Ransomware: amenințări la adresa angajaților și familiilor lor

Criptarea sistemelor și amenințarea cu publicarea datelor nu mai sunt suficiente: ca să împingă o companie să plătească, unele grupări de extorcare mută presiunea asupra oamenilor, adică angajați, manageri și familiile lor. Este concluzia preluată de cinci publicații pe 14 și 15 octombrie 2026 din Semperis 2026 Ransomware Risk Report, un sondaj realizat în prima jumătate a lui 2026 printre 1.200 de profesioniști IT și de securitate din organizații lovite de ransomware, în nouă țări și opt sectoare, printre care finanțe, sănătate, producție, infrastructuri critice și administrație publică.

O precizare necesară: sunt răspunsuri declarate într-un sondaj al unui furnizor de securitate, nu incidente verificate unul câte unul. Dark Reading o spune explicit: relatările despre amenințări, urmăriri și violență sunt alarmante, dar greu de verificat.

Ce arată sondajul

Procentele publicate de surse nu coincid în totalitate. Potrivit The Register, 37% dintre atacuri au implicat amenințări psihologice sau fizice la adresa personalului (23% intimidare psihologică, 17% amenințări fizice). CSO Online indică în schimb 41% intimidare fizică sau psihologică și dă 37% ca pondere a cazurilor în care au fost amenințați prieteni sau membri ai familiei angajaților, cifră pe care și DataBreaches.net o atribuie amenințărilor la adresa rudelor.

În rest, sursele sunt de acord:

• doxxing al angajaților sau al rudelor (date personale precum adresa de acasă și numerele de telefon publicate online): 25%;
• swatting, adică alerte false de urgență care trimit forțele de ordine la domiciliul victimei: 23%;
• angajați sau rude care au avut nevoie de îngrijiri medicale sau psihologice: 25%;
• companii care au angajat personal de securitate suplimentar: 24%.

Doar CSO Online raportează că aproximativ 14% au trebuit să-și schimbe locul de muncă, biroul sau locuința. Doar The Register raportează că 53% dintre respondenți declară că amenințările au fost puse în practică în ultimul an, cu această defalcare: mesaje, scrisori sau colete amenințătoare 57%, amenințări la adresa familiei sau prietenilor 37%, intruziune fizică 19%, răpire 17%, vătămare corporală 13%, urmărire 6%. Tot potrivit The Register, 69% dintre respondenți au fost atacați de mai multe ori în ultimele 12 luni, iar 31% au plătit de mai multe ori.

Cum lucrează atacatorii

Mecanismul descris de surse este o recunoaștere a vieții private a persoanelor-cheie, care se adaugă dublei extorcări clasice. Potrivit unui expert citat de CSO Online, atacatorii combină profiluri sociale și profesionale, baze de date ale brokerilor de date, date deja scurse în breșe anterioare și informații găsite în rețeaua companiei atacate; inteligența artificială accelerează corelarea și personalizarea amenințărilor.

Un consultant de incident response de la Semperis, intervievat de The Register, descrie cazuri în care manageri au primit direct de la infractori fotografii ale școlilor copiilor lor în timpul negocierilor și vorbește despre „violență ca serviciu”. În opinia lui, aceste tactici sunt folosite de grupările cele mai cunoscute și numește Scattered Spider, ShinyHunters și Lapsus$; ShinyHunters, într-un interviu acordat aceleiași publicații, neagă că atacă oameni. The Register amintește și contextul: în vara lui 2026, Europol și partenerii săi au semnalat pentru eliminare 4.340 de URL-uri în cadrul anchetelor privind The Com, o rețea de grupuri online ai căror membri, adesea foarte tineri, trec de la hacking la swatting și violență fizică.

În lectura noastră, faza pregătitoare corespunde acestor intrări MITRE ATT&CK: Gather Victim Identity Information (T1589), Gather Victim Org Information: Identify Roles (T1591.004), Search Open Websites/Domains: Social Media (T1593.001) și Search Closed Sources (T1597); scopul final este Financial Theft (T1657). Nu există CVE-uri sau malware specific de detectat.

Sondajul atinge și inteligența artificială și identitățile: potrivit CSO Online, 84% dintre respondenți au suferit atacuri care implicau IA, 87% atacuri asupra infrastructurii de identitate, iar 44% manipularea propriilor agenți sau sisteme de IA.

Impactul pentru companiile europene și italiene

Sursele nu oferă defalcarea pe țări, așa că nu se poate spune în ce măsură fenomenul afectează Italia. Pentru cei care gestionează securitatea, problema este alta: planul de răspuns la incidente acoperă de obicei sistemele și datele, nu protecția oamenilor.

Conform NIS2 (în Italia, Decretul legislativ 138/2024), gestionarea incidentelor, continuitatea activității, gestionarea crizelor și securitatea resurselor umane sunt printre măsurile obligatorii pentru entitățile esențiale și importante: amenințările personale legate de un atac fac parte din scenariul de criză. Conform GDPR, datele angajaților sustrase din rețeaua companiei (fișe de personal, adrese, membri ai familiei) reprezintă o încălcare a securității datelor cu caracter personal care trebuie evaluată pentru notificarea autorității de supraveghere în 72 de ore și sunt exact materialul care face posibile aceste amenințări. În sănătate, unde presiunea de a restabili serviciile este deja foarte mare, povara asupra oamenilor agravează și mai mult criza.

Ce faci imediat

1. Include amenințările personale în planul de răspuns: cine le primește, cum se documentează, când și cum HR, departamentul juridic, securitatea IT și securitatea fizică implică autoritățile. Amenințarea, hărțuirea și șantajul sunt infracțiuni: raportează-le imediat.
2. Un canal confidențial pentru angajații care primesc mesaje, colete sau apeluri intimidante, inclusiv acasă.
3. Redu datele personale ale angajaților păstrate și accesibile în rețea: foldere HR, foi de calcul cu adrese și membri ai familiei, exporturi uitate. Limitează accesul și monitorizează cine le consultă.
4. Protejează identitățile: autentificare rezistentă la phishing pentru conturile privilegiate, privilegii minime, backup al infrastructurii de identitate cu teste de restaurare.
5. Agenți de IA cu un responsabil, permisiuni limitate și aprobare umană pentru acțiunile cu impact mare, așa cum sugerează experții citați de CSO Online.
6. Exerciții care includ scenariul: identități compromise, amenințarea cu publicarea datelor și amenințări la adresa familiilor managerilor.
7. Redu expunerea publică a rolurilor-cheie: organigrame detaliate, contacte directe și informații personale ușor de corelat.

Cum ajută ARXDOME

Amenințările la adresa oamenilor se gestionează cu procese și cu autoritățile, dar pornesc aproape întotdeauna de la o intruziune. ARX Expose semnalează conturile companiei expuse în breșe și domeniile asemănătoare cu al tău, material tipic al fazei de recunoaștere. ARX Sentry, în paginile SOC dedicate identităților, arată autentificările privilegiate, autentificările de noapte și modificările conturilor, iar prin controlul integrității fișierelor semnalează modificările din folderele alese, cum sunt cele cu datele personalului. ARX Shield izolează un calculator suspect cu un clic, iar ARX Trace colectează dovezile pentru a reconstitui ce a fost sustras.

Ultima actualizare: 15 octombrie 2026