Produkcja odpowiada za większość incydentów
Według Dragos w II kwartale 2026 roku odnotowano 1140 incydentów ransomware dotyczących organizacji przemysłowych, wobec 1020 w pierwszych trzech miesiącach roku. Dane pochodzą z publicznie ujawnionych informacji o ofiarach oraz wpisów publikowanych przez grupy ransomware na stronach służących do ujawniania wykradzionych danych.
Najwięcej przypadków dotyczyło firm produkcyjnych – 747, czyli 65% wszystkich incydentów. W budownictwie odnotowano 176 przypadków, wśród producentów urządzeń 114, a w sektorze spożywczym i napojowym 70. Kolejne 117 incydentów dotyczyło organizacji wspierających środowiska ICS, m.in. firm inżynieryjnych, integratorów systemów i producentów urządzeń.
Badacze Dragos wskazują, że ransomware pozostaje jednym z najbardziej uporczywych i zakłócających działalność zagrożeń dla organizacji przemysłowych.
Atak na IT może wystarczyć do zatrzymania produkcji
Zdaniem Dragos ryzyko dla przedsiębiorstw przemysłowych jest obecnie w mniejszym stopniu związane z nowym malware tworzonym specjalnie do atakowania ICS. Coraz większe znaczenie mają ataki na korporacyjne systemy IT, od których zależy funkcjonowanie środowisk OT.
Do szczególnie wartościowych celów należą systemy ERP, platformy wirtualizacyjne, usługi zarządzania tożsamością oraz bramy zdalnego dostępu. Zakłócenie ich pracy może przełożyć się na zatrzymanie produkcji i problemy w łańcuchu dostaw, nawet bez bezpośredniej ingerencji w systemy sterowania.
Przykładem jest cyberatak na australijską firmę Mackay Sugar. 10 czerwca zdarzenie doprowadziło do zatrzymania przemiału i transportu trzciny cukrowej w dwóch z trzech zakładów w Queensland. Jeden z nich po dwóch dniach wznowił ograniczoną pracę w trybie ręcznym.
Dragos nie znalazł dowodów, że hakerzy uzyskali dostęp do ICS lub bezpośrednio manipulowali środowiskiem OT. Nie ustalono również jednoznacznie, czy zatrzymanie działalności było bezpośrednim skutkiem ataku, czy wynikiem działań podjętych w celu jego ograniczenia.
Ransomware coraz częściej opiera się na kradzieży danych
Dragos zwraca uwagę na dalsze przesuwanie się modelu wymuszeń od szyfrowania plików w kierunku kradzieży informacji. Nawet po przywróceniu systemów wykradzione dane pracowników, klientów, dostawców, informacje finansowe lub operacyjne mogą zostać opublikowane albo wykorzystane do dalszych żądań okupu.
Atakujący nadal uzyskiwali dostęp poprzez urządzenia wystawione do Internetu, narzędzia zdalnego zarządzania, przejęte konta i skradzione dane uwierzytelniające.
Podszywanie się pod dział IT przez Microsoft Teams
Jednym z najczęściej raportowanych sposobów uzyskiwania dostępu pozostawała socjotechnika. Dragos odnotował jednak przesunięcie ataków z poczty elektronicznej w stronę bezpośredniego kontaktu na platformach współpracy.
Kilka grup kontaktowało się z pracownikami przez Microsoft Teams, podszywając się pod wewnętrzne wsparcie IT. Następnie nakłaniały użytkowników do instalowania narzędzi zdalnego dostępu, takich jak AnyDesk lub Quick Assist.
Oszuści tworzyli również domeny przypominające nazewnictwo stosowane przez atakowane organizacje, aby wyłudzać hasła i kody MFA.
USA pozostają głównym celem
W Ameryce Północnej odnotowano 514 incydentów, wobec 480 w I kwartale. W Europie liczba przypadków wzrosła z 252 do 316. Same Stany Zjednoczone odpowiadały za 431 incydentów, czyli 38% światowej liczby przypadków.
W Niemczech liczba zgłaszanych incydentów wzrosła z 37 do 68, przy czym 76% wskazywanych ofiar stanowiły przedsiębiorstwa produkcyjne. W Azji odnotowano 172 przypadki, w Ameryce Południowej 64, na Bliskim Wschodzie 44, w Australii i Nowej Zelandii 19, a w Afryce 11.
Dragos podkreśla, że organizacje powinny zakładać, iż wszystkie zasoby dostępne z Internetu mogą zostać wykryte przez oszustów, dlatego konieczne jest stałe zarządzanie zewnętrzną powierzchnią ataku.
Źródło: Help Net Security
