Медицинские организации стали наиболее частой целью атак вымогателей среди отраслей, которые анализировали эксперты. При этом рост их доли нельзя рассматривать отдельно от общей картины. Количество публикаций о жертвах на публичных сайтах утечек в третьем квартале снизилось с 2 455 до 2 268 по сравнению с первым кварталом, однако осталось почти на 60% выше показателя второго квартала 2025 года. Снижение числа публикаций за квартал не сопровождалось сопоставимым уменьшением активности вымогателей.
Основным способом первоначального доступа в атаках вымогателей остаются скомпрометированные учетные записи. 64% расследованных инцидентов начинались с использования украденных учетных данных для доступа к VPN и RDP. Еще около 12% случаев приходилось на вредоносное ПО. Пользователей в таких атаках чаще всего убеждали скачать и запустить программу, которая выглядела как легитимное программное обеспечение. Одним из распространенных способов доставки вредоносных установщиков были отравленные результаты поисковой выдачи, а в отдельных случаях злоумышленники использовали RMM-агенты.
Для медицинских организаций эти способы проникновения представляют особый риск, так как в отрасли используется большое количество удаленных подключений, специализированного программного обеспечения и внешних сервисов. Скомпрометированная учетная запись позволяет злоумышленнику войти через разрешенный канал и некоторое время оставаться незаметным. При использовании действующих учетных данных традиционные средства защиты не всегда могут отличить действия атакующего от обычной работы сотрудника. Ситуацию осложняет наличие привилегированных учетных записей и удаленного доступа к критически важным системам.
Еще одна причина высокой привлекательности медицинских организаций связана с характером обрабатываемой информации. Они хранят персональные и медицинские данные пациентов, финансовые сведения, результаты исследований и внутреннюю документацию. При этом остановка отдельных информационных систем может затронуть не только административные процессы, но и оказание медицинской помощи. Для злоумышленника это создает несколько способов давления на организацию через шифрование инфраструктуры, кражу данных или угрозу их публикации.
В первой половине 2026 года эксперты также наблюдали изменение тактики отдельных операторов программ-вымогателей. Часть групп стала отказываться от шифрования в пользу кражи данных и последующего шантажа. Отказ от шифрования не означает снижения ущерба для жертвы, украденные сведения могут использоваться для давления на организацию, ее клиентов и партнеров, а сам факт утечки способен повлечь дополнительные финансовые и репутационные последствия.
Приоритетной задачей для медицинских организаций должен стать контроль учетных данных и удаленного доступа. Необходимо использовать многофакторную аутентификацию для VPN, RDP и корпоративной почты, ограничивать доступ к административным интерфейсам, отслеживать необычные входы и регулярно пересматривать права привилегированных учетных записей. Отдельного контроля требуют RMM-агенты и другие инструменты удаленного администрирования. Их присутствие в инфраструктуре должно быть обосновано, а действия с их использованием необходимо фиксировать и анализировать.
Защита от вредоносных загрузок должна включать контроль браузерного трафика, блокировку подозрительных установщиков и ограничение возможности самостоятельной установки программ на рабочих станциях. Для медицинских организаций это особенно актуально из-за большого количества рабочих мест и специализированных приложений. Одновременно необходимо регулярно проверять резервные копии и проводить тесты восстановления, чтобы при шифровании или повреждении систем организация могла вернуться к работе без зависимости от требований злоумышленников.
Мониторинг также должен охватывать события, которые предшествуют развертыванию программ-вымогателей. К ним относятся подбор и распыление паролей, попытки компрометации учетных записей, аномальные VPN- и RDP-сессии, создание подозрительных правил в почтовых ящиках, использование нетипичных средств удаленного администрирования и эксфильтрация данных. Статистика второго квартала 2026 года показывает, что основными точками входа остаются хорошо известные методы. Рост доли медицинских организаций среди жертв делает контроль учетных записей, удаленного доступа и действий внутри инфраструктуры основными направлениями защиты от вымогателей.