Вірус-вимагач (ransomware) — шкідливе ПЗ, яке шифрує файли на пристрої або блокує доступ до нього, а потім вимагає гроші за відновлення. Те, що ще пʼять років тому здавалося поодинокими випадками, перетворилося на індустрію з мільярдними оборотами: у 2025 році вимагачі фігурували у 44% усіх витоків даних у світі, а сукупні збитки від них оцінюють у 57 мільярдів доларів щороку. Пояснюємо, як влаштована сучасна атака, хто атакує саме зараз (зокрема в Україні) і що реально допомагає не стати жертвою.
Як працює сучасний вірус-вимагач
Класична схема не змінилась: шкідливе ПЗ шифрує файли на диску або блокує екран пристрою, а на екрані чи в текстовому файлі в кожній папці зʼявляється вимога про викуп. Часто змінюється й розширення зашифрованих файлів — це один із перших сигналів зараження.
Але шлях до цього моменту суттєво ускладнився. За даними Sophos, третій рік поспіль найпоширенішою першопричиною атак залишаються експлуатовані вразливості в застосунках і мережевому обладнанні — на них припадає 32% випадків. Ще 23% атак починаються зі скомпрометованих облікових даних, а 18–19% — із фішингових листів.
Головна зміна останніх років — це подвійне вимагання (double extortion): перед шифруванням ініціатори загроз спершу викрадають дані компанії, а тоді погрожують опублікувати їх, навіть якщо жертва відновить файли з резервної копії. За оцінкою Travelers Insurance, така схема присутня у 87,6% сучасних атак — тобто оплата викупу вже давно не гарантує, що вкрадені дані не опиняться у відкритому доступі.
Хто стоїть за атаками просто зараз
Екосистема вимагачів постійно перебудовується: правоохоронці ліквідовують інфраструктуру одних груп — на їхнє місце приходять інші. За даними Check Point Research, лише в першому кварталі 2026 року команда дослідників відстежила понад 70 активних сайтів-«зливів» даних і 2 122 нові жертви. Групи Qilin, DragonForce, The Gentlemen та LockBit (яка повернулася після падіння 2024 року з версією LockBit 5.0) разом узяли на себе 41% усіх атак за квартал.
Для звичайного користувача важливий не так рейтинг конкретних груп, як логіка: це вже не поодинокі хакери, а модель Ransomware-as-a-Service — «оператори» розробляють шкідливе ПЗ й інфраструктуру, а «партнери» купують доступ і проводять самі атаки, ділячись викупом. Це і пояснює масштаб: жертв тисячі щомісяця, і серед них — компанії будь-якого розміру.
Україна — постійна ціль
Українські організації стикаються з вимагачами по-особливому: частина атак — це справді кримінальний бізнес заради грошей, але частина маскується під вимагачів, хоча насправді має на меті знищення даних. Класичний приклад — RansomBoggs, шкідливе ПЗ на платформі .NET, яке у листопаді 2022 року атакувало кілька українських організацій. За спостереженнями ESET, інструментарій для його поширення був майже ідентичним тому, що використовувало угруповання Sandworm під час руйнівних атак на енергетичний сектор — тобто вимога про викуп у цьому випадку, найімовірніше, була прикриттям для деструктивної операції, а не спробою реального заробітку.
Українцям варто стежити за бюлетенями CERT-UA — команда регулярно публікує деталі нових фішингових і шкідливих кампаній проти державних установ та бізнесу, включно з техніками доставки шкідливого ПЗ, які згодом можуть використовуватися і для розгортання вимагачів.
У що це виливається: гроші та час
Хороша новина — компанії стали відновлюватися швидше й дешевше. За даними Sophos, середня вартість відновлення після атаки (без урахування самого викупу) у 2025 році впала на 44% і становила 1,53 мільйона доларів проти 2,73 мільйона роком раніше. Понад половина постраждалих організацій (53%) відновилися протягом тижня — порівняно з 35% у 2024-му.
Водночас дедалі більше жертв відмовляються платити: 64% організацій не заплатили викуп у 2025 році — порівняно з 59% роком раніше. Це не завжди рішення з позиції сили: часто організації просто не мають грошей, або ж керуються порадами правоохоронців і страховиків.
