Доля атак вымогателей на медицинские организации выросла более чем вдвое

Доля атак вымогателей на медицинские организации по итогам восьми месяцев 2026 года выросла более чем вдвое – с 10% до 21% всех расследованных инцидентов. Эксперты компании «Информзащита» связывают эту динамику с главным трендом: Здравоохранение стало главной целью злоумышленников, обогнав традиционных лидеров по числу атак за счет критической зависимости от непрерывности процессов.

Медицинские организации стали наиболее частой целью атак вымогателей среди отраслей, которые анализировали эксперты. При этом рост их доли нельзя рассматривать отдельно от общей картины. Количество публикаций о жертвах на публичных сайтах утечек в третьем квартале снизилось с 2 455 до 2 268 по сравнению с первым кварталом, однако осталось почти на 60% выше показателя второго квартала 2025 года. Снижение числа публикаций за квартал не сопровождалось сопоставимым уменьшением активности вымогателей.

Основным способом первоначального доступа в атаках вымогателей остаются скомпрометированные учетные записи. 64% расследованных инцидентов начинались с использования украденных учетных данных для доступа к VPN и RDP. Еще около 12% случаев приходилось на вредоносное ПО. Пользователей в таких атаках чаще всего убеждали скачать и запустить программу, которая выглядела как легитимное программное обеспечение. Одним из распространенных способов доставки вредоносных установщиков были отравленные результаты поисковой выдачи, а в отдельных случаях злоумышленники использовали RMM-агенты.

Для медицинских организаций эти способы проникновения представляют особый риск, так как в отрасли используется большое количество удаленных подключений, специализированного программного обеспечения и внешних сервисов. Скомпрометированная учетная запись позволяет злоумышленнику войти через разрешенный канал и некоторое время оставаться незаметным. При использовании действующих учетных данных традиционные средства защиты не всегда могут отличить действия атакующего от обычной работы сотрудника. Ситуацию осложняет наличие привилегированных учетных записей и удаленного доступа к критически важным системам.

Еще одна причина высокой привлекательности медицинских организаций связана с характером обрабатываемой информации. Они хранят персональные и медицинские данные пациентов, финансовые сведения, результаты исследований и внутреннюю документацию. При этом остановка отдельных информационных систем может затронуть не только административные процессы, но и оказание медицинской помощи. Для злоумышленника это создает несколько способов давления на организацию через шифрование инфраструктуры, кражу данных или угрозу их публикации.

В первой половине 2026 года эксперты также наблюдали изменение тактики отдельных операторов программ-вымогателей. Часть групп стала отказываться от шифрования в пользу кражи данных и последующего шантажа. Отказ от шифрования не означает снижения ущерба для жертвы, украденные сведения могут использоваться для давления на организацию, ее клиентов и партнеров, а сам факт утечки способен повлечь дополнительные финансовые и репутационные последствия.