Что совместные рекомендации #StopRansomware говорят об экономике шифровальщиков: платежи, секторы, аффилиаты
Совместные рекомендации #StopRansomware, которые публикуют CISA, ФБР и партнёрские ведомства, обычно читают как материал по реагированию на инциденты: индикаторы компрометации, разбор тактик, чек-листы защиты. Но если читать их вместе, они складываются в необычный публичный портрет устройства экономики шифровальщиков. Рекомендации по ALPHV/Blackcat, Black Basta и Medusa сухим языком описывают, кто выполняет работу, как покупается доступ к сетям и как жертв подталкивают к платежу.
Рынок труда, а не одна банда
Рекомендация по Medusa (AA25-071A, впервые опубликована в марте 2025 года и обновлена в августе 2026-го, есть также на сайте ФБР) больше всех говорит о деньгах. В ней сказано, что разработчики Medusa вербуют брокеров первоначального доступа на киберпреступных форумах, предлагая IAB платежи от 100 долларов до 1 миллиона, а также возможность работать эксклюзивно на Medusa; при этом большинство брокеров одновременно работают с несколькими вариантами шифровальщиков. Товар — доступ к сетям; бренд, который его покупает, легко заменяем. Там же описана многоуровневая модель аффилиатов: Medusa начинала как закрытая операция в июне 2021 года, а с начала 2023 года перешла к модели Ransomware-as-a-Service, где аффилиаты получают разные уровни доверия в зависимости от опыта и доходности. У новых аффилиатов переговоры о выкупе могут полностью контролироваться разработчиками. Рекомендации по ALPHV/Blackcat и по Black Basta описывают своих героев так же: операции RaaS, где названные по имени аффилиаты проводят взлом и шантаж на условиях, заданных ядром группы. Лик-сайт как механизм платежа
В рекомендациях лик-сайты описаны как часть платёжного процесса, а не как пиар. Сайт Medusa в сети .onion публикует жертв с таймерами обратного отсчёта; жертва может заплатить 10 000 долларов в криптовалюте, чтобы продлить таймер ровно на один день. Злоумышленники предлагают сниженный тариф при быстрой оплате и, как сказано в рекомендации, формируют сумму требований исходя из публично раскрытой выручки жертвы. Там же зафиксировано, что может случиться после платежа: одну заплатившую жертву вновь вывели на связь и потребовали ещё половину выкупа — якобы за «настоящий дешифратор», — а авторы отмечают, что проверить реальное удаление украденных данных невозможно. Рекомендация по Black Basta описывает параллельный механизм: в записках о выкупе жертвам дают 10–12 дней до публикации данных на Tor-сайте группы «Basta News». Обновление по ALPHV документирует противоположный край рынка: некоторые аффилиаты шантажируют одними украденными данными, вообще не разворачивая шифровальщик. Случайные цели, повторяющиеся секторы
Ни одна из трёх групп не описана как разборчивая. Актёры Medusa действуют оппортунистически, целясь в жертв с непропатченным ПО; при этом здравоохранение — частая жертва, и по состоянию на апрель 2026 года рекомендация насчитывает более 500 жертв Medusa в секторах критической инфраструктуры. Аффилиаты Black Basta к маю 2024 года затронули более 500 организаций по всему миру минимум в 12 из 16 секторов критической инфраструктуры; здравоохранение выделено как привлекательная цель из-за зависимости от технологий и того ущерба, который атака наносит лечению пациентов. Обновление по ALPHV отмечало, что из почти 70 жертв, данные которых были опубликованы с середины декабря 2023 года, чаще всех страдал сектор здравоохранения — период, последовавший за призывом администратора группы после полицейских действий против её инфраструктуры нацеливаться на больницы. Платежи падают, санкционные риски остаются
В вопросе платежей публичная позиция правительства носит регуляторный, а не статистический характер. Обновлённая рекомендация OFAC о платежах за выкуп (сентябрь 2021 года) констатирует, что правительство США настоятельно не рекомендует всем частным компаниям и гражданам платить выкуп или требования шантажистов; предупреждает, что посредники — банки, киберстраховщики, компании реагирования на инциденты — рискуют гражданскими санкциями на основе строгой ответственности; и фиксирует презумпцию отказа для лицензий, связанных с выкупными платежами в адрес подсанкционных лиц. Тот же документ, опубликованный вместе с внесением биржи Suex в санкционный список за содействие доходам от шифровальщиков, объясняет жертвам: быстрая заявка в правоохранительные органы или CISA может принести зачёт добровольного раскрытия и существенное смягчение — с оговоркой, что никаких гарантий вернуть доступ к данным нет. Рыночные данные подтверждают давление на платёжную сторону. Chainalysis оценивает платежи шифровальщикам за 2024 год примерно в 813,55 млн долларов — примерно на 35 процентов ниже рекордных 1,25 млрд долларов 2023 года и первое снижение с 2022-го; платежом закончилось менее половины зафиксированных инцидентов, а один из переговорщиков, цитируемых в отчёте, оценивает долю переговоров, завершившихся платежом, примерно в 30 процентов. Chainalysis также отмечает, что итоговые платежи группируются в диапазоне 150–250 тысяч долларов независимо от первоначальной суммы: цену в итоге назначает переговорный процесс, а не стартовая цифра. Почему в рекомендациях называют аффилиатов
Повторяющаяся деталь этих документов — структурная: тот, кто взламывает сеть, тот, кто ведёт переговоры, разработчик, поддерживающий шифровальщик, и сервис, выводящий деньги, — разные стороны, часто в разных юрисдикциях. Именно поэтому рекомендации называют аффилиатов, брокеров доступа и посредников, а не один бренд. Правоприменение следует за ролями: в 2021 году Казначейство внесло биржу Suex в список — первый обменник виртуальных валют, санкционированный за содействие доходам от шифровальщиков, связанный минимум с восемью их вариантами, — без привязки к какой-либо конкретной RaaS-варианте. Для тех, кто следит за лик-сайтами, практический вывод тот же, что и в нашем материале о том, как работают лик-сайты шифровальщиков в .onion: таймер обратного отсчёта — это платёжный механизм, а брокерские расценки, многоуровневые аффилиаты и санкционные риски посредников — то, что эти документы и фиксируют.