Платити чи ні
Короткий висновок правоохоронних органів і дослідників незмінний роками: платити не варто. По-перше, це не гарантує відновлення даних — за оцінкою Halcyon, 84% організацій, які заплатили викуп, все одно не змогли повністю відновити свої дані. По-друге, у моделі подвійного вимагання оплата не зупиняє публікацію вже вкрадених файлів. По-третє, кожен заплачений викуп — це фінансування наступних атак, зокрема на інші українські організації.
Є й практична причина звертатися по допомогу, а не мовчки шукати вихід самотужки: за розрахунками IBM, залучення правоохоронних органів до розслідування інциденту в середньому economить компаніям близько 990 тисяч доларів порівняно з тими, хто цього не робить — і не вимагає жодних додаткових витрат.
Що робити, якщо атака вже сталася
Якщо файли вже зашифровані або на екрані зʼявилася вимога про викуп, послідовність дій має бути такою:
- Ізолюйте пристрій. Відключіть компʼютер від мережі — вимкніть Wi-Fi і відʼєднайте кабель, щоб зупинити поширення шкідливого ПЗ на інші пристрої в мережі.
- Не платіть одразу й не панікуйте. Навіть якщо термін у повідомленні про викуп здається жорстким — це елемент психологічного тиску.
- Визначте тип вимагача. Сервіс ID Ransomware від дослідників MalwareHunterTeam за зразком зашифрованого файлу й текстом вимоги допоможе встановити конкретне сімейство шкідливого ПЗ.
- Перевірте наявність безкоштовного декриптора. Проєкт No More Ransom, який координує Europol спільно з десятками партнерів у сфері кібербезпеки, надає безплатні інструменти для розшифрування — але вони специфічні для кожного сімейства й спрацьовують не завжди.
- Повідомте CERT-UA та кіберполіцію. Зверніться на cert.gov.ua і подайте заяву через форму звернень кіберполіції — це не лише допоможе вам, а й дасть іншим українським організаціям попередження про нову хвилю атак.
- Відновіть дані з резервної копії. Якщо копія є і вона не була підключена до зараженої мережі в момент атаки — це найнадійніший спосіб повернути файли без жодних гарантій від зловмисників.
Як захиститися від здирницького ПЗ: 10 правил
Більшість атак вимагачів можна відвернути на етапі базової гігієни, а не героїчними заходами постфактум:
- Резервні копії за правилом 3-2-1. три копії даних, на двох різних типах носіїв, одна — поза основною мережею й бажано офлайн або незмінна (immutable).
- Оновлюйте ПЗ і операційну систему. оскільки саме невиправлені вразливості — головна причина атак, регулярні оновлення закривають більшість очевидних шляхів проникнення.
- Увімкніть багатофакторну автентифікацію. для пошти, VPN, віддаленого доступу та хмарних сервісів — вона суттєво ускладнює використання вкрадених паролів.
- Обмежте протокол віддаленого робочого столу (RDP). закрийте прямий доступ ззовні мережі, використовуйте VPN і автентифікацію на рівні мережі.
- Сегментуйте мережу. щоб зараження одного пристрою чи відділу не поширювалося миттєво на всю організацію.
- Використовуйте рішення з поведінковим аналізом (EDR/антивірус). вони помічають підозрілу активність до того, як почнеться масове шифрування файлів.
- Регулярно навчайте співробітників. розпізнавання фішингових листів і підозрілих вкладень залишається одним із найдешевших і найефективніших видів захисту.
- Не встановлюйте зламане чи піратське ПЗ. сімейство STOP/Djvu — одне з наймасовіших серед вимагачів для приватних користувачів — досі найактивніше поширюється саме через кряки й кейгени.
- Використовуйте менеджер паролів. унікальний пароль для кожного сервісу зменшує ризик, що витік одних облікових даних відкриє доступ до інших систем.
- Підготуйте план реагування заздалегідь. запишіть контакти CERT-UA й кіберполіції, визначте, хто в компанії ухвалює рішення під час інциденту, ще до того, як він станеться.
Головне
Вірус-вимагач сьогодні — це не одинокий зловмисник, а індустрія з розподіленими ролями, готовими сценаріями подвійного вимагання і десятками активних угруповань. Але базові звички — резервні копії, оновлення, багатофакторна автентифікація і обережність із листами та піратським ПЗ — і сьогодні закривають переважну більшість шляхів, якими вимагачі потрапляють у системи. А якщо атака все ж сталася — головне не платити одразу, а звернутися до CERT-UA, кіберполіції та перевірити No More Ransom — шанс повернути дані безкоштовно є частіше, ніж здається.
