Доля атак вымогателей на медицинские организации выросла более чем вдвое

Медицинские организации стали наиболее частой целью атак вымогателей среди отраслей, которые анализировали эксперты. При этом рост их доли нельзя рассматривать отдельно от общей картины. Количество публикаций о жертвах на публичных сайтах утечек в третьем квартале снизилось с 2 455 до 2 268 по сравнению с первым кварталом, однако осталось почти на 60% выше показателя второго квартала 2025 года. Снижение числа публикаций за квартал не сопровождалось сопоставимым уменьшением активности вымогателей.

Основным способом первоначального доступа в атаках вымогателей остаются скомпрометированные учетные записи. 64% расследованных инцидентов начинались с использования украденных учетных данных для доступа к VPN и RDP. Еще около 12% случаев приходилось на вредоносное ПО. Пользователей в таких атаках чаще всего убеждали скачать и запустить программу, которая выглядела как легитимное программное обеспечение. Одним из распространенных способов доставки вредоносных установщиков были отравленные результаты поисковой выдачи, а в отдельных случаях злоумышленники использовали RMM-агенты.

Для медицинских организаций эти способы проникновения представляют особый риск, так как в отрасли используется большое количество удаленных подключений, специализированного программного обеспечения и внешних сервисов. Скомпрометированная учетная запись позволяет злоумышленнику войти через разрешенный канал и некоторое время оставаться незаметным. При использовании действующих учетных данных традиционные средства защиты не всегда могут отличить действия атакующего от обычной работы сотрудника. Ситуацию осложняет наличие привилегированных учетных записей и удаленного доступа к критически важным системам.

Еще одна причина высокой привлекательности медицинских организаций связана с характером обрабатываемой информации. Они хранят персональные и медицинские данные пациентов, финансовые сведения, результаты исследований и внутреннюю документацию. При этом остановка отдельных информационных систем может затронуть не только административные процессы, но и оказание медицинской помощи. Для злоумышленника это создает несколько способов давления на организацию через шифрование инфраструктуры, кражу данных или угрозу их публикации.

В первой половине 2026 года эксперты также наблюдали изменение тактики отдельных операторов программ-вымогателей. Часть групп стала отказываться от шифрования в пользу кражи данных и последующего шантажа. Отказ от шифрования не означает снижения ущерба для жертвы, украденные сведения могут использоваться для давления на организацию, ее клиентов и партнеров, а сам факт утечки способен повлечь дополнительные финансовые и репутационные последствия.

Приоритетной задачей для медицинских организаций должен стать контроль учетных данных и удаленного доступа. Необходимо использовать многофакторную аутентификацию для VPN, RDP и корпоративной почты, ограничивать доступ к административным интерфейсам, отслеживать необычные входы и регулярно пересматривать права привилегированных учетных записей. Отдельного контроля требуют RMM-агенты и другие инструменты удаленного администрирования. Их присутствие в инфраструктуре должно быть обосновано, а действия с их использованием необходимо фиксировать и анализировать.

Защита от вредоносных загрузок должна включать контроль браузерного трафика, блокировку подозрительных установщиков и ограничение возможности самостоятельной установки программ на рабочих станциях. Для медицинских организаций это особенно актуально из-за большого количества рабочих мест и специализированных приложений. Одновременно необходимо регулярно проверять резервные копии и проводить тесты восстановления, чтобы при шифровании или повреждении систем организация могла вернуться к работе без зависимости от требований злоумышленников.

Мониторинг также должен охватывать события, которые предшествуют развертыванию программ-вымогателей. К ним относятся подбор и распыление паролей, попытки компрометации учетных записей, аномальные VPN- и RDP-сессии, создание подозрительных правил в почтовых ящиках, использование нетипичных средств удаленного администрирования и эксфильтрация данных. Статистика второго квартала 2026 года показывает, что основными точками входа остаются хорошо известные методы. Рост доли медицинских организаций среди жертв делает контроль учетных записей, удаленного доступа и действий внутри инфраструктуры основными направлениями защиты от вымогателей.