Що спільні рекомендації #StopRansomware кажуть про економіку шифрувальників: платежі, сектори, партнери
Спільні рекомендації #StopRansomware, які публікують CISA, ФБР та партнерські відомства, зазвичай читають як матеріал для реагування на інциденти: індикатори компрометації, розбори тактик, чек-листи захисту. Прочитані поруч, вони складають ще й незвичний публічний портрет устрою економіки шифрувальників. Рекомендації щодо ALPHV/Blackcat, Black Basta та Medusa сухою мовою описують, хто виконує роботу, як купується доступ до мереж і як жертв підштовхують до платежу.
Ринок праці, а не одна банда
Рекомендація щодо Medusa (AA25-071A, уперше опублікована в березні 2025 року й оновлена в серпні 2026-го, є також на сайті ФБР) найвідвертіше говорить про гроші. У ній ідеться, що розробники Medusa вербують на кіберзлочинних форумах брокерів первинного доступу, пропонуючи IAB платежі від 100 доларів до 1 мільйона, а також можливість працювати ексклюзивно на Medusa; більшість брокерів одночасно працюють із кількома варіантами шифрувальників. Товар — доступ до мереж; бренд, який його купує, легко замінний. Там же описана багаторівнева модель афілійованих партнерів: Medusa починалася як закрита операція в червні 2021 року, а з початку 2023-го перейшла до моделі Ransomware-as-a-Service, де партнери отримують різні рівні довіри залежно від досвіду та прибутковості. У нових партнерів переговори про викуп можуть повністю контролювати розробники. Рекомендації щодо ALPHV/Blackcat та щодо Black Basta описують своїх героїв так само: операції RaaS, де названі на ім'я партнери проводять злом і шантаж на умовах, заданих ядром групи. Лік-сайт як механізм платежу
У рекомендаціях лік-сайти описані як частина платіжного процесу, а не як піар. Сайт Medusa в мережі .onion публікує жертв із таймерами зворотного відліку; жертва може заплатити 10 000 доларів у криптовалюті, щоб продовжити таймер рівно на один день. Зловмисники пропонують знижений тариф за швидку оплату і, як сказано в рекомендації, формують суму вимог на основі публічно розкритої виручки жертви. Там же зафіксовано, що може статися після платежу: одну жертву, яка вже заплатила, знову вийшли на зв'язок і вимагали ще половину викупу — нібито за «справжній дешифратор», — а автори зауважують, що перевірити справжнє видалення викрадених даних неможливо. Рекомендація щодо Black Basta описує паралельний механізм: у записках про викуп жертвам дають 10–12 днів до публікації даних на Tor-сайті групи «Basta News». Оновлення щодо ALPHV документує протилежний край ринку: деякі партнери шантажують самими викраденими даними, взагалі не розгортаючи шифрувальник. Випадкові цілі, повторювані сектори
Жодна з трьох груп не описана як розбірлива. Актори Medusa діють опортуністично, цлячись у жертв із непропатченим ПЗ; при цьому охорона здоров'я — часта жертва, і станом на квітень 2026 року рекомендація налічує понад 500 жертв Medusa у секторах критичної інфраструктури. Партнери Black Basta до травня 2024 року вразили понад 500 організацій у світі щонайменше в 12 із 16 секторів критичної інфраструктури; охорону здоров'я виділено як привабливу ціль через залежність від технологій і шкоду, яку атака завдає лікуванню пацієнтів. Оновлення щодо ALPHV зазначало, що з майже 70 опублікованих жертв із середини грудня 2023 року найчастіше страждав сектор охорони здоров'я — період, що настав після заклику адміністратора групи націлюватися на лікарні після дій проти її інфраструктури. Платежі падають, санкційні ризики залишаються
У питанні платежів публічна позиція уряду має регуляторний, а не статистичний характер. Оновлена рекомендація OFAC про платежі за викуп (вересень 2021 року) констатує, що уряд США наполегливо не радить усім приватним компаніям і громадянам платити викуп чи вимоги шантажистів; попереджає, що посередники — банки, кіберстраховики, компанії реагування на інциденти — ризикують цивільними санкціями на основі суворої відповідальності; і фіксує презумпцію відмови для ліцензій, пов'язаних із викупними платежами на користь підсанкційних осіб. Той самий документ, опублікований разом із внесенням біржі Suex до санкційного списку за сприяння доходам від шифрувальників, пояснює жертвам: швидке повідомлення правоохоронцям чи CISA може принести залік добровільного розкриття та істотне пом'якшення — із застереженням, що жодних гарантій повернути доступ до даних немає. Ринкові дані підтверджують тиск на платіжний бік. Chainalysis оцінює платежі шифрувальникам за 2024 рік приблизно у 813,55 млн доларів — приблизно на 35 відсотків нижче рекордних 1,25 млрд доларів 2023 року та перше зниження з 2022-го; платежем завершилося менше половини зафіксованих інцидентів, а один із переговірників, цитованих у звіті, оцінює частку переговорів, що закінчилися платежем, приблизно у 30 відсотків. Chainalysis також відзначає, що підсумкові платежі групуються в діапазоні 150–250 тисяч доларів незалежно від початкової суми: ціну зрештою призначає переговорний процес, а не стартова цифра. Чому в рекомендаціях називають партнерів
Повторювана деталь цих документів — структурна: той, хто зламує мережу, той, хто веде переговори, розробник, який підтримує шифрувальник, і сервіс, що виводить гроші, — різні сторони, часто в різних юрисдикціях. Саме тому рекомендації називають партнерів, брокерів доступу та посередників, а не один бренд. Правозастосування слідує за ролями: 2021 року Казначейство внесло біржу Suex до списку — перший обмінник віртуальних валют, санкціонований за сприяння доходам від шифрувальників, пов'язаний щонайменше з вісьмома їх варіантами, — без прив'язки до якоїсь конкретної RaaS-варіанти. Для тих, хто стежить за лік-сайтами, практичний висновок той самий, що й у нашому матеріалі про те, як працюють лік-сайти шифрувальників у .onion: таймер зворотного відліку — це платіжний механізм, а брокерські тарифи, багаторівневі партнери та санкційні ризики посередників — те, що ці документи й фіксують.
