коммерческие планы — и затем поставить руководство перед выбором: заплатить или получить публичную утечку, претензии клиентов, расследование регуляторов и репутационный кризис.

Некоторые группы уже полностью отказались от шифрования и сосредоточились на краже данных и вымогательстве. Например, в совместном предупреждении американских ведомств отмечалось, что BianLian перешла от двойного вымогательства к модели, основанной исключительно на эксфильтрации данных. (ic3.gov⁠)

Моя позиция проста: ransomware в 2026 году — это не проблема восстановления файлов. Это проверка способности компании управлять кризисом, в котором одновременно затронуты технологии, данные, операции, право, коммуникации и репутация.

Шифрование удобно атакующим, но у него есть ограничение: если у компании сохранились изолированные и проверенные резервные копии, значительная часть рычага давления исчезает.

Кража данных решает эту проблему.

Резервная копия поможет восстановить базу клиентов, но не вернёт конфиденциальность уже выгруженных записей. Она восстановит файловый сервер, но не отменит публикацию договоров, паролей, архитектурных схем или переписки руководителей.

Именно поэтому в официальном руководстве CISA защита от ransomware уже рассматривается вместе с защитой от data extortion — вымогательства с использованием украденных данных. Рекомендации охватывают не только восстановление, но и предотвращение, обнаружение, реагирование и снижение последствий таких инцидентов. (cisa.gov⁠)

В некоторых аналитических отчётах за 2026 год в статистику ransomware уже приходится включать группы, которые не используют ransomware в буквальном смысле: они не шифруют системы, а крадут информацию и вымогают деньги угрозой её публикации. (GuidePoint Security⁠)

Получается важный управленческий сдвиг:

предметом вымогательства становится не доступность информации, а весь ущерб, который компания может понести из-за компрометации.

Это могут быть:

Атакующие продают бизнесу не ключ расшифрования. Они продают обещание прекратить давление. И проверить, действительно ли данные будут удалены и не появятся позднее у другой группы, практически невозможно.

Резервное копирование по-прежнему является обязательной частью защиты. Без него компания может потерять возможность восстановить критические системы и оказаться полностью зависимой от атакующих.

Но backup закрывает только часть сценария.

Он отвечает на вопрос:

Сможем ли мы восстановить данные и системы?

Он не отвечает на другие вопросы:

Даже стоимость восстановления не сводится к покупке оборудования и работе IT-команды. По данным Sophos, средняя стоимость восстановления после ransomware-инцидента без учёта самого выкупа составляла около 1,5 миллиона долларов, а средняя выплата — около 1 миллиона долларов. Исследование также указывает на дефицит специалистов и компетенций как на один из факторов успешных атак. (SOPHOS⁠)

Поэтому ransomware-ready организация — это не компания, у которой «есть backup». Это компания, которая понимает, как будет действовать, когда атакующие уже получили доступ к данным, инфраструктуре и вниманию общественности.

Организация настраивает контроль изменения файлов, защищает хранилища резервных копий и тестирует восстановление, но практически не контролирует массовую выгрузку данных.

В результате атака может быть обнаружена слишком поздно — после того как сотни гигабайт информации уже покинули инфраструктуру.

Защита должна искать не только процесс шифрования, но и события, которые ему предшествуют:

EDR важен, но он не заменяет архитектуру.

Если одна скомпрометированная учётная запись открывает доступ к рабочим станциям, серверам, виртуализации, хранилищам и резервным копиям, скорость реагирования становится последней линией обороны.

Сегментация, разделение административных контуров, защита привилегированных учётных записей и ограничение lateral movement уменьшают не вероятность первоначального проникновения, а потенциальный радиус поражения.

Для бизнеса это часто важнее обещания «остановить все атаки».

Во многих компаниях есть утверждённый план реагирования, но нет готовности применить его в три часа ночи, когда не работает корпоративная почта, доменная инфраструктура скомпрометирована, а генеральному директору звонят журналисты.

План, который не прошёл tabletop exercise, техническую симуляцию и проверку каналов связи, — это гипотеза, а не рабочая способность.

Вымогатели используют время против жертвы. Они назначают дедлайны, публикуют фрагменты данных, звонят сотрудникам, клиентам и партнёрам, угрожают повысить сумму.

Если компания впервые обсуждает допустимость переговоров и выплаты уже во время атаки, она начинает принимать стратегические решения в состоянии информационного дефицита и эмоционального давления.

Нужно заранее определить:

Переговорная готовность не означает готовность платить. Она означает способность управлять ситуацией, не импровизируя под угрозами.

Я бы рассматривал её как пять взаимосвязанных способностей.

SOC и команды мониторинга должны искать не только ransomware payload, но и всю цепочку поведения: initial access, credential theft, privilege escalation, lateral movement, discovery, staging и exfiltration.

Ценность detection определяется не количеством правил, а тем, позволяет ли он остановить атакующего до необратимого бизнес-ущерба.

Сегментация должна существовать не на архитектурной схеме, а в реальной инфраструктуре.

Особого разделения требуют:

Без классификации и владельцев данных невозможно быстро оценить последствия утечки.

Во время инцидента фраза «возможно, у них есть часть файлового сервера» не помогает руководству. Нужны ответы: какие категории информации затронуты, кому они принадлежат, какие обязательства возникают и какой ущерб наиболее вероятен.

У компании должны быть альтернативные каналы связи, офлайн-копии контактов, доступ к планам реагирования, понятная структура полномочий и заранее определённые внешние партнёры.

Incident response нужно проектировать с допущением, что атакующий контролирует корпоративную почту, часть средств администрирования и некоторые учётные записи сотрудников.

Ransomware-инцидент быстро выходит за пределы ИБ.

В реагировании участвуют руководство, IT, безопасность, юридическая функция, PR, HR, compliance, риск-менеджмент, владельцы продуктов и бизнес-подразделений.

Если эти команды впервые знакомятся друг с другом во время атаки, кризис будет развиваться быстрее, чем компания успеет выработать общую позицию.

Главная ошибка — продолжать воспринимать ransomware как технический сбой с функцией шифрования.

В 2026 году это управляемая преступная операция, направленная на создание максимального давления на бизнес. Поэтому и защищаться от неё нужно не одним средством, а системой способностей: detection, identity security, segmentation, data governance, incident response, кризисными коммуникациями и заранее определённой моделью принятия решений.

Backup остаётся обязательным. Но зрелость начинается после backup — с вопроса, сможет ли компания сохранить управляемость, когда данные уже украдены, часть инфраструктуры недоступна, а решение нужно принимать в течение нескольких часов.

Ransomware-устойчивость измеряется не тем, сколько копий данных хранит компания, и не тем, какой продукт установлен на конечных устройствах.

Она измеряется тем, насколько быстро организация способна понять масштаб компрометации, локализовать атакующего, восстановить критические процессы, выполнить обязательства перед клиентами и регуляторами и сохранить контроль над решениями.

Резервная копия может вернуть данные.

Но только зрелая функция информационной безопасности способна вернуть бизнесу управляемость.

Подписывайтесь на мой ТГ канал: @ib_decisions